No dia 22 de setembro de 2026, a Microsoft anunciou a interrupção da plataforma EvilTokens, um serviço de phishing que comprometeu mais de 12 mil contas Microsoft em mais de 10 mil organizações. A ação foi coordenada pela unidade de crimes digitais da empresa, em colaboração com a Health-ISAC e diversas agências de segurança, incluindo a polícia britânica, que prendeu dois homens suspeitos de serem administradores do serviço.
A EvilTokens, que surgiu em fevereiro de 2026, se destacou por ser a primeira plataforma a oferecer suporte à autenticação via código de dispositivo em larga escala, utilizando recursos de inteligência artificial para personalizar iscas e identificar alvos valiosos em caixas de entrada comprometidas. A Microsoft identificou os responsáveis pela operação como Storm-2992 e destacou que a plataforma foi utilizada para realizar campanhas sofisticadas de comprometimento de e-mails empresariais (BEC).
Os ataques da EvilTokens exploravam o fluxo de autorização de dispositivo do OAuth 2.0, permitindo que os criminosos obtivessem tokens de autenticação sem a necessidade de roubo de credenciais. Isso possibilitou um aumento significativo no uso de phishing baseado em código de dispositivo, com pelo menos dez plataformas adotando essa técnica até abril de 2026, segundo a Microsoft.
Com a ajuda de ferramentas de IA, a plataforma analisava o conteúdo das caixas de entrada invadidas, mapeando relacionamentos organizacionais e identificando alvos de alto valor. Os criminosos podiam buscar informações sobre transferências bancárias, faturas pendentes e comunicações de executivos, facilitando a execução de fraudes financeiras.
As investigações revelaram que a EvilTokens oferecia uma gama de kits de phishing personalizáveis e serviços adicionais, como redirecionadores anti-bot e ferramentas de envio de e-mails. Os preços para acessar a plataforma variavam entre US$ 500 por mês e uma taxa única de US$ 1.500. As iscas utilizadas pelos atacantes incluíam mensagens que se passavam por plataformas de assinatura de documentos, serviços de nuvem e sistemas de faturamento.
A operação de desmantelamento foi autorizada pelo Tribunal Distrital dos EUA para o Distrito Leste da Virgínia e envolveu a colaboração de empresas como Cloudflare, Coinbase e OpenAI, além de outras organizações de segurança cibernética. A Microsoft enfatizou que a EvilTokens não apenas facilitava o acesso a contas de e-mail, mas também utilizava um chatbot de estilo IA para analisar as caixas de entrada das vítimas e ajudar os criminosos a identificar relacionamentos confiáveis e estratégias de fraude.
As prisões dos suspeitos ocorreram em 11 de setembro de 2026, após a polícia britânica receber informações sobre a operação. Ambos os homens, de 32 e 38 anos, foram liberados sob fiança enquanto a investigação prossegue. A detetive inspetora Serena D’Adamo, da Metropolitan Police Service, afirmou que a força policial está comprometida em responsabilizar aqueles que facilitam funções criminosas.
A EvilTokens foi caracterizada como uma solução de phishing como serviço (PhaaS) que combinava a análise de caixas de entrada, seleção de alvos e preparação de fraudes em uma única plataforma. Essa abordagem reduziu a necessidade de experiência prévia em fraudes de e-mail, permitindo que criminosos menos experientes realizassem ataques em larga escala.
Com a desarticulação da EvilTokens, o futuro das operações de phishing que utilizam técnicas similares permanece incerto. A Microsoft e outras entidades de segurança continuarão monitorando o cenário para identificar novas ameaças e desenvolver estratégias de mitigação contra esse tipo de crime cibernético.
Siga a HACKBR e receba as notícias de cibersegurança e tecnologia no seu feed: Instagram @hackbrnews