Международная операция с участием Microsoft, Cloudflare, OpenAI, Coinbase и других компаний, а также лондонской полиции, пресекла деятельность фишингового сервиса EvilTokens. Отключены 50 сайтов и заблокированы 150 доменов, связанных с платформой.
По подозрению в причастности к работе сервиса арестованы двое мужчин 32 и 38 лет. Их освободили под залог на время следствия, изъяв цифровые активы и другое имущество. Полностью ли обезврежена платформа — пока неясно.
EvilTokens появился в поле зрения экспертов в феврале 2026 года и быстро стал одним из популярных PhaaS-инструментов. Доступ к нему продавался за $1500 плюс $500 ежемесячной подписки.
Сервис использовался для фишинга: создания поддельных сайтов и посадочных страниц для кражи учётных данных, перехвата токенов сессий и одноразовых паролей. Это давало злоумышленникам доступ к почте жертв.
Ключевой особенностью EvilTokens был встроенный ИИ-помощник, анализировавший содержимое почтовых ящиков, выявлявший ценные цели и подсказывавший, как с ними взаимодействовать. Через Microsoft Graph злоумышленники изучали структуру организаций для скрытного перемещения по сети.
Платформа работала как стартап: несколько ИИ-моделей, подписка, поддержка пользователей, админ-панель и инструменты для перехода от взлома аккаунта к финансовому мошенничеству.
По данным Microsoft, в результате атак были скомпрометированы более 12 000 почтовых ящиков в свыше 10 000 организаций в США, Канаде, Великобритании, Австралии, Индии и Франции — в торговле, строительстве, финансах, недвижимости, образовании и здравоохранении. Microsoft уведомила пострадавших и передала данные правоохранителям.