O serviço EvilTokens está levando o phishing além do momento em que a vítima clica em um link. A plataforma rouba o acesso à sessão do Microsoft 365 e examina a caixa de correio comprometida para ajudar criminosos a escolherem os contatos, pagamentos e conversas mais propensos a gerar fraude. Diferente de kits de roubo de credenciais convencionais, a operação utiliza um processo de login real da Microsoft.
Como funciona o ataque EvilTokens
Um isca envia o alvo para uma página controlada, onde um código de dispositivo é criado e o usuário é direcionado ao site de login autêntico da Microsoft para aprová-lo. Esse padrão de phishing de código de dispositivo OAuth deixa as vítimas em um destino genuíno, não em uma página falsificada. O EvilTokens foi documentado pela primeira vez em fevereiro de 2026 e é vendido principalmente através do Telegram.
Uso de IA para personalização do ataque
A característica decisiva é o que acontece após o roubo do token. O EvilTokens busca na caixa de correio faturas, solicitações de pagamento, transações pendentes e trocas passadas. Ele identifica fornecedores, tomadores de decisão e pessoas que aprovam pagamentos, mapeando a linguagem e as etapas de aprovação normais da organização. As funções de IA da plataforma resumem os dados de e-mail e criam mensagens moldadas em torno de relacionamentos comerciais reais.
Escala e impacto da campanha
A escala relatada é notável. Uma onda de 16 dias afetou 344 organizações em cinco países, enquanto pesquisas separadas encontraram mais de 1.000 resultados de pesquisa relacionados à infraestrutura e 66 anexos de e-mail levando às páginas do EvilTokens. Isso mostra um serviço que se move rapidamente da publicidade para o uso ativo.
Medidas de mitigação recomendadas
As organizações devem restringir a autenticação por código de dispositivo apenas às necessidades aprovadas ou desativá-la onde não for necessária. As equipes de segurança devem alertar sobre concessões inesperadas de código de dispositivo, dispositivos não familiares, locais incomuns, emissão de novos tokens e atividade de consentimento suspeita. Tempos de vida de token mais curtos e revogação rápida de sessão podem reduzir o valor de uma aprovação bem-sucedida.
O que os CISOs devem fazer imediatamente
Os usuários também precisam de uma regra simples: uma página de login real não prova que uma solicitação é segura. Eles devem tratar códigos inesperados, prompts de aprovação e solicitações de verificação como suspeitos e relatá-los. Os defensores também devem observar o que segue um login bem-sucedido: grandes buscas na caixa de correio, novas regras de caixa de entrada, reutilização de tokens, acesso a dados na nuvem e mensagens enviadas em nome do usuário.
Perguntas frequentes
O EvilTokens requer senha? Não, ele não precisa capturar uma senha ou derrotar o MFA no sentido usual. Como detectar? Monitorando atividades de consentimento OAuth e acessos de dispositivos não reconhecidos.