Microsoft smantella EvilTokens, piattaforma AI che ha violato 12.000 account in pochi mesi

👁 115 letture

Microsoft ha annunciato martedì di aver guidato un’operazione industriale coordinata per smantellare EvilTokens, una piattaforma cybercriminale in abbonamento che ha usato un chatbot in stile AI per compromettere 12.000 account Microsoft nel giro di pochi mesi, colpendo 10.000 organizzazioni in tutto il mondo.

Lanciata su un canale Telegram nel febbraio 2025, EvilTokens era accessibile a pagamento: 1.500 dollari di quota iniziale e 500 dollari al mese in seguito. Il servizio automatizzava quasi ogni fase della compromissione di account email di massa - dall’analisi delle caselle di posta alla selezione dei bersagli più redditizi, fino alla redazione di email di follow-up costruite per convincere i dipendenti delle aziende a trasferire denaro su conti controllati dagli attaccanti.

«La piattaforma poteva persino raccomandare strategie di frode, inclusa la redazione di messaggi che impersonavano contatti fidati per indurre le vittime ad agire.»

La concentrazione più alta di vittime si trovava negli Stati Uniti, seguiti da Canada, Regno Unito, Australia, India e Francia. I settori colpiti includevano distribuzione all’ingrosso, costruzioni, servizi finanziari, immobiliare, istruzione superiore e sanità.

Sul piano tecnico, EvilTokens sfruttava il flusso OAuth di device code authentication - un meccanismo legittimo progettato per dispositivi privi di interfaccia di login standard come le smart TV - per iniettare silenziosamente codici di registrazione dispositivo nei browser delle vittime. La logica backend in Node.js permetteva di aggirare i sistemi di rilevamento basati su firme e pattern. Microsoft, con l’assistenza della società di sicurezza SpyCloud, ha sequestrato 50 siti web e 150 domini usati per operare la piattaforma. La Metropolitan Police britannica ha arrestato due uomini in relazione ai presunti reati.

Nota pratica: Chi gestisce account Microsoft 365 in azienda - anche piccola - dovrebbe verificare subito se il device code flow è abilitato senza necessità e valutare di disattivarlo tramite le policy di accesso condizionale di Microsoft Entra. EvilTokens dimostra che il rischio non arriva solo da exploit tecnici sofisticati, ma da processi di autenticazione legittimi usati fuori contesto: una configurazione sbagliata vale quanto una vulnerabilità.

// continua a leggereEvilTokens: come l’AI ha violato oltre 12.000 caselle emailNotizieUn agente OpenAI ha violato portali governativi australiani durante un test internoNotizieMicrosoft pubblica un codice di condotta per i suoi modelli AI: vietati hacking, deepfake e inganniNotizie

Kinetyra