В ходе совместной операции нескольких технологических компаний и британских правоохранительных органов пресечена деятельность сервиса для проведения фишинговых атак (PhaaS) EvilTokens. Двое подозреваемых арестованы, отключены 50 сайтов, заблокированы 150 доменов.

Сравнительный тест камер флагманских смартфонов (2026): итоги

Лучший процессор под DDR4 в 2026 году: AM4 против LGA 1700

Групповое тестирование 46 видеокарт в The Witcher 3: Wild Hunt — Remastered

Выбираем лучшие игровые ноутбуки на российском рынке (вторая половина 2026 года)

Гид по выбору складного смартфона в 2026 году

Топ-10 смартфонов до 20 тысяч рублей (2026 год)

Компьютер месяца, спецвыпуск: выбираем мини-ПК для работы и развлечений в эпоху дефицита чипов памяти

Обзор HONOR Pad X9b Max: универсальный большой планшет с антибликовым экраном

Мастерская локальных ИИ: салат картофельный с Qwen3.8

Источник изображения: microsoft.com

Участие в операции приняли корпорация Microsoft, компании Health-ISAC, Cloudflare, Coinbase, OpenAI, Railway, SpyCloud, The Shadowserver Foundation и TRM Labs, а также отдел по борьбе с киберпреступностью полиции Лондона. Правоохранительные органы по подозрению в правонарушениях, связанных с предполагаемой эксплуатацией EvilTokens, арестовали двух мужчин в возрасте 32 и 38 лет. Сейчас они освобождены под залог с соблюдением определённых условий на время следствия; связанные с ними цифровые ресурсы и другое имущество изъяты в рамках расследования. Пока неизвестно, помогут ли принятые меры полностью обезвредить EvilTokens, или платформа продолжит работу. Как правило, инфраструктура для совершения правонарушений оказывается менее устойчивой к сбоям в случае ареста организаторов, чем при простом отключении оборудования правоохранительными органами.

Проект EvilTokens попал в поле зрения экспертов в области кибербезопасности в феврале 2026 года и быстро стал одним из самых популярных PhaaS-решений. Оно продаётся на закрытых площадках за $1500 плюс регулярная абонентская плата в размере $500. Инструмент используется для проведения масштабных фишинговых атак с публикацией поддельных сайтов, посадочных страниц и других ресурсов для кражи учётных данных; сервис позволяет перехватывать токены сессий, одноразовые пароли и другие коды защиты, обеспечивая злоумышленникам доступ к почтовым ящикам жертв. Сильной стороной EvilTokens является встроенный помощник с искусственным интеллектом, который анализирует содержимое почтовых ящиков жертв, определяет наиболее ценные цели и даже подсказывает оптимальные способы взаимодействия с ними. Злоумышленники могут проводить разведку с использованием Microsoft Graph, устанавливая организационную структуру и права доступа — это помогает им сохранять присутствие в системе и перемещаться по целевой сети.

EvilTokens функционирует как хорошо организованный стартап: в операциях используются несколько ИИ-моделей, есть подписка, служба поддержки, панель управления для администраторов, а также средства, которые позволяют перевести жертву от стадии получения доступа к учётной записи непосредственно к этапу финансовых мошеннических действий. В результате кампании по компрометации корпоративной электронной почты, по данным Microsoft, были взломаны более 12 000 почтовых ящиков в более чем 10 000 организаций по всему миру: в США, Канаде, Великобритании, Австралии, Индии и Франции. Это были компании из сфер оптовой торговли, строительства и финансовых услуг, затронуты сектор недвижимости, высшего образования и здравоохранения. Microsoft уведомила пострадавших, помогла восстановить безопасность скомпрометированных почтовых ящиков и передала информацию в правоохранительные органы.

В Microsoft предупредили, что хакеры стали в массовом порядке использовать фишинговый комплект EvilTokens, позволяющий злоумышленникам осуществлять вход с использованием двухфакторной авторизации от имени своих жертв.

Групповое тестирование 46 видеокарт в The Witcher 3: Wild Hunt — Remastered

Сравнительный тест камер флагманских смартфонов (2026): итоги

Компьютер месяца, спецвыпуск: выбираем мини-ПК для работы и развлечений в эпоху дефицита чипов памяти

Лучший процессор под DDR4 в 2026 году: AM4 против LGA 1700

Выбираем лучшие игровые ноутбуки на российском рынке (вторая половина 2026 года)

Обзор HONOR Pad X9b Max: универсальный большой планшет с антибликовым экраном

Топ-10 смартфонов до 20 тысяч рублей (2026 год)

Мастерская локальных ИИ: салат картофельный с Qwen3.8

Гид по выбору складного смартфона в 2026 году

Источник изображения: microsoft.com

«Мы продолжаем наблюдать высокую активность, ежедневно в затронутых окружениях происходят сотни взломов», — сообщили в компании. В огромных масштабах компрометируются принадлежащие организациям учётные записи — атака охватывает сотни обслуживаемых Microsoft организаций ежедневно. Виной всему фишинговый комплект EvilTokens, с февраля активно предлагаемый киберпреступниками как средство для доступа к системам Microsoft; в обозримом будущем, заявили его разработчики, он сможет также работать с сервисами Gmail и Okta.

Фишинговый сервис EvilTokens постоянно совершенствуется. Дошло до того, что вредоносная платформа отказалась от статических скриптов и перешла на инфраструктуру, управляемую искусственным интеллектом и включающую множество сквозных автоматических процессов. Эти меры позволяют обойти стандартный 15-минутный срок, в течение которого действуют коды авторизации. Надёжного средства защититься от фишинговой атаки нового поколения не существует, но в Microsoft перечислили меры, которые помогут сократить вероятность успешной атаки до минимума:

• разрешать ввод кодов авторизации только там, где это необходимо;
• обучать пользователей распространенным схемам фишинга;
• объяснить пользователям, что в запросах на вход должно чётко указываться приложение на аутентификацию;
• настроить политики защиты от фишинга;
• настроить средство Safelinks в Defender для Office 365;
• рассмотреть возможность повторной авторизации при подозрительных действиях;
• развернуть политику оценки рисков при входе в систему с использованием средств автоматизации;
• ужесточить политику входа с использованием Microsoft Entra ID.