EvilTokens gestoppt: KI-Phishingdienst kompromittierte laut Microsoft 12.000 Postfächer
Microsoft hat gemeinsam mit Partnern die Infrastruktur des Cybercrime-Dienstes EvilTokens gestört. Die Plattform kombinierte Device-Code- und Adversary-in-the-Middle-Phishing mit KI: Gestohlene Postfächer wurden automatisiert analysiert, um besonders lukrative Kontakte, Zahlungsabläufe und glaubwürdige Betrugsszenarien zu finden.
Mehr als nur bessere Phishing-Texte
Der gefährliche Teil war nach Microsofts Darstellung nicht lediglich das automatische Schreiben überzeugender Nachrichten. Die KI konnte kompromittierte Mailboxen auswerten und Angreifern Hinweise geben, welche Personen sie imitieren, welche Beziehungen sie ausnutzen und an welcher Stelle ein Zahlungsbetrug besonders erfolgversprechend sein könnte.
Microsoft bringt EvilTokens mit mehr als 12.000 kompromittierten Postfächern in über 10.000 Organisationen in Verbindung. Betroffen waren unterschiedliche Branchen, darunter Handel, Bau, Finanzdienstleistungen, Immobilien, Hochschulen und Gesundheitswesen.
Microsoft lässt Domains abschalten
Die Digital Crimes Unit von Microsoft ging juristisch und technisch gegen die Infrastruktur vor. Der Konzern beschreibt die Aktion als koordinierte Störung der Plattform und veröffentlichte parallel technische Hinweise zur Erkennung ähnlicher Angriffe.
So schützt du Konten besser
- Ungewöhnliche Gerätecode-Anmeldungen und unerwartete Login-Aufforderungen niemals ungeprüft bestätigen.
- Phishing-resistente MFA-Verfahren wie Passkeys oder FIDO2-Schlüssel bevorzugen.
- Mailbox-Regeln und Weiterleitungen regelmäßig kontrollieren.
- Bei kompromittierten Konten Tokens und aktive Sitzungen widerrufen – ein Passwortwechsel allein reicht nicht immer.
- Für Zahlungsänderungen einen zweiten, unabhängigen Bestätigungskanal nutzen.
Die Aktion zeigt, wie stark KI inzwischen auch auf der Angreiferseite für Auswahl und Priorisierung von Opfern eingesetzt wird. Technische Kontrollen und klare Freigabeprozesse für Zahlungen werden dadurch wichtiger.
Auch Software-Lieferketten bleiben ein Einfallstor: Zuletzt berichteten wir über Schadcode in npm-Paketen.
Quellen: Microsoft Digital Crimes Unit, Microsoft Security Blog
