Eviltokens zerschlagen: 12.000 Microsoft-Konten mittels KI-Phishingdienst gekapert
Microsoft ist zusammen mit Strafverfolgern und mehreren Partnerunternehmen ein großer Schlag gegen einen KI-basierten Phishingdienst namens Eviltokens gelungen. Wie der Redmonder Softwarekonzern in einem Blogbeitrag(öffnet im neuen Fenster) schildert, war der Dienst seit Februar 2026 aktiv und wurde für die Kompromittierung von mehr als 12.000 E-Mail-Konten aus weltweit über 10.000 Organisationen verschiedener Branchen genutzt.
Laut Microsoft setzte Eviltokens "in jedem Schritt der Angriffskette" auf KI. Im Mittelpunkt stand dabei ein KI-Chatbot, der den Angreifern unter anderem dabei half, die Inhalte kompromittierter Postfächer zu analysieren und dadurch die nächsten potenziellen Opfer zu identifizieren, bei denen ein Phishingangriff besonders lohnenswert erschien.
Darüber hinaus soll die Plattform bei der Auswahl von Betrugsstrategien und beim Verfassen von Phishing-Mails unterstützt haben. "Die KI half den Angreifern nicht nur dabei, überzeugendere Nachrichten zu verfassen. Sie unterstützte sie auch bei der Entscheidung, wen sie ins Visier nehmen, wessen Identität sie annehmen und wie sie die Beziehung am effektivsten ausnutzen, um möglichst viel Geld zu erpressen", erklärte Microsoft.
Kein Passwort erforderlich
Die Übernahme fremder Microsoft-Konten erfolgte bei Eviltokens durch sogenanntes Device-Code-Phishing(öffnet im neuen Fenster). Dabei werden Angriffsopfer dazu verleitet, auf der Anmeldeseite von Microsoft einen Authentifizierungscode des Angreifers einzugeben. Letzterer erhält dadurch ein gültiges Authentifizierungstoken und kann damit über sein eigenes Gerät auf das anvisierte Konto zugreifen, ohne das zugehörige Passwort kennen zu müssen.
"Dieser Zugriff konnte sogar nach dem Zurücksetzen des Passwortes bestehen bleiben, wenn die zugehörigen Sitzungen und Tokens nicht ebenfalls widerrufen wurden", so Microsoft. Auch Multi-Faktor-Authentifizierungen (MFA) sollen sich auf diese Weise umgehen lassen.
Der Zugang zu Eviltokens wurde laut Bericht über einen Telegram-Bot verkauft. Initial mussten Angreifer für die Verwendung der Plattform 1.500 US-Dollar zahlen. Hinzu kam eine wiederkehrende Abo-Gebühr in Höhe von 500 US-Dollar, die alle 30 Tage zu entrichten war.
Über 200 Domains beschlagnahmt
Zusammen mit Partnern wie der Shadowserver Foundation, Cloudflare, OpenAI, Railway, Spycloud(öffnet im neuen Fenster), TRM Labs(öffnet im neuen Fenster) und Coinbase(öffnet im neuen Fenster) nahm Microsoft Eviltokens jedoch nun vom Netz und leitete juristische Schritte gegen die Betreiber ein(öffnet im neuen Fenster). Den Angaben zufolge wurden über 200 Domains beschlagnahmt, die direkt oder unterstützend mit dem Phishingdienst in Verbindung standen. Im Vereinigten Königreich sollen zudem zwei mutmaßliche Betreiber im Alter von 32 und 28 Jahren verhaftet worden sein.
Besonders viele mit Eviltokens attackierte Phishingopfer gab es wohl in den USA, Kanada, dem Vereinigten Königreich, Australien, Indien und Frankreich. Wie eine von Spycloud veröffentlichte Karte(öffnet im neuen Fenster) zeigt, scheinen auch in Deutschland hunderte von Konten kompromittiert worden zu sein. Genaue Zahlen je Land nennt das Unternehmen jedoch nicht.
Wir öffnen unsere neue Community für weitere Mitglieder! Möchtest du in konstruktiver und respektvoller Atmosphäre mit anderen IT-Experten über deine Themen sprechen? Sei dabei und melde dich an!
- Anzeige Hier geht es zu Künstliche Intelligenz: Wissensverarbeitung bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.