Microsoft, yapay zekâ destekli oltalama hizmeti EvilTokens’in altyapısını çökerttiğini 22 Eylül salı günü duyurdu. Şirketin Dijital Suçlar Birimi’nin yürüttüğü operasyonda hizmeti ayakta tutan 50 siteye el konuldu, destek altyapısına bağlı 150’den fazla alan adı devre dışı bırakıldı. Dava Virginia Doğu Bölgesi Federal Mahkemesi’nde görülüyor; sağlık kuruluşları da hedef alındığı için Health-ISAC ortak davacı olarak dosyada yer aldı.
EvilTokens, Şubat 2026’da kurulan ve abonelikle satılan bir suç hizmetiydi. Müşterilere Microsoft 365 ve Outlook posta kutularını ele geçirmek için hazır kitler veriyordu. Yöntem cihaz kodu oltalaması: saldırganın ürettiği kodu kurban Microsoft’un gerçek giriş sayfasına yazıyor, karşılığında oturum jetonu saldırgana geçiyordu. Microsoft’a göre bu erişim, oturumlar ve jetonlar ayrıca iptal edilmediğinde şifre değiştirildikten sonra da sürüyordu.
Hizmetin yapay zekâ botu yalnızca e-posta yazmıyordu. Kurbanın gelen kutusunu özetliyor, finansal yazışmaları çıkarıyor, örgütteki rolleri ve güvenilen ilişkileri haritalıyor, dolandırıcılık için hedef ve yöntem öneriyordu. Microsoft, EvilTokens’in dünya genelinde 10 bin kuruluşta 12 binden fazla posta kutusunu ele geçirdiğini söylüyor. Kurbanlar en yoğun olarak ABD, Kanada, Birleşik Krallık, Avustralya, Hindistan ve Fransa’da; toptan dağıtım, inşaat, finans, gayrimenkul, yükseköğretim ve sağlık sektörlerinde.
İngiltere Metropolitan Polisi’nin siber suç birimi 18 Eylül’de 32 ve 38 yaşlarındaki iki kişiyi gözaltına aldı. Polise göre şüpheliler sitenin yöneticileriydi; ikisi de soruşturma sürerken kefaletle serbest bırakıldı.
Microsoft Dijital Suçlar Birimi yöneticisi Steven Masada, bunun bir uçtan uca yapay zekâ destekli suç hizmetine karşı ilk operasyon olduğunu söylüyor. Uçtan uca olan şey, hizmetin hedef seçmesinden taklit mesajın yazılmasına kadar zincirin tamamını satması. Bu, saldırının maliyetini düşürüp hacmi artırıyor; tek bir uzman ekibin yapacağı işi abonelik paketine çeviriyor.
Microsoft’un kurumlara önerisi iki adımda toplanıyor: şifre değiştirmek yetmiyor, aktif oturumlar ve jetonlar iptal edilmeli; ödeme bilgisi değiştirme, para yönlendirme ve olağan dışı işlem talepleri ikinci bir kanaldan doğrulanmalı.