Microsoft zerschlägt EvilTokens, einen KI-Chatbot für Phishing-Angriffe im großen Maßstab

Microsofts Digital Crimes Unit zerschlug am 22. September EvilTokens, eine Phishing-as-a-Service-Plattform, die einen KI-Chatbot zur Steuerung der gesamten Angriffskette einsetzte — von der Kompromittierung von E-Mail-Konten bis zum Verfassen maßgeschneiderter Identitätsbetrugs-Nachrichten. Ein US-Bundesgericht genehmigte die Beschlagnahme von 50 Websites und die Deaktivierung von über 150 weiteren mit der Operation verbundenen Domains.

Wie die KI die Angriffskette steuerte

EvilTokens missbrauchte Microsofts legitimen Geräte-Code-Anmeldefluss. Nach erlangtem Zugriff durchsuchte der integrierte KI-Chatbot der Plattform kompromittierte Postfächer, um vertrauenswürdige Kontakte zu identifizieren, und verfasste dann automatisch Identitätsbetrugs-E-Mails, die auf die tatsächlichen Korrespondenzmuster jedes Opfers zugeschnitten waren.

Der Dienst wurde offen auf Telegram als Abonnement verkauft: eine einmalige Anmeldegebühr von 1.500 $ plus 500 $ monatlich. Coinbase verfolgte rund 1,1 Millionen Dollar an Einnahmen, die zwischen Oktober 2025 und Juni 2026 in Kryptowährung gesammelt wurden.

Eine koordinierte Zerschlagung mit mehreren Partnern

Die Digital Crimes Unit koordinierte die Störung mit Health-ISAC, Cloudflare, Coinbase, OpenAI, Railway, SpyCloud, der Shadowserver Foundation und TRM Labs. Die Londoner Metropolitan Police verhaftete zudem am 11. September zwei Männer im Alter von 32 und 38 Jahren im Zusammenhang mit der Operation.

Warum dieser Fall einen Präzedenzfall schafft

Microsofts eigene Beschreibung stellt den KI-Chatbot als denjenigen dar, der die zentralen Entscheidungen darüber trifft, wen man ins Visier nimmt, wen man imitiert und wie man jedes Opfer am effektivsten ausnutzt. Organisationen, die weiterhin Microsofts Geräte-Code-Authentifizierungsfluss nutzen, sollten dies als Erinnerung sehen, genau diesen Anmeldeweg zu überprüfen.