Microsoft desmantela EvilTokens, um chatbot de IA criado para executar ataques de phishing em grande escala

A Unidade de Crimes Digitais da Microsoft desmantelou o EvilTokens em 22 de setembro, uma plataforma de phishing como serviço que usava um chatbot de IA para executar toda a cadeia de ataque — desde comprometer contas de e-mail até redigir golpes de personificação personalizados. Um tribunal federal dos EUA autorizou a apreensão de 50 sites e a desativação de mais de 150 domínios adicionais ligados à operação.

Como a IA gerenciava a cadeia de ataque

O EvilTokens abusava do fluxo legítimo de login por código de dispositivo da Microsoft. Uma vez obtido o acesso, o chatbot de IA integrado escaneava as caixas de entrada comprometidas para identificar contatos confiáveis, depois redigia automaticamente e-mails de personificação adaptados aos padrões reais de correspondência de cada vítima.

O serviço era vendido abertamente no Telegram como assinatura: uma taxa única de inscrição de $1.500 mais $500 por mês. A Coinbase rastreou aproximadamente $1,1 milhão em receita coletada em criptomoeda entre outubro de 2025 e junho de 2026.

Uma operação de desmantelamento coordenada com múltiplos parceiros

A Unidade de Crimes Digitais coordenou a interrupção com Health-ISAC, Cloudflare, Coinbase, OpenAI, Railway, SpyCloud, a Fundação Shadowserver e TRM Labs. A Polícia Metropolitana de Londres também prendeu dois homens, de 32 e 38 anos, em 11 de setembro em conexão com a operação.

Por que este caso estabelece um precedente

A própria descrição da Microsoft enquadra o chatbot de IA como responsável pelas decisões centrais sobre quem visar, quem personificar e como explorar cada vítima com mais eficácia. Organizações que ainda usam o fluxo de autenticação por código de dispositivo da Microsoft devem considerar isso um lembrete para auditar esse caminho de login específico.