微软携手coinbase捣毁evilTokens钓鱼平台

微软数字犯罪部门（dcu）联合coinbase、cloudflare、openai、railway、spycloud、shadowserver基金会、trm labs及health-isac,通过美国弗吉尼亚州东区联邦法院授权的民事诉讼,查封了ai驱动的"钓鱼即服务"平台evilTokens的50个网站,另有超过175个关联域名被停用,这也是微软dcu历史上第40次获法院授权的网络犯罪打击行动,同时是其首次针对ai赋能犯罪服务出手。

evilTokens的技术核心是滥用微软oauth 2.0设备授权登录流程发起"设备代码钓鱼",借此绕过多因素认证并静默冒充受害者身份登录microsoft 365应用;该平台由威胁团伙storm-2992通过telegram机器人对外分发,提供44款可定制钓鱼工具包,订阅价格为每月500美元或一次性1500美元买断;犯罪团伙还部署ai聊天机器人分析已攻陷邮箱,自动梳理信任关系、识别谁掌握付款权限、判断哪类目标最容易得手,并借助"vibe coded"方式用ai直接生成攻击工具代码,大幅降低了技术门槛。

微软方面披露,evilTokens自2026年2月上线以来扩张迅猛,微软安全副总裁tanmay ganacharya表示自3月15日起该平台平均每24小时就有10到15个新钓鱼活动上线;截至目前已累计攻陷超过12000个microsoft 365邮箱账户,波及全球逾10000家机构,受害集中地包括美国、加拿大、英国、澳大利亚、印度和法国,受害行业涵盖金融服务、医疗健康与高等教育。

coinbase全球情报团队独立追踪链上资金流向,发现evilTokens在2025年10月至2026年6月期间通过4个tron地址累计收取约110万美元"平台费"收入,涉及逾1000笔存款,来自700多个不同地址;该团队还调查了在coinbase平台上购买该钓鱼工具包的用户身份,并将相关证据移交执法部门,为微软的民事诉讼提供了关键支撑。

英国大都会警察于9月18日星期五在伦敦金丝雀码头（canary wharf）与九榆树区（nine elms）执行搜查令,逮捕两名分别为32岁和38岁的男子,二人涉嫌为evilTokens网站的管理运营者,目前已获保释,案件调查仍在进行中。

从资金链条看,evilTokens的收入本质是"卖工具"而非直接行骗——storm-2992向下游犯罪分子收取订阅费获利,资金经tron链上多个地址周转沉淀;真正的资金损失则由被钓鱼邮件诱导转账的终端用户承担,coinbase明确表示自身账户体系与凭证未被攻破,受损资金来自客户被社工诱导后主动转出的加密货币,损失发生在平台之外的用户决策环节;这次联合打击的直接受益方是微软与coinbase等参与机构,查获证据强化了其安全声誉与后续执法话语权,而承压方则是storm-2992及其钓鱼工具包的购买者群体,其身份信息已被移交执法部门。

据独立安全厂商spycloud的数据显示,evilTokens实际波及的规模比微软披露的官方数字更大——涉及79个国家、6585个企业邮箱域名下的8708个已攻陷账户,其中97.5%的受害者为企业域名账户,而非个人邮箱。

来源：公开信息