Microsoft, 12.000 Kutuyu Vuran Yapay Zekâlı Oltalama Ağını Kapattı

Microsoft, 22 Eylül'de, soruşturmacılarının dünya genelinde 10.000'den fazla kurumda 12.000'i aşkın e-posta kutusunun ele geçirilmesiyle ilişkilendirdiği abonelik tabanlı oltalama servisi EvilTokens'i çökerttiğini açıkladı. ABD Virginia Doğu Bölgesi Federal Mahkemesi'nin kararıyla hareket eden şirketin Dijital Suçlar Birimi, operasyona bağlı 50 web sitesine el koydu ve 150'den fazla alan adını devre dışı bıraktı. The Hacker News'in aktardığına göre Londra Metropolitan Polisi, servisle bağlantılı olarak 11 Eylül'de 32 ve 38 yaşlarında iki kişiyi gözaltına aldı.

Platformun temel numarası çalınmış bir parola gerektirmiyordu. EvilTokens, akıllı televizyon, yazıcı ve toplantı odası cihazlarının ikinci bir ekrana girilen kısa bir kodla oturum açmasını sağlayan meşru OAuth 2.0 cihaz yetkilendirme akışını kötüye kullandı. Oltalama e-postası hedefi canlı bir kod üreten sayfaya yönlendiriyor, ardından Microsoft'un gerçek giriş adresi olan microsoft.com/devicelogin sayfasına gönderiyordu. Kodun orada girilmesi bir cihazı değil, saldırganın oturumunu yetkilendiriyor ve çok faktörlü doğrulamayı devre dışı bırakıyordu. Microsoft, elde edilen erişimin "ilgili oturumlar ve belirteçler de iptal edilmezse parola sıfırlandıktan sonra bile devam edebileceği" uyarısını yaptı.

Servisi diğerlerinden ayıran şey, sonrasında olanlardı. Microsoft Dijital Suçlar Birimi hukuk müşaviri Steven Masada, "Servisin merkezinde, kurbanın gelen kutusunu analiz edip suçluların güven ilişkilerini, ödeme yetkilerini ve hassas sorumlulukları belirlemesine yardım eden yapay zekâ tarzı bir sohbet robotu vardı" dedi ve aracın güvenilen kişileri taklit eden mesajlar da yazabildiğini ekledi. Operasyonun ortaklarından SpyCloud'un istihbarat direktörü Trevor Hilligoss, platformun ele geçirilen posta kutularını "kaçırmaya değer yazışmaları bulmak için yirmiden fazla dilde" okuduğunu söyledi. Erişimin bedeli 1.500 dolar peşin ve aylık 500 dolardı.

Microsoft platformun ortaya çıkışını Şubat 2026 olarak tarihliyor; The Hacker News ise Huntress'in servisi ilk kez mart ayında belgelediğini aktarıyor. SpyCloud, 79 ülkedeki 6.585 kurumsal e-posta alan adına yayılan 8.708 kurban hesabına ait çalınmış veriyi geri kazandığını, en eski kayıtların 18 Şubat 2026 tarihli olduğunu bildirdi. Operasyonun bir diğer ortağı Coinbase ise Ekim 2025 ile Haziran 2026 arasında dört Tron adresinde yaklaşık 1,1 milyon dolarlık platform geliri izlediğini açıkladı. Kurban yoğunluğu ABD, Kanada, Birleşik Krallık, Avustralya, Hindistan ve Fransa'da; toptan dağıtım, inşaat, finans, gayrimenkul, yükseköğretim ve sağlık sektörlerinde toplanıyor.

Ne Microsoft ne de ortakları kurbanların uğradığı zarara dair bir tahmin yayımladı; yayımlanan metinler gözaltına alınan iki kişinin adını vermiyor ve herhangi bir suçlamadan söz etmiyor. Microsoft, servisin geliştiricilerini Storm-2992 adıyla izlediğini belirtiyor ve kurumlara, gerekmediği her yerde cihaz kodu giriş akışını engellemelerini, istisnayı yalnızca belirli Teams cihaz hesaplarıyla sınırlamalarını öneriyor. Operasyonda adı geçen diğer ortaklar arasında Health-ISAC, Cloudflare, OpenAI, Railway, Shadowserver Foundation ve TRM Labs yer aldı.