Microsoft desmantela infraestrutura do serviço de phishing EvilTokens, mas técnica de ataque continua ativa
A Microsoft apreendeu 50 sites e desativou mais de 150 domínios ligados ao EvilTokens, um serviço de phishing associado a mais de 12 mil caixas de email comprometidas em mais de 10 mil organizações. A empresa alerta, no entanto, que a ameaça não foi eliminada e que clones do serviço já surgiram.
A Microsoft anunciou o desmantelamento de parte da infraestrutura do EvilTokens, um serviço de phishing que, desde fevereiro de 2026, esteve ligado a mais de 12 mil caixas de email comprometidas em mais de 10 mil organizações. A operação, conduzida pela Digital Crimes Unit da empresa, incluiu a apreensão de 50 sites usados no esquema e a desativação de mais de 150 domínios adicionais, ao abrigo de uma ordem do Tribunal Distrital do Leste da Virgínia, segundo noticia o SAPO Tek.
A ação contou com a colaboração de várias entidades, entre as quais a Cloudflare, a Coinbase, a OpenAI, a Railway, a SpyCloud, a Shadowserver Foundation e a TRM Labs. O caso já tinha tido desenvolvimentos no Reino Unido: a 11 de setembro, a Polícia Metropolitana deteve dois homens, de 32 e 38 anos, suspeitos de operar o serviço e de envolvimento em fraude e branqueamento de capitais, tendo ambos sido libertados sob fiança, de acordo com o mesmo meio.
O EvilTokens era vendido através do Telegram e explorava o fluxo de autorização por código de equipamento do OAuth 2.0 para sequestrar sessões de contas Microsoft 365. O kit era comercializado por 1.500 dólares, com mensalidades adicionais e extras, e a utilização de inteligência artificial era central no serviço, orientando a escolha de vítimas e a preparação de mensagens de fraude, refere o SAPO Tek. A Coinbase identificou mais de um milhão de dólares em receitas associadas ao serviço.
Apesar da operação, a Microsoft sublinha que a apreensão dos domínios representa uma interrupção, não uma eliminação definitiva da ameaça. Já existem clones, como o APToken, e os tokens roubados continuam válidos até serem revogados, o que significa que contas comprometidas antes da operação podem ainda estar acessíveis aos atacantes, aponta o mesmo relato.
Porque importa
O caso mostra como serviços de phishing comercializados e apoiados por inteligência artificial conseguem crescer com rapidez, atingindo milhares de organizações em poucos meses. A interrupção da infraestrutura é um passo significativo, mas a persistência de clones e de tokens ainda válidos mantém a exposição das contas comprometidas.
