In questo articolo Indice dei contenuti 2 sezioni
Microsoft ha annunciato che martedì ha guidato un’operazione di interruzione su larga scala contro EvilTokens, una piattaforma in abbonamento che, grazie a un chatbot IA, è stata usata per compromettere circa 12.000 account Microsoft in pochi mesi. Il servizio, promosso su un canale Telegram a partire da febbraio, chiedeva una quota iniziale di circa 1.500 euro e poi un canone mensile di circa 500 euro.
L’idea era brutale nella sua semplicità: prendere quasi tutto ciò che serve per entrare in tante caselle di posta, metterlo in un pacchetto e renderlo veloce. E poi, una volta dentro, aiutare a leggere, capire e colpire dove fa più male, cioè dove potevano esserci soldi da spostare. Nel flusso di lavoro di EvilTokens c’era anche la parte più “rifinita” della truffa, con la preparazione di email di risposta credibili, costruite per convincere dipendenti e uffici amministrativi a trasferire fondi verso conti controllati dagli attaccanti. In pratica, non solo accesso agli account, ma anche una mano a trasformare quell’accesso in frode.
Come funzionava EvilTokens e perché l’IA cambiava i tempi del gioco
Secondo Microsoft, al centro del servizio c’era un chatbot IA in grado di analizzare la posta della vittima e di evidenziare relazioni affidabili, autorizzazioni ai pagamenti e responsabilità sensibili. Non si parlava quindi di una semplice ricerca di parole chiave, ma di un supporto pensato per suggerire dove una frode avrebbe avuto più probabilità di riuscire. La piattaforma poteva anche consigliare strategie, per esempio generando messaggi che impersonavano contatti fidati così da spingere la vittima a compiere un’azione precisa.
L’operazione avrebbe colpito 12.000 account Microsoft appartenenti a 10.000 organizzazioni nel mondo, con la concentrazione più alta negli Stati Uniti. Tra i Paesi con numeri più elevati sono stati indicati anche Canada, Regno Unito, Australia, India e Francia. Le organizzazioni coinvolte erano distribuite in vari settori, dalla distribuzione all’ingrosso all’edilizia, dai servizi finanziari al real estate, fino a istruzione universitaria e sanità. Il punto, però, non era solo quanti account venivano violati, ma quanto rapidamente diventavano “utilizzabili” per una frode credibile. Microsoft lo ha detto in modo netto: dopo una compromissione, chi attacca può capire il contenuto di una casella in minuti, non in giorni. Ed è qui che EvilTokens segnava la differenza, perché riduceva il lavoro manuale che di solito richiede tempo, pazienza e capacità.
OAuth, device code authentication e la rete di siti e domini
L’accesso agli account avveniva attraverso un processo OAuth legittimo chiamato device code authentication. È un meccanismo pensato per dispositivi come le TV o, più in generale, per quelli con input limitato, cioè senza un’interfaccia comoda per il login tradizionale. In quel modello, il dispositivo mostra un codice e chiede all’utente di inserirlo via browser su un altro dispositivo, completando così l’autenticazione.
Dentro EvilTokens c’era una piattaforma che automatizzava l’invio di grandi quantità di spam. Chi cliccava su link o allegati malevoli veniva portato su una pagina che eseguiva uno script di automazione nascosto, capace di interagire in tempo reale con il provider di identità Microsoft per generare un codice utile a registrare un dispositivo controllato dagli attaccanti. Il provider di identità identificato era Microsoft Entra. A quel punto l’utente vedeva il codice e le istruzioni per copiarlo e inserirlo nel portale ufficiale di accesso con codice dispositivo di Microsoft. La piattaforma, con una logica backend descritta come complessa e basata su Node.js, permetteva di eludere i controlli tradizionali basati su firme o schemi ricorrenti, portando a termine il flusso completo, dalla generazione di codici dinamici fino alle attività successive alla compromissione.
Microsoft ha spiegato di aver agito tramite un percorso legale e una rete di partner, arrivando a sequestrare 50 siti e altri 150 domini usati per far funzionare EvilTokens. Nel Regno Unito, il Metropolitan Police Service ha arrestato due uomini sospettati di reati collegati alla piattaforma. Sul fronte difensivo, Microsoft ha insistito su due aspetti: servono protezioni forti dell’identità e monitoraggio costante, ma serve anche una verifica indipendente, su un secondo canale fidato, quando arrivano richieste di modifica dei dati di pagamento, di reindirizzamento di fondi o di approvazione di transazioni insolite.
Fonte: TecnoAndroid
