Почему MFA не остановила EvilTokens: как киберпреступники сместили атаку с паролей на авторизацию через ИИ
В сентябре 2026 года Microsoft Digital Crimes Unit (DCU) впервые провела операцию против сквозного коммерческого сервиса киберпреступности, использовавшего ИИ — платформы EvilTokens. Платформа скомпрометировала более 12 000 почтовых ящиков в 10 000 организаций не за счет перехвата паролей, а за счет злоупотребления легитимным механизмом Device Code Flow. Разбираемся, почему стандартная двухфакторная аутентификация бессильна, когда жертва сама подтверждает доступ атакующему, как языковые модели автоматизируют целевой фишинг и как перестроить корпоративную защиту.
TL;DR: Вся статья на одной схеме
Для тех, кто ценит время и хочет сразу увидеть архитектуру атаки EvilTokens через Device Code Flow, цепочку анализа почты языковой моделью и эшелонированную модель защиты авторизации, мы свели главные выводы в наглядную концептуальную схему:
Анатомия прецедента: первая операция Microsoft DCU против AI-сервиса киберпреступности
На протяжении двух десятилетий специализированные службы кибербезопасности фокусировались на ликвидации инфраструктуры ботнетов, командных серверов программ-вымогателей и фишинговых площадок. Подразделение Microsoft Digital Crimes Unit (DCU) провело десятки судебных операций по блокировке вредоносных сетей. Однако операция сентября 2026 года стала принципиальным рубежом: объектом скоординированного удара впервые стал готовый коммерческий сервис (PhaaS / Cybercrime-as-a-Service), где искусственный интеллект выступал связующим звеном всей цепочки атаки.
22 сентября 2026 года по решению федерального окружного суда Восточного округа Вирджинии Microsoft и отраслевые партнеры (включая Health-ISAC) заблокировали сетевую инфраструктуру платформы EvilTokens. Этому предшествовали процессуальные действия в Великобритании: 11 сентября подразделение по борьбе с киберпреступностью полиции Лондона арестовало двух предполагаемых операторов платформы в возрасте 32 и 38 лет. По данным расследования, сервис активно функционировал с февраля 2026 года, успев скомпрометировать более 12 000 учетных записей в 10 000 организаций по всему миру.
Операция показала, что индустрия киберпреступности движется от разрозненных скриптов к промышленным облачным платформам. В них автоматизировано практически все: от первичного получения доступа до глубокого семантического анализа корпоративной переписки.
Парадокс Device-Code: почему атака проходит при работающей MFA
Распространенное заблуждение связывает атаки на сессии исключительно с реверс-прокси серверами (AiTM), крадущими файлы cookie в браузере. Архитектура EvilTokens использовала принципиально иной, гораздо более коварный вектор: злоупотребление легитимным сценарием аутентификации устройств — Microsoft Device Code Flow. Этот протокол изначально создавался для гаджетов без полноценного браузера (умных телевизоров, игровых консолей или CLI-терминалов), но злоумышленники превратили его в идеальный инструмент обхода многофакторной защиты.
Механика компрометации строилась на эксплуатации доверия пользователя к официальным сервисам авторизации:
- Атакующий через платформу EvilTokens инициирует сессию OAuth и генерирует одноразовый пользовательский код авторизации устройства (device code).
- Жертве направляется целевое фишинговое сообщение со ссылкой, ведущей на подлинную страницу авторизации корпорации — microsoft.com/devicelogin.
- Пользователь вводит предоставленный код и проходит стандартную процедуру проверки подлинности: вводит корпоративный пароль и успешно подтверждает второй фактор (MFA) в доверенном приложении.
- Сервер авторизации видит легитимное подтверждение и выдает токены доступа (access и refresh tokens) клиенту, который запросил код — то есть приложению атакующего.
В этом сценарии возникает фундаментальный парадокс безопасности: многофакторная аутентификация отрабатывает штатно, пароль пользователя не компрометируется, но авторизованный доступ получает клиент злоумышленника. Пользователь своими руками подтверждает вход в корпоративную среду для внешнего устройства, будучи уверенным, что проходит рутинную авторизацию на официальном портале.
Генеративный конвейер: как языковая модель превращала доступ в инвойсы
Получение токенов доступа — лишь первая половина работы EvilTokens. В классических атаках класса Business Email Compromise (BEC) взломщику требовались дни или недели, чтобы вручную читать чужую почту, изучать организационную структуру компании и подбирать подходящий момент для подделки платежных поручений. EvilTokens полностью устранил эту рутину, интегрировав в платформу специализированный аналитический ИИ-модуль.
Как только токены авторизации поступали на сервер сервиса, нейросетевой конвейер запускал глубокую автоматизированную разведку:
- Семантический аудит корреспонденции: сканирование переписки с выявлением ключевых контрагентов, доверительных контактов первого лица, договоров и финансовой переписки.
- Выделение финансовых процессов: автоматический поиск документов с реквизитами, актов сверок, графика платежей и ожидаемых транзакций.
- Анализ стилистики коммуникаций: реконструкция языковых паттернов руководства и главного бухгалтера для точной мимикрии в деловой переписке.
- Генерация сценариев и текстов: формирование адресных мошеннических писем с заменой банковских реквизитов, точно привязанных к реальному контексту сделки.
Искусственный интеллект не просто генерировал текст, а рекомендовал конкретную стратегию мошенничества, определяя наиболее уязвимые цели внутри скомпрометированной организации.
Полученная авторизация позволяла атакующим быстро закрепляться в инфраструктуре: Microsoft также зафиксировала сценарии, в которых после получения доступа злоумышленники регистрировали новые устройства для закрепления в инфраструктуре и запрашивали Primary Refresh Token (PRT) для долговременного сохранения доступа, либо создавали скрытые правила пересылки почты для последующего перехвата входящих уведомлений.
Экономика PhaaS: снижение входного порога для теневого рынка
Платформа EvilTokens распространялась по закрытым каналам в Telegram и функционировала по классической подписочной модели Phishing-as-a-Service. Согласно материалам расследования, доступ к платформе стоил $1 500 в качестве первоначального платежа и $500 ежемесячной абонентской платы. За эти деньги оператор получал готовый комплекс: генератор фишинговых ссылок, сервер управления токенами и доступ к генеративному аналитическому интерфейсу.
Появление таких инструментов радикально снижает порог входа в высокодоходный сектор целевого мошенничества. Если раньше проведение сложных многоходовых атак на финансовые потоки компаний требовало от группировок найма опытных аналитиков и лингвистов, то модель EvilTokens сделала подобные атаки доступными низкоквалифицированным злоумышленникам.
В результате целевой фишинг перестает быть штучным оружием элитных хакеров и превращается в массовую угрозу для корпоративного сектора любого масштаба.
Архитектура защиты: как нейтрализовать злоупотребление авторизацией
Кейс EvilTokens наглядно доказывает, что сама по себе двухфакторная аутентификация больше не является достаточной гарантией безопасности. Защита современного предприятия должна сместиться от проверки паролей к строгому контролю самих протоколов и контекста авторизации.
Для блокировки подобных сценариев службам безопасности необходимо выстроить многоуровневый эшелон обороны:
- Рубеж 1 (Протокол): Отключение или жесткое ограничение Device Code Flow через политики Conditional Access.
- Рубеж 2 (Устройства): Контекстный доступ и запрет выдачи токенов с недоверенных, не зарегистрированных в MDM/EDR устройств.
- Рубеж 3 (Контекстный риск): Политики Sign-in Risk для автоматической блокировки сессий при аномалиях IP, геолокации или характеристик клиента.
- Рубеж 4 (Регламент): Независимый (внеполосный) контроль финансовых операций и подтверждение реквизитов вне электронной почты.
Переход на защищенные от фишинга методы аутентификации, такие как аппаратные ключи FIDO2 и Passkeys, является базовым гигиеническим стандартом защиты, который должен дополняться этими четырьмя рубежами.
Такой комплекс мер ликвидирует главную лазейку злоумышленников: даже если сотрудник введет одноразовый код на легитимном портале, политики безопасности могут заблокировать выдачу токенов неконтролируемому внешнему клиенту.
Переход к поведенческому контролю: уроки для бизнеса
Ликвидация инфраструктуры EvilTokens силами Microsoft DCU и полиции Великобритании устранила одного крупного игрока, но созданный прецедент останется с индустрией надолго. Киберпреступность на практике доказала высокую экономическую эффективность использования генеративных нейросетей в связке с эксплуатацией легитимных протоколов авторизации.
Главный вывод из этой истории прост: безопасность больше нельзя сводить к требованию одноразового кода в SMS или приложении. Настоящая устойчивость бизнеса в 2026 году строится на ограничении избыточных интерфейсов входа, контроле состояния устройств и жестких регламентах согласования финансовых проводок.
Для тех, кто предпочитает слушать
Для тех, кто хочет глубже разобраться в механике атак через Device Code Flow, деталях спецоперации Microsoft DCU и практических способах перестройки корпоративной авторизации, в свежем выпуске аналитического подкаста «Голос из Матрицы» разбираем изнанку новой кибервойны.
Слушайте выпуск на удобной платформе: