EvilTokens: kit de phishing-as-a-service turbinado por IA comprometeu 12 mil caixas de e-mail antes de ser derrubado
Microsoft, Coinbase e a Polícia Metropolitana de Londres desmantelaram o EvilTokens, uma plataforma de phishing por assinatura operada pelo grupo Storm-2992 que vendia acesso via Telegram por US$1.500 de entrada mais US$500/mês. Em poucos meses o kit comprometeu mais de 12 mil caixas de e-mail em mais de 10 mil organizações usando phishing por código de dispositivo, que contorna o MFA. A operação usava IA para analisar as caixas invadidas e gerar automaticamente novas mensagens de phishing personalizadas contra os contatos da vítima.
O EvilTokens era um kit de phishing-as-a-service comercializado abertamente no Telegram, com modelo de assinatura mensal e suporte técnico ao criminoso-cliente — um sinal de como o phishing corporativo se profissionalizou a ponto de operar como SaaS. Ativo desde fevereiro de 2026, cresceu rápido: mais de 12 mil caixas de e-mail comprometidas em mais de 10 mil organizações antes do takedown.
O diferencial técnico é o abuso do "device-code flow", fluxo de autenticação criado para dispositivos sem teclado (como smart TVs), em que o usuário digita em outro aparelho um código exibido na tela. Os atacantes geram esse código legítimo junto à própria Microsoft e o embutem numa mensagem de phishing convincente — disfarçada de fatura ou notificação do DocuSign. Ao inserir o código na página real de login da Microsoft para "confirmar identidade", a vítima na verdade autoriza a sessão do atacante. Como toda a autenticação ocorre dentro da infraestrutura oficial da Microsoft, nenhum MFA baseado em senha, SMS ou app autenticador impede o golpe — o usuário concede o token voluntariamente.
O papel da IA aparece na etapa pós-invasão: algoritmos vasculhavam a caixa comprometida para identificar contatos, estrutura organizacional e alvos financeiros de maior valor, gerando automaticamente a próxima onda de phishing personalizado. Isso comprime para segundos um trabalho de reconhecimento que antes levava horas de um operador humano, explicando a velocidade de propagação da campanha.
O desmantelamento reuniu Microsoft (50 sites apreendidos, mais de 175 domínios desativados), Coinbase (rastreamento de cerca de US$1,1 milhão em criptomoedas movimentadas via blockchain Tron) e outros parceiros como Cloudflare, Health-ISAC, OpenAI, Railway, SpyCloud e Shadowserver, culminando na prisão do operador em Londres em 11 de setembro.
Para defesa, o ponto prático é que o device-code flow raramente é necessário em ambientes corporativos comuns: equipes de segurança devem desabilitá-lo ou restringi-lo via políticas de acesso condicional quando não há dispositivos sem teclado a autenticar, monitorar logs de autenticação em busca desse fluxo específico, e treinar usuários para nunca inserir códigos de verificação recebidos por e-mail ou link não solicitado — a regra de ouro é que nenhum serviço legítimo pede para "digitar um código em outra tela" a partir de um link de e-mail.