Microsoft schakelt EvilTokens phishing‑as‑a‑service uit na 12.000 accounts

Microsoft maakte op 22 september 2026 publiekelijk bekend dat, na een intensieve samenwerking met verschillende wetshandhavingsinstanties en strategische branchepartners, de kerninfrastructuur van EvilTokens – een door AI aangedreven phishing‑as‑a‑service (PhaaS) die sinds februari van dat jaar operationeel was – definitief is neergehaald, waardoor de dienst niet langer actief kan blijven.

Hoe EvilTokens Microsoft‑authenticatiestroom misbruikte

EvilTokens maakte misbruik van de OAuth 2.0 device‑code flow, een legitieme authenticatiemethode die speciaal is ontworpen voor apparaten zonder ingebouwde browser, zoals smart‑TV’s of IoT‑apparaten, waardoor gebruikers zich veilig kunnen aanmelden door een korte code in te voeren op een ander apparaat.

In de praktijk werden slachtoffers via een phishing‑e‑mail of -bericht omgeleid naar een authentieke Microsoft‑inlogpagina, waar zij de door de aanvaller geleverde code invoerden; dit resulteerde in het onbewust verlenen van een toegangstoken aan de aanvaller, terwijl hun wachtwoord nooit werd onthuld.

Waarom traditionele detectie faalde

Omdat het token werd uitgegeven door de eigen autorisatieserver van Microsoft, kon de gangbare wachtwoord‑gebaseerde detectie‑logica de activiteit niet herkennen; het token gaf de aanvaller volledige lees‑ en schrijfrechten op de mailbox van het slachtoffer, waardoor grootschalige diefstal van e‑mailinhoud en de mogelijkheid tot impersonatie van legitieme gebruikers mogelijk werden.

Deze ongeautoriseerde toegang maakte het voor de aanvallers eenvoudig om vertrouwelijke correspondentie, bijlagen en interne contactnetwerken te exploiteren, wat vervolgens als springplank diende voor verdere aanvallen binnen de getroffen organisaties.

AI‑verbeterde verkenning en gerichte aanvallen

EvilTokens integreerde eigen AI‑modellen die automatisch de gecompromitteerde mailboxen doorzochten, interne relaties in kaart brachten en specifieke artefacten zoals facturen, betalingsbewijzen en contracten identificeerden, waardoor een gedetailleerd profiel van de organisatie werd opgebouwd.

Op basis van deze profielen genereerde de AI vervolgens gepersonaliseerde spear‑phishing‑berichten voor secundaire slachtoffers, vaak met een overtuigende afzender en contextuele referenties, waardoor de kans op succesvolle vervolg‑aanvallen aanzienlijk steeg.

• Blokkeer de OAuth device‑code flow wanneer deze niet nodig is voor legitieme scenario's
• Implementeer continue monitoring van tokenuitgifte en afwijkende mailboxactiviteit
• Adopteer phishing‑resistente authenticatiemethoden zoals FIDO2‑beveiligingssleutels of passkeys
• Handhaaf voorwaardelijke toegangs‑beleidsregels die MFA vereisen voor toepassingen met hoog risico

Acties van wetshandhaving en resterende dreigingen

Gecoördineerde neerhalingsacties leidden tot de inbeslagname van vijftig hosting‑sites en de sluiting van meer dan honderd vijftig domeinen die direct of indirect met EvilTokens verbonden waren, waardoor de operationele infrastructuur van de dienst ernstig werd verzwakt.

Twee verdachten, respectievelijk 32 en 38 jaar oud, werden gearresteerd in het Verenigd Koninkrijk; zij werden later tegen borgtocht vrijgelaten, maar blijven onder streng toezicht terwijl de autoriteiten verdere onderzoeken uitvoeren.

Volgens BleepingComputer was de operatie een verstoring van de service en geen volledige uitroeiing; er zijn al klonen zoals APToken opgedoken, wat aantoont dat het onderliggende businessmodel – het verkopen van geautomatiseerde credential‑harvesting en AI‑gegenereerde phishing‑tools – nog steeds aantrekkelijk is voor cybercriminelen.

Microsoft heeft daarnaast detectiesignaturen geleverd voor diverse SIEM‑platformen, zodat beveiligingsteams snel tokens kunnen identificeren die via de gecompromitteerde device‑code flow zijn uitgegeven, en zo sneller kunnen reageren op verdachte activiteiten.

Aanbevelingen voor organisaties

Het bedrijf riep al haar klanten op om hun OAuth‑applicatieregistraties grondig te herzien, onbekende of ongebruikte tokens onmiddellijk in te trekken, en de aanbevolen verhardingsstappen – zoals het beperken van de device‑code flow tot strikt noodzakelijke scenario's – toe te passen om het aanvaloppervlak te verkleinen.

Daarnaast wordt organisaties aangeraden om multi‑factor authenticatie (MFA) verplicht te stellen voor alle accounts met toegang tot gevoelige data, en om periodiek hun toegangsrechten te evalueren om overprivilegieerde tokens te detecteren.

Deze maatregelen, gecombineerd met continue threat‑intelligence feeds en een proactief patch‑beheer, vormen een robuuste verdediging tegen zowel huidige als opkomende AI‑gedreven phishing‑dreigingen.

Voor Nederlandse bedrijven geldt dat de richtlijnen van het Nationaal Cyber Security Centrum (NCSC) nauwkeurig moeten worden gevolgd, waarbij specifiek wordt geadviseerd om de OAuth‑device‑code flow alleen in gecontroleerde omgevingen toe te staan en alle afwijkende token‑activiteit direct te melden aan de interne security‑operatie‑centra.