Microsoft 关闭 EvilTokens AI 钓鱼即服务平台，逾 12,000 账户受影响

2026 年 9 月 22 日，微软正式对外宣布，已与执法部门以及多家行业合作伙伴共同发起行动，彻底摧毁了名为 EvilTokens 的 AI 驱动钓鱼即服务平台的核心基础设施。该平台自同年二月起活跃，利用 Microsoft 账户发动大规模身份盗用攻击，涉及超过 10,000 家组织的 12,000 多个邮箱账号被非法侵入。

EvilTokens 如何滥用 Microsoft 的身份验证流程

EvilTokens 依托 OAuth 2.0 设备码流进行攻击，这是一种本用于无浏览器设备完成身份验证的合法机制。受害者在不知情的情况下被重定向至真实的 Microsoft 登录页面，输入短码后，系统会自动向攻击者颁发访问令牌，而受害者无需提供密码即可完成授权。

由于令牌是由 Microsoft 自己的授权服务器签发，传统基于密码的检测手段难以发现异常活动。攻击者凭借这些令牌即可读取、发送甚至删除受害者的邮件，进而实现大规模数据泄露和冒充行为。

AI 增强的侦察与目标锁定

平台内部嵌入了自研的人工智能模型，能够自动扫描被侵入的邮箱内容，绘制组织内部的关系图谱，并精准识别出发票、汇款信息等高价值资产。随后，AI 会生成针对二次受害者的鱼叉式钓鱼邮件，显著提升后续攻击的成功率。

EvilTokens 的运营者通过 Telegram 进行营销，公开宣称入门费用为 1,500 美元，月度订阅费为 500 美元。除此之外，还提供批量凭据收集、自动化发票伪造等增值模块，另行收费，这些收入进一步支持了其 AI 工具的研发与升级。

• 在非必要场景下阻止 OAuth 设备码流的使用
• 实施令牌签发与异常邮箱活动的持续监控
• 采用抗钓鱼认证方式，例如 FIDO2 安全密钥或 Passkey
• 强制对高风险应用使用多因素认证的条件访问策略

执法行动与剩余威胁

本次协同关闭行动共查封了 50 个托管站点，迫使超过 150 个与 EvilTokens 关联的域名下线。两名主要嫌疑人（分别为 32 岁和 38 岁）在英国被捕，随后以保释形式等待进一步调查。

BleepingComputer 报道指出，此次行动属于干扰而非彻底根除。克隆服务如 APToken 已出现，表明该商业模式对网络犯罪分子仍具强大吸引力，可能在短期内继续衍生变种。

微软同步向安全信息与事件管理（SIEM）平台发布了专用检测签名，帮助组织快速识别通过受损设备码流签发的异常令牌，并及时阻断潜在的后续渗透。

公司进一步呼吁所有客户审查其 OAuth 应用注册，撤销所有未知或不再使用的令牌，并按照推荐的加固措施实施，以最大程度降低攻击面。

对于在华的企业而言，微软此次干预的实际意义体现在两个层面：其一是通过关闭 EvilTokens 的活动基础设施，立即降低了已受影响账户的持续风险；其二是推动更强的身份验证机制和更严格的令牌治理，促使企业在身份生态系统中构建更具韧性的防御体系。

防御最佳实践建议

组织应定期审计 OAuth 客户端列表，确保仅保留业务必需的应用，并对高危客户端实施强制多因素认证。

建议在企业内部推广使用硬件安全密钥或平台认证（Passkey），以降低凭证泄露带来的风险。

对异常登录行为进行行为分析，结合机器学习模型实时检测异常设备码流的使用模式。

在安全事件响应流程中加入针对 OAuth 令牌的快速撤销步骤，确保一旦发现可疑令牌能够在最短时间内失效。

最后，企业应加强员工安全意识培训，特别是针对钓鱼邮件的识别与报告机制，确保人因因素不成为攻击的突破口。