Summary
Microsoft led a disruption of EvilTokens, a subscription-based cybercrime platform (500/month) that used an AI chatbot to compromise 12,000 Microsoft accounts across 10,000 organizations via device-code OAuth abuse. The platform automated inbox analysis, fraud targeting, and impersonation email drafting. Microsoft seized 200 domains; UK police arrested two suspects.
PreScreening Notes
- Domain fit: ai, software — AI-assisted cybercrime disruption
- Newsworthiness: Microsoft-led takedown of EvilTokens; 12,000 accounts across 10,000 orgs; AI chatbot automation
- Audience: Security engineers and AI practitioners
- Duplicates: None in active pipeline
- Recency: Published Sep 22, ~30h old — passes 48h gate
Evaluation Report
News Value Assessment
| Dimension | Rating | Notes |
|---|---|---|
| Timeliness | ★★★★☆ | Sep 22 disruption announcement; timely security advisory |
| Impact | ★★★★☆ | 12,000 accounts, 10,000 orgs — significant but contained via takedown |
| Prominence | ★★★★★ | Microsoft-led; UK law enforcement arrests; AI chatbot as attack enabler |
| Proximity | ★★★★☆ | OAuth/device-code abuse relevant to any org using Microsoft 365 |
| Novelty | ★★★★☆ | AI-assisted fraud-as-a-service model; subscription cybercrime platform |
Audience Fit
- Primary match: Software developers and security professionals
- Actionable insight: Device-code OAuth abuse vectors, MFA bypass patterns, AI automating BEC workflows
- Topic connection: microsoft, agentic-threat-actors, ai-agent-security — AI used offensively, not defensively
Risk & Ethics Assessment
- Verification: Ars Technica citing Microsoft threat intelligence — high credibility
- Misinformation risk: Low
- Fact-checking: Minimal — official disruption operation
- Ethics: No concerns; educational value for defensive posture
Publication Strategy
- Format:
standard— explain attack chain and defensive takeaways - Wiki references: microsoft, agentic-threat-actors, ai-agent-security
Suggested Angle
“EvilTokens: AI destekli siber suç platformu nasıl 12.000 hesabı ele geçirdi?”
Walk through the attack chain: device-code OAuth abuse → AI inbox analysis → automated impersonation. Emphasize defensive lessons for Turkish engineering teams (OAuth consent flows, conditional access). Frame AI as lowering the bar for cybercrime, not just enabling productivity. Include Microsoft takedown details and UK arrests as enforcement context.
Source Analysis
[To be added during prescreening]
Research Notes
Additional Sources
- 2026-09-22-eviltokens-microsoft-security-blog — Storm-2992 tracking; device code TTPs; partner list
- 2026-09-22-eviltokens-spycloud — 8,700+ victim records; 97.5% enterprise accounts
- 2026-09-22-eviltokens-bleepingcomputer — pricing (500/mo); not full takedown
- 2026-09-22-eviltokens-cloudflare — Workers abuse; Sep 15 coordinated takedown
Key Facts Verified
- Confirmed: 12,000 accounts / 10,000 orgs; device code OAuth abuse; AI inbox analysis; UK arrests; 50 sites + 150 domains seized
- Defensive lesson: Compromised inbox analyzed in minutes, not days — verify payment changes via second channel
Broader Context
AI lowering cybercrime skill floor — offensive agent use (EvilTokens) vs defensive agent security investment (Zenity, etc.). DCU’s first end-to-end AI cybercrime disruption.
Related Wiki
microsoft, eviltokens, device-code-phishing, agentic-threat-actors, ai-agent-security, spear-phishing
Editorial Notes
Onay durumu: ✓ Onaylandı — standard format.
Onaylanan açı: Saldırı zincirini (device-code OAuth → AI inbox analizi → otomatik sahtecilik) adım adım anlat; savunma derslerini Türk mühendislik ekipleri için somutlaştır.
Reporting talimatları:
- AI’ın suç bariyerini düşürdüğü çerçevesini dengeli tut; savunma odaklı pratik öneriler ekle
- Device-code OAuth abuse ve MFA bypass kalıplarını teknik ama erişilebilir dille açıkla
- Microsoft takedown (200 domain) ve UK tutuklamalarını enforcement bağlamında ver
- “Tam takedown değil” notunu (BleepingComputer) belirt
Başlık önerileri:
- EvilTokens: AI destekli siber suç platformu 12.000 hesabı nasıl ele geçirdi?
- Microsoft, AI chatbot’lu EvilTokens platformunu devre dışı bıraktı
- Device-code OAuth ve AI: EvilTokens saldırı zinciri ve savunma dersleri
Makalede mutlaka yer almalı:
- 12.000 hesap / 10.000 kuruluş istatistiği
- Abonelik modeli (500/ay)
- AI inbox analizi ve otomatik sahtecilik e-postası
- Device-code OAuth abuse ve conditional access önerileri
- Microsoft domain el koyması ve UK tutuklamaları
Draft Article
EvilTokens: AI destekli siber suç platformu 12.000 hesabı nasıl ele geçirdi?
Microsoft, 22 Eylül 2026’da EvilTokens adlı abonelik tabanlı siber suç platformunu devre dışı bıraktı. Platform, AI chatbot kullanarak 10.000 kuruluşta 12.000 Microsoft hesabını ele geçirdi. Microsoft 200 domain’e el koydu; İngiltere polisi iki şüpheliyi tutukladı. Operasyon tam bir takedown değil — platformun bazı bileşenleri hâlâ aktif olabilir.
Ana Gelişme
EvilTokens, “fraud-as-a-service” modeliyle çalışan bir platformdu:
- Fiyatlandırma: 1.500 dolar kurulum + 500 dolar/ay abonelik
- Hedef: Microsoft 365 hesapları
- Yöntem: Device-code OAuth abuse
- AI rolü: Inbox analizi, fraud hedefleme, sahtecilik e-postası otomatik yazımı
Saldırı zinciri şöyle işliyordu: Kurban, device-code OAuth akışına yönlendiriliyor → hesap ele geçiriliyor → AI chatbot inbox’u dakikalar içinde analiz ediyor → ödeme değişikliği veya impersonation e-postaları otomatik üretiliyor. SpyCloud verilerine göre 8.700’den fazla kurban kaydı var; %97,5’i enterprise hesapları.
Microsoft Digital Crimes Unit (DCU), Storm-2992 threat actor’ünü EvilTokens ile ilişkilendirdi. 15 Eylül’de koordineli takedown başlatıldı; 50 site ve 150 domain ele geçirildi.
Neden Önemli?
Agentic threat actors bağlamında EvilTokens, AI’ın siber suç bariyerini düşürdüğünün somut örneği. Geleneksel BEC (Business Email Compromise) saldırıları günler süren manuel analiz gerektiriyordu; AI chatbot bu süreci dakikalara indirdi.
Türk mühendislik ekipleri için pratik çıkarımlar:
- Device-code OAuth akışlarını conditional access ile kısıtlayın
- Ödeme bilgisi değişikliklerini ikinci kanaldan doğrulayın
- MFA bypass kalıplarını (device-code abuse) güvenlik eğitimlerine ekleyin
Teknik Detaylar
Device-code OAuth abuse: Saldırganlar, kullanıcıyı bir device-code giriş ekranına yönlendiriyor. Kullanıcı kodu onayladığında, saldırgan OAuth token’ı alıyor — şifre veya phishing linki gerekmiyor.
AI inbox analizi: Ele geçirilen hesabın e-postaları AI tarafından taranıyor; ödeme talimatları, tedarikçi ilişkileri ve yetkili kişiler tespit ediliyor. Bu bilgilerle sahtecilik e-postaları otomatik üretiliyor.
Cloudflare Workers abuse: Platform, Cloudflare Workers üzerinde barındırılıyordu — takedown sonrası bazı bileşenler aktif kalabilir.
Bağlam
AI agent security tartışmasında EvilTokens, AI’ın savunma yerine saldırı tarafında kullanıldığının ilk büyük ölçekli örneği. Microsoft DCU’nun “ilk uçtan uca AI cybercrime disruption” operasyonu olarak tanımladığı bu takedown, enforcement tarafının da AI tehditlerine uyum sağladığını gösteriyor.
Spear phishing ve BEC saldırıları, enterprise güvenlik ekiplerinin en sık karşılaştığı tehdit kategorilerinden biri. AI otomasyonu bu saldırıların hacmini ve hızını artırıyor.
Sonraki Adımlar
Microsoft, kuruluşlara device-code OAuth politikalarını gözden geçirmelerini ve conditional access kurallarını güçlendirmelerini öneriyor. EvilTokens’un tamamen devre dışı bırakılmadığı not edilmeli — benzer platformların ortaya çıkması muhtemel.