EvilTokens: AI destekli siber suç platformu 12.000 hesabı nasıl ele geçirdi?
Microsoft, 22 Eylül 2026’da EvilTokens adlı abonelik tabanlı siber suç platformunu devre dışı bıraktı. Platform, AI chatbot kullanarak 10.000 kuruluşta 12.000 Microsoft hesabını ele geçirdi. Microsoft 200 domain’e el koydu; İngiltere polisi iki şüpheliyi tutukladı. Operasyon tam bir takedown değil — platformun bazı bileşenleri hâlâ aktif olabilir.
Ana Gelişme
EvilTokens, “fraud-as-a-service” modeliyle çalışan bir platformdu:
- Fiyatlandırma: 1.500 dolar kurulum + 500 dolar/ay abonelik
- Hedef: Microsoft 365 hesapları
- Yöntem: Device-code OAuth abuse
- AI rolü: Inbox analizi, fraud hedefleme, sahtecilik e-postası otomatik yazımı
Saldırı zinciri şöyle işliyordu: Kurban, device-code OAuth akışına yönlendiriliyor → hesap ele geçiriliyor → AI chatbot inbox’u dakikalar içinde analiz ediyor → ödeme değişikliği veya impersonation e-postaları otomatik üretiliyor. SpyCloud verilerine göre 8.700’den fazla kurban kaydı var; %97,5’i enterprise hesapları.
Microsoft Digital Crimes Unit (DCU), Storm-2992 threat actor’ünü EvilTokens ile ilişkilendirdi. 15 Eylül’de koordineli takedown başlatıldı; 50 site ve 150 domain ele geçirildi.
Neden Önemli?
Agentic threat actors bağlamında EvilTokens, AI’ın siber suç bariyerini düşürdüğünün somut örneği. Geleneksel BEC (Business Email Compromise) saldırıları günler süren manuel analiz gerektiriyordu; AI chatbot bu süreci dakikalara indirdi.
Türk mühendislik ekipleri için pratik çıkarımlar:
- Device-code OAuth akışlarını conditional access ile kısıtlayın
- Ödeme bilgisi değişikliklerini ikinci kanaldan doğrulayın
- MFA bypass kalıplarını (device-code abuse) güvenlik eğitimlerine ekleyin
Teknik Detaylar
Device-code OAuth abuse: Saldırganlar, kullanıcıyı bir device-code giriş ekranına yönlendiriyor. Kullanıcı kodu onayladığında, saldırgan OAuth token’ı alıyor — şifre veya phishing linki gerekmiyor.
AI inbox analizi: Ele geçirilen hesabın e-postaları AI tarafından taranıyor; ödeme talimatları, tedarikçi ilişkileri ve yetkili kişiler tespit ediliyor. Bu bilgilerle sahtecilik e-postaları otomatik üretiliyor.
Cloudflare Workers abuse: Platform, Cloudflare Workers üzerinde barındırılıyordu — takedown sonrası bazı bileşenler aktif kalabilir.
Bağlam
AI agent security tartışmasında EvilTokens, AI’ın savunma yerine saldırı tarafında kullanıldığının ilk büyük ölçekli örneği. Microsoft DCU’nun “ilk uçtan uca AI cybercrime disruption” operasyonu olarak tanımladığı bu takedown, enforcement tarafının da AI tehditlerine uyum sağladığını gösteriyor.
Spear phishing ve BEC saldırıları, enterprise güvenlik ekiplerinin en sık karşılaştığı tehdit kategorilerinden biri. AI otomasyonu bu saldırıların hacmini ve hızını artırıyor.
Sonraki Adımlar
Microsoft, kuruluşlara device-code OAuth politikalarını gözden geçirmelerini ve conditional access kurallarını güçlendirmelerini öneriyor. EvilTokens’un tamamen devre dışı bırakılmadığı not edilmeli — benzer platformların ortaya çıkması muhtemel.