מיקרוסופט סיכלה את EvilTokens: פלטפורמת AI שפרצה ל־12 אלף תיבות דואר

מיקרוסופט הודיעה ביום שלישי כי הובילה מבצע רחב, יחד עם שחקנים נוספים בתעשייה, לשיבוש פעילותה של EvilTokens — פלטפורמה עבריינית שפעלה במודל מנוי ואפשרה, לדבריה, לפגוע בכ-12 אלף חשבונות של החברה בתוך פרק זמן של כמה חודשים. לפי מיקרוסופט, השירות איגד במקום אחד את רוב השלבים הדרושים להשתלטות סדרתית על חשבונות דוא"ל ולהפיכת הפריצה להונאה כספית ממוקדת.

שירות מנוי לעברייני סייבר

לפי מיקרוסופט, EvilTokens הוצגה לראשונה בפברואר דרך ערוץ טלגרם, וגבתה דמי כניסה של 1,500 דולר ולאחר מכן 500 דולר בחודש. המודל הזה, המוכר יותר ויותר בעולם הפשיעה המקוונת, מצביע על תיעוש של מתקפות סייבר: במקום שכל תוקף יפתח כלים בעצמו, מוצעת לו פלטפורמה מוכנה לשימוש, עם ממשק, שירות ותהליך עבודה סדור.

בחברה הסבירו כי הפלטפורמה לא הסתפקה בגישה לחשבונות שנפרצו. לאחר החדירה, היא סייעה למשתמשים לנתח את תוכן תיבת הדוא"ל, לזהות אילו אנשי קשר או תכתובות עשויים להניב את הרווח הגבוה ביותר, ולהכין את הקרקע להונאות המשך. המטרה הייתה לבחור מטרות שבהן ניתן לנצל קשרי אמון קיימים בתוך ארגון — למשל מול מנהלים, ספקים או גורמי כספים.

הצ'טבוט חיפש קשרי אמון והמליץ על דרכי הונאה

במוקד המערכת, לדברי מיקרוסופט, עמד צ'טבוט "בסגנון AI" שידע לנתח תיבות דוא"ל של קורבנות ולחלץ מהן מידע רגיש מבחינה תפעולית. בחברה אמרו כי הכלי סייע לזהות מערכות יחסים מהימנות, הרשאות תשלום, תחומי אחריות רגישים ונסיבות נוספות שבהן הסיכוי להצלחת הונאה גבוה במיוחד.

מיקרוסופט הוסיפה כי המערכת אף המליצה על אסטרטגיות הונאה וניסחה הודעות המשך שנראו אמינות, תוך התחזות לאנשי קשר מוכרים. בכך, מתקפה שהייתה עלולה לדרוש ימים של איסוף מודיעין וכתיבה ידנית קוצרה, לפי תיאור החברה, לדקות בודדות. המשמעות היא שהבינה המלאכותית אינה משמשת כאן רק ליצירת טקסט, אלא להאצת כל שרשרת התקיפה — מאיסוף מידע ועד ניסוח פנייה שמטרתה להוביל להעברת כסף לחשבונות שבשליטת התוקפים.

המשמעות הרחבה: הונאת דוא"ל הופכת מתוחכמת ומהירה יותר

המקרה הזה מדגיש עד כמה כלי בינה מלאכותית משנים את שוק האיומים. מתקפות מבוססות דוא"ל אינן חדשות, אך השילוב בין גישה לחשבון פרוץ לבין ניתוח אוטומטי של תכתובות פנימיות יוצר רמת דיוק גבוהה יותר של התחזות. במקום הודעות כלליות עם שגיאות בולטות, תוקפים יכולים לייצר מסרים שמתכתבים עם שפה ארגונית אמיתית, עם הקשרים עסקיים קיימים ועם תהליכי תשלום שגרתיים.

עבור ארגונים, האיום המרכזי אינו רק גניבת חשבון אלא גם היכולת להפוך אותו לכלי עבודה להונאה פנימית. חשבון דוא"ל שנפרץ עשוי לשמש לזיוף הוראות תשלום, שינוי פרטי בנק של ספקים או יצירת בקשות דחופות לכאורה מצד מנהלים. לכן, מעבר לאבטחת התחברות, נדרשים גם מנגנוני בקרה על העברות כספים, אימות כפול לשינויים בפרטי תשלום ובדיקות אנושיות במקרים חריגים.

מיקרוסופט מסרה כי הובילה את שיבוש הפלטפורמה במסגרת פעולה רחבה בתעשייה. לפי הודעתה, השירות הופעל במשך כמה חודשים והיה מעורב בפגיעה באלפי חשבונות, תוך שימוש בכלי אוטומציה ובינה מלאכותית כדי להגדיל את היקף הפעילות ואת סיכויי ההצלחה שלה.