Microsoft、AI詐欺基盤「EvilTokens」を摘発。1.2万件侵害

米Microsoftは9月22日、サブスクリプション型の詐欺支援プラットフォーム「EvilTokens」の摘発を、業界横断で主導したと明らかにした。EvilTokensは数カ月の間に、世界の1万組織に属する1万2000件のMicrosoftアカウントの侵害に使われた。被害は米国が最も多く、カナダ、英国、オーストラリア、インド、フランスが続く。業種は卸売、建設、金融、不動産、高等教育、医療などに及んだ。

EvilTokensは2月にTelegramで登場し、初期費用1500ドル、以降は月500ドルで提供されていた。メールアカウントの大量乗っ取りに必要な工程をほぼ一括で請け負う。

侵入に使われたのは、OAuthの「デバイスコード」認証だ。本来はテレビなど入力手段が限られた機器のための仕組みで、機器に表示されたコードを別の端末のブラウザで入力して認証する。EvilTokensは大量のスパムを送り、リンクを開いた被害者を隠しスクリプト入りのページへ誘導した。スクリプトはMicrosoft Entraとリアルタイムにやり取りして攻撃者の端末を登録するためのコードを生成し、被害者に正規のログインページへ入力させる。Node.jsによる複雑なバックエンドで、署名やパターンに頼る従来型の検知を回避していた。

侵害後の工程にはAIが使われた。一度に5000通のメールを分析し、多額の送金権限を持つ社員やその上司、説得力のある送金依頼の筋書きを割り出し、信頼できる相手になりすましたメールの下書きまで作った。Microsoftは法的手続きとパートナーの協力で50のWebサイトと150のドメインを押収し、ロンドン警視庁は関与の疑いで男2人を逮捕した。

Microsoftは、これまで攻撃者が何日もかけていた組織図や取引関係の把握がAIで大幅に短縮されたと指摘する。そのうえで「受信箱が侵害されたら、犯罪者はその中身を数日ではなく数分で理解すると想定すべきだ」とし、支払先の変更や異例の送金は別の信頼できる経路で確認するよう呼びかけた。