Großaktion: Microsoft stoppt KI-Betrug mit 12.000 Opfern
TTS-Player überspringen↵Artikel weiterlesen
Microsoft hat eine große Betrugsplattform vom Netz genommen. Der Dienst mit dem Namen EvilTokens ermöglichte Phishing-Angriffe mithilfe künstlicher Intelligenz und soll mehr als 12.000 E-Mail-Konten bei über 10.000 Organisationen kompromittiert haben. Die Digital Crimes Unit von Microsoft beschlagnahmte 50 Websites und schaltete mehr als 150 weitere Domains ab. In Großbritannien wurden zudem zwei mutmaßliche Betreiber festgenommen.
So verschafften sich die Täter Zugriff
EvilTokens wurde über Telegram als kostenpflichtiger Dienst für Kriminelle angeboten. Nutzer zahlten laut Microsoft zunächst 1500 US-Dollar (1318 Euro) und anschließend 500 US-Dollar (439 Euro) pro Monat. Die Plattform nutzte eine Schwachstelle in der „Device Code Authentication“ von Microsoft. Betroffene erhielten Phishing-Mails mit Links zu manipulierten Seiten. Dort erzeugte das System einen Code, den die Opfer auf der echten Microsoft-Anmeldeseite eingeben sollten. Dadurch konnten die Täter auf die Konten zugreifen, selbst wenn eine Zwei-Faktor-Authentifizierung aktiviert war.
Phishing bleibt ein wachsendes Problem. Aktuelle Daten zeigen, dass Kriminelle in Deutschland zunehmend bekannte heimische Marken für ihre Angriffe missbrauchen. Die Techniker Krankenkasse wird demnach inzwischen häufiger für Phishing-Kampagnen genutzt als Amazon oder Microsoft.
KI spähte Postfächer automatisch aus
Besonders perfide war laut Microsoft der Einsatz künstlicher Intelligenz. Ein KI-Chatbot analysierte kompromittierte Postfächer automatisch und suchte nach Mitarbeitern mit Zahlungsbefugnissen, laufender Geschäftskorrespondenz sowie sensiblen Informationen. Anschließend erzeugte die Plattform Betrugs-E-Mails, die an Kollegen oder Geschäftspartner verschickt werden konnten. Aufgaben, die zuvor Tage beanspruchten, erledigte das System innerhalb weniger Stunden. Steven Masada von Microsofts Digital Crimes Unit erklärte, Unternehmen müssten davon ausgehen, dass Kriminelle den Inhalt eines gekaperten Postfachs binnen Minuten auswerten könnten.
Ermittler verfolgten Millionenbeträge
Das an den Ermittlungen beteiligte Krypto-Unternehmen Coinbase verfolgte Zahlungsströme von rund 1,1 Millionen US-Dollar (963.151 Euro). Das Geld floss zwischen Oktober 2025 und Juni 2026 an die Betreiber. Betroffen waren vor allem Organisationen in den USA, Kanada, UK, Australien, Indien und Frankreich. Zu den Zielbranchen gehörten Bauunternehmen, Finanzdienstleister, Immobilienfirmen, Hochschulen und Gesundheitseinrichtungen.
An der Abschaltung beteiligten sich neben Microsoft auch Cloudflare, Coinbase, OpenAI, SpyCloud und weitere Partner. Microsoft empfiehlt Unternehmen, die „Device Code Authentication“ nur dort einzusetzen, wo sie tatsächlich benötigt wird. Zudem sollten Zahlungsanweisungen immer über einen zweiten unabhängigen Kanal überprüft werden.