En Telegram-baserad tjänst lät vem som helst kapa e-postkonton och låta AI peka ut vem på företaget som var värd att lura. Efter en insats ledd av Microsoft, med Coinbase och flera andra teknikbolag, har två män gripits i London.
Nya AI-verktyget avslöjat: Letade upp vem på bolaget som var värd att lura
Plattformen kallades EvilTokens och lanserades i februari i år. Enligt Microsoft kopplades den inom några månader till över 12 000 kapade e-postkonton i mer än 10 000 organisationer världen över, i branscher från grosshandel och bygg till finans, fastigheter, högre utbildning och vård.
Det som skiljer EvilTokens från vanliga nätfiskekampanjer är vad som hände efter intrånget. I centrum stod en AI-chattbot som gick igenom offrets inkorg, kartlade förtroenderelationer och pekade ut vem som hade mandat att godkänna betalningar, skriver Steven Masada, chef för Microsofts Digital Crimes Unit, i ett blogginlägg.
Missa inte: Blev av med 10 miljoner i vd-bedrägeri – men företaget slipper betala. Realtid
Med den informationen kunde bedragarna skräddarsy mejl till just de personer som kunde flytta pengar. Det är ett tydligt steg bort från de breda massutskick som länge präglat nätfiske.
Offren lämnade själva ut åtkomsten
Metoden för själva intrånget var enkel men effektiv. Offren fick mejl med länkar till falska Microsoft- eller Docusign-sidor som visade en kod, och uppmanades sedan att skriva in den på Microsofts äkta inloggningssida. Därmed gav de angriparna åtkomst till kontot utan att någonsin lämna ut sitt lösenord, en åtkomst som enligt Fortune kringgick tvåfaktorsautentisering och överlevde lösenordsbyten.
Läs även: I fem månader svarade banken på polisens frågor – polisen fanns inte. Dagens PS
Enligt Coinbase var det mest oroande att verktyget knappt krävde några tekniska kunskaper.
”Det raderar helt tröskeln för nätfiske som tjänst, och det kan drivas i industriell skala”, säger Charlotte Surrey, utredare på Coinbases globala underrättelseteam, till Fortune.
Omkring 1 000 cyberkriminella ska ha använt tjänsten, uppger en talesperson för Microsoft till CyberScoop.
Två män gripna i London
Coinbase och Microsoft delar regelbundet hotinformation, och säkerhetsteamen ägnade månader åt att spåra vem som låg bakom tjänsten. Uppgifterna lämnades sedan vidare till brittisk polis.
Missa inte: Bedragare lurade Alphabets styrelseordförande på miljoner: döms till fem år. Realtid
Tidigare i september grep Metropolitan Police två män, 32 och 38 år gamla, misstänkta för att ha tillverkat hjälpmedel för bedrägeri samt för penningtvätt. Båda har släppts mot borgen medan utredningen fortsätter.
Parallellt fick Microsoft stöd av en amerikansk federal domstol i Virginia för att beslagta 50 webbplatser och slå ut över 150 domäner kopplade till tjänsten. Insatsen gjordes tillsammans med bland andra Health-ISAC, Cloudflare och Open AI. Det är Digital Crimes Units 40:e domstolsgodkända tillslag, och det första mot vad Microsoft beskriver som en helt AI-driven cyberbrottstjänst.
Intäkterna är kända – inte skadan
Utredarna har spårat omkring 1,1 miljoner dollar i kryptovaluta, från fler än 700 olika adresser, till operatörerna. Det rör sig dock om intäkter från försäljningen av tjänsten, inte om de samlade bedrägeriförlusterna. Dem har Microsoft inte kvantifierat.
Upplägget är inte unikt. Tidigare i år stämde Google nätverket bakom Outsider, en liknande färdigpaketerad nätfisketjänst som också samordnades via Telegram.
Samtidigt blir angreppen mot företagens ekonomifunktioner allt mer avancerade, vilket ett spanskt vd-bedrägeri med klonade chefsröster nyligen visade. Säkerhetsbranschen har länge varnat för att AI lyfter cyberbrottsligheten till en ny nivå.
Och hotet är långt ifrån borta. Enligt Coinbase arbetade gänget vid tillslaget redan på nya verktyg riktade mot Okta- och Gmail-konton.
