EvilTokens, een phishing-as-a-service platform, gebruikt AI om Microsoft 365-accounts te compromitteren en aanvallen te versnellen.
Cybercriminelen gebruiken steeds vaker AI om traditionele aanvalsmethoden te versnellen en te verbeteren. Een recent voorbeeld is EvilTokens, een phishing-as-a-service platform dat aanvallers helpt toegang te krijgen tot Microsoft 365-inboxen. Vervolgens analyseert AI de omgeving om de meest effectieve vervolgstappen te bepalen.
EvilTokens, voor het eerst geïdentificeerd in februari 2026, maakt misbruik van de device authorization grant flow binnen OAuth 2.0. Hierdoor kunnen aanvallers Microsoft-accounts benaderen zonder frauduleuze inlogpagina’s te hoeven maken. Na het ontmantelen van de groep Storm-2992, die achter deze operatie wordt vermoed, meldde Microsoft dat AI in elke fase van de aanvalsketen werd ingezet.
AI vermindert de wrijving in het aanvalstraject, dat doorgaans bestaat uit toegang verkrijgen, uitbreiden van privileges en het bereiken van het doel, zoals datadiefstal of ransomware. EvilTokens illustreert hoe AI snelheid, schaal, verfijning en uithoudingsvermogen – de zogenaamde 'Vier S’en' – combineert in één dienst. Het platform overtuigt slachtoffers om toegang te verlenen via legitieme authenticatiestromen, waarna AI bepaalt wie verantwoordelijk is voor betalingen, welke zakelijke relaties vertrouwen genieten en welke facturen frauduleus kunnen worden misbruikt. Vervolgens genereert het overtuigende valse berichten gebaseerd op echte zakelijke communicatie.
Deze ontwikkeling vraagt om een herziening van de manier waarop detectie- en responstijden worden beoordeeld. Traditionele metrics zoals mean-time-to-detect (MTTD) en mean-time-to-respond (MTTR) verliezen aan relevantie omdat AI-aanvallers sneller en effectiever kunnen handelen. Een detectie binnen 30 minuten kan onvoldoende zijn als de aanvaller in die tijd al aanzienlijke schade kan aanrichten. Effectieve beveiliging vereist daarom niet alleen snelle detectie, maar ook directe containment om verdere escalatie te voorkomen.
Daarnaast is het van belang beveiligingsmaatregelen niet geïsoleerd te testen, aangezien echte aanvallen zich over meerdere systemen en technologieën verspreiden. De casus EvilTokens benadrukt hoe AI-ondersteunde analyse en besluitvorming als kant-en-klare diensten beschikbaar zijn voor cybercriminelen, waardoor de complexiteit en snelheid van aanvallen toenemen.
