微软拆掉 AI 钓鱼平台 EvilTokens：12,000 个邮箱被端，用 AI 挑诱饵、读信箱

9 月 22 日，微软威胁情报团队在安全博客公开剖析钓鱼即服务（PhaaS）平台 EvilTokens。该平台 2026 年 2 月出现后迅速成为使用最广的 PhaaS 之一，微软称其协助的商业邮件诈骗活动已攻陷 12,000 多个邮箱、涉及 10,000 家以上机构。

它把 AI 用在了攻击链两端。前端是诱饵：平台提供 AI 助手，配合 44 种主题模板（发票、招标文件、共享文件等）批量生成针对特定目标的邮件，并投递恶意链接、PDF 附件与 HTML 文件；被滥用的是 OAuth 设备码流——这个为电视、打印机等无键盘设备设计的合法登录流程，被拿来在另一台设备上骗取用户输入代码，从而窃取令牌。

后端是读信箱：拿到令牌后，攻击者用 AI 助手翻找受害者邮箱活动，再据此撰写更可信的钓鱼邮件，并用 Microsoft Graph 做组织架构与权限侦察，还通过创建隐藏邮件的收件箱规则持久化。微软把该组织编号为 Storm-2992，并称其数字犯罪部门（DCU）已联合伙伴切断该平台使用的基础设施。

它改变了什么：钓鱼的瓶颈从「写得像」变成「读得懂」——AI 让攻击者能在攻入后按真实邮件内容定制下一封信，防御重心相应从邮件网关前移到令牌与会话。边界：本条读的是微软官方博客正文，攻击规模与组织编号均为微软单方口径。

原文链接：微软安全博客