Microsoft Salı günü, endüstri çapında yürütülen bir operasyonla yapay zeka destekli bir sohbet robotu kullanan ve birkaç ay içinde 12 bin Microsoft hesabını tehlikeye atan abonelik tabanlı bir dolandırıcılık platformunu çökerttiğini açıkladı.
EvilTokens adı verilen platform Şubat ayında bir Telegram kanalından tanıtıldı ve başlangıçta 1.500 dolar ücret alıp ardından her ay 500 dolar tekrarlayan ücret talep etti. EvilTokens, büyük sayıda e-posta hesabını tehlikeye atmak için gereken adımların çoğunu hızlandıran tek bir hizmet sundu. Buradan itibaren platform müşterilerin gelen kutularını analiz etmelerine, en büyük potansiyel ödemeyi sağlayacak hedefleri seçmelerine ve saldırganların kontrolündeki hesaplara para transferi yapmaları için şirket çalışanlarını kandırmaya yönelik gerçekçi bahaneler içeren takip e-postaları hazırlamalarına yardımcı oldu.
Dakikalar, günler değil
Microsoft açıklamasında, “EvilTokens siber suçluların e-posta hesaplarına erişmesine yardımcı olurken, hizmetin merkezinde mağdurun gelen kutusunu analiz edebilen ve suçlulara güven ilişkilerini, ödeme onaylarını ve hassas sorumlulukların yanı sıra dolandırıcılığın en muhtemel başarılı olacağı diğer durumları belirlemede yardımcı olan yapay zeka tarzı bir sohbet robotu vardı” dedi. “Platform hatta dolandırıcılık stratejileri önerebiliyor, güvenilen kişileri taklit eden mesajlar taslaklayarak suçluların mağdurları harekete geçmeye kandırmasına yardımcı olabiliyordu.”
Microsoft, EvilToken kullanıcılarının dünya genelinde 10 bin kuruluşa ait 12 bin müşteri hesabını tehlikeye attığını, bunların en yüksek yoğunluğunun ABD’de görüldüğünü bildirdi. En fazla vakanın görüldüğü diğer ülkeler Kanada, İngiltere, Avustralya, Hindistan ve Fransa oldu. Mağdur kuruluşlar arasında toptan dağıtım, inşaat, finansal hizmetler, gayrimenkul, yükseköğretim ve sağlık yer aldı. Operasyona destek veren güvenlik firması SpyCloud’un mağdurlara ilişkin daha fazla detay paylaştığı belirtildi.
Yasal süreç ve bir ortak ağı kullanılarak Microsoft, EvilTokens’ı işletmek için kullanılan 50 web sitesine ve 150 alan adına el koydu. İngiltere’nin Metropolitan Polis Teşkilatı, suç platformuyla bağlantılı olduğu iddia edilen suçlamalardan şüphelenilen iki kişiyi gözaltına aldı.
Hesapların ele geçirilmesi, cihaz kodu kimlik doğrulaması olarak bilinen meşru bir OAuth süreci üzerinden gerçekleştirildi. Bu kimlik doğrulama biçimi televizyonlar ve normal giriş işlemlerini gerçekleştirmek için arayüzü bulunmayan giriş kısıtlı cihazlar için tasarlanmıştır. Bu modelde oturum açılan cihaz bir kod sunar ve kullanıcının kodu ayrı bir cihazdaki bir tarayıcıya girmesini ister. Yeni cihaz daha sonra doğrulanır.
