LONDON / LONDON (IT BOLTWISE) – Microsoft hat eine Abo-Scam-Plattform mit KI-gestütztem Chatbot aus dem Verkehr gezogen, die in wenigen Monaten 12.000 Microsoft-Konten kompromittiert haben soll. Die Angreifer nutzten dabei ein OAuth-Verfahren namens „device code authentication“, um die Anmeldung über dynamische Geräte-Codes bis ins Backend durchzuziehen. Laut Microsoft wurde die Plattform zuvor im Februar über Telegram beworben und verlangte anfangs 1.500 US-Dollar plus monatlich 500 US-Dollar. Begleitend wurden 50 Websites und 150 weitere Domains beschlagnahmt, während die Ermittler in Großbritannien zwei Männer festnahmen.
Dass eine Betrugsplattform in der Lage ist, innerhalb weniger Monate tausende Microsoft-Konten zu kompromittieren, war für sich genommen schon bedenklich. Entscheidend ist aber, wie stark sich das Muster verändert: Nach Angaben von Microsoft lief der Angriff nicht mehr nur über „klassische“ Spam- und Phishing-Ketten, sondern über eine durch KI-gestützte Nutzerlogik verbesserte Schritt-für-Schritt-Automation. Die Plattform trug den Namen EvilTokens und wurde laut Microsoft über einen Telegram-Kanal eingeführt, inklusive Abo-Modell mit einer Einstiegssumme von 1.500 US-Dollar und danach 500 US-Dollar pro Monat. Damit zielte das Angebot erkennbar auf Skalierbarkeit ab: Nicht nur der Versand von Nachrichten ließ sich beschleunigen, sondern auch die Auswahl der wahrscheinlichsten Opfer und die Formulierung der anschließenden Betrugsversuche.
Technisch greifen solche Kampagnen häufig auf Identitätsmechanismen zu, die im Alltag als legitim gelten. Genau hier setzte EvilTokens an: Microsoft beschreibt die Account-Kompromittierung über ein OAuth-Verfahren namens device code authentication, also einen Flow, der ursprünglich für Geräte mit eingeschränkter Eingabe gedacht ist, etwa Smart-TV-Systeme. In diesem Modell erhält das neue Gerät einen Code und der Nutzer trägt ihn auf einer separaten Browser-Oberfläche ein; anschließend wird das neue Gerät authentifiziert. EvilTokens nutzte diese Logik, um sich über dynamische Geräte-Codes systematisch in die Identitätskette einzuklinken. Die Plattform koppelte dabei eine Backend-Komponente (laut Beschreibung Node.js) an die Oberfläche für den Nutzer, sodass das Geschehen Ende-zu-Ende funktioniert – von der Code-Generierung bis zu den Aktivitäten nach der Kompromittierung.
Die eigentliche „KI-Komponente“ beschreibt Microsoft als AI-Style-Chatbot, der nicht bloß Texte generiert, sondern die Inbox des Opfers auswertet und damit den Angriff konzeptionell steuert. Laut Microsoft half der Chatbot dabei, „trusted relationships“, Zahlungsfreigaben und sensible Verantwortlichkeiten zu identifizieren – also genau die Informationen, die einen späteren Social-Engineering-Schritt glaubwürdig machen. Auch die Betrugsstrategie sollte sich aus der Analyse ableiten lassen: Der Bot konnte laut Microsoft Vorschläge für Betrugsrouten machen, einschließlich Nachrichtenentwürfen, die vertrauenswürdige Kontakte imitieren. In der Praxis wird damit aus einer generischen Vorlage ein situativer Rummelplatz aus Absenderbeziehungen, Rollen und Timing-Logik. Microsoft nennt zudem, dass EvilTokens in „Slices“ arbeitete, indem pro Analyse 5.000 kompromittierte E-Mails verarbeitet wurden, um passende Zielpersonen und Rollen zu finden.
Für die Wirkung der Operation ist nicht nur relevant, wie die Identitätsschicht umgangen wurde, sondern wie konsequent die Plattform danach weiterautomatisiert. EvilTokens stellte Nutzerinnen und Nutzern laut Microsoft ein Dashboard bereit, das Lures (also Lock- bzw. Betrugsanreize) auf die Profile der ins Visier genommenen Organisationen zuschnitt. Danach automatisierte das System weitgehend den restlichen Angriff: Es bestimmte, welche Mitarbeitenden über die Autorisierung für größere Geldzahlungen verfügten, welche Manager diese Personen beaufsichtigten, und unter welchen plausiblen Umständen der Manager oder andere Verantwortliche die Zielperson zum Transfer anweisen würden. Microsoft ordnet das als „major shift“ ein, weil Täter andernfalls oft Zeit benötigen, um aus vielen E-Mails erst die relevante Organisationsstruktur zusammenzusetzen. Diese Hürde sinkt durch KI-gestützte Analyse drastisch – und genau deshalb kann die Kompromittierung im Ergebnis schneller in echte Handlungen münden.
Auch die Reichweite zeigt, dass es sich um eine ernsthafte Infrastruktur handelte, nicht nur um einzelne Fehlversuche. Microsoft zufolge nutzten Angreifer EvilTokens, um 12.000 Kundenkonten von 10.000 Organisationen weltweit zu kompromittieren; die höchste Konzentration lag in den USA. Als weitere Länder nennt Microsoft Kanada, das Vereinigte Königreich, Australien, Indien und Frankreich. Die betroffenen Branchen umfassten nach Darstellung von Microsoft unter anderem Großhandel, Bauwesen, Finanzdienstleistungen, Immobilien, Hochschulen und das Gesundheitswesen. Unterstützt wurde die Disruption laut Microsoft durch eine Sicherheitsfirma, die bei der Identifikation von Opfern und bei der Operation Details geliefert haben soll. In der gleichen Darstellung werden auch infrastrukturelle Maßnahmen sichtbar: Mit einem rechtlichen Prozess und einem Netzwerk von Partnern beschlagnahmte Microsoft 50 Websites und weitere 150 Domains, die für den Betrieb von EvilTokens genutzt worden seien.
Für die Sicherheitsverantwortlichen in Unternehmen ergibt sich daraus eine klare Handlungslogik, die über „nur“ Antivirensignaturen hinausgeht. Microsoft formuliert die wichtigste Lehre so, dass eine kompromittierte Inbox möglicherweise innerhalb von Minuten und nicht erst innerhalb von Tagen verstanden und ausgenutzt wird. Strong identity protections und Monitoring bleiben laut Microsoft essenziell; gleichzeitig rät Microsoft dazu, Änderungsanfragen zu Zahlungsinformationen, Umleitungen von Geldern oder ungewöhnliche Transaktionen nicht allein über einen Kanal zu genehmigen, sondern über eine zweite, unabhängige Vertrauensspur zu verifizieren. Das ist in der Praxis oft die Lücke zwischen technischer Erkennung und prozessualer Absicherung: Wenn ein OAuth-Flow scheinbar „normal“ durchläuft, muss die Entscheidungskette für Zahlungs- oder Freigabevorgänge dennoch zusätzliche Prüfungen haben.
Ein weiterer Punkt ist die Frage, wie sich solche Attacken künftig weiterentwickeln könnten. Wenn eine Plattform dynamische device codes erzeugen und die Interaktion so gestalten kann, dass klassische Signatur- oder Mustererkennung langsamer greift, steigen die Anforderungen an verhaltensbasierte Erkennung und an Validierung auf höherer Ebene, etwa entlang von Nutzerkontext, Geräteprofilen und Freigabe-Workflows. Auch organisatorisch lohnt es sich, den Blick nicht ausschließlich auf E-Mail-Scanner zu richten, sondern die Kette „Account-Access → Kontextgewinnung → Zahlungsfreigabe“ gemeinsam zu betrachten. Microsofts Hinweis auf zweite Kanäle und unabhängige Verifikation ist dabei weniger ein allgemeiner Appell als eine konkrete Designvorgabe für Unternehmensprozesse.
Ergänzend ordnen die Ermittlungen die Sache zeitlich in eine reale Strafverfolgung ein. Laut Metropolitan Police Service wurden zwei Männer festgenommen, weil sie verdächtigt werden sollen, im Zusammenhang mit den Vorwürfen rund um die Plattform Delikte begangen zu haben; das Verfahren ist damit nicht als abgeschlossen dargestellt. Insgesamt zeigt der Fall, wie stark sich Angreifer-Ökosysteme in Richtung „Produktisierung“ bewegen: Ein Abo-Service, der Identitätsflows, Datenanalyse und Betrugsformulierung in einem durch KI verbesserten Ablauf bündelt, senkt nicht nur die Einstiegshürde für weniger erfahrene Täter, sondern macht auch die Reaktionsgeschwindigkeit der Verteidiger zum entscheidenden Faktor.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Microsoft stoppt KI-Chatbot-Scam: 12.000 Konten durch „EvilTokens“ kompromittiert" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Microsoft stoppt KI-Chatbot-Scam: 12.000 Konten durch „EvilTokens“ kompromittiert" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Microsoft stoppt KI-Chatbot-Scam: 12.000 Konten durch „EvilTokens“ kompromittiert« bei Google Deutschland suchen, bei Bing oder Google News!