Was passiert
Microsoft gab am Dienstag die Abschaltung des EvilTokens-Services bekannt – einer Phishing-Infrastruktur, die gezielt Device-Code-Authentifizierungsflüsse angegriffen und dabei künstliche Intelligenz systematisch in alle Phasen des Angriffs integriert hatte. Die Aktion erfolgte mit Genehmigung des U.S. District Court for the Eastern District of Virginia und war das Ergebnis einer koordinierten Anstrengung mehrerer Sicherheitsorganisationen und Technologieunternehmen.
An der Operation beteiligt waren neben Microsoft die Health-ISAC (Information Sharing and Analysis Center), Cloudflare, Coinbase, OpenAI, Railway, SpyCloud und The Shadowserver Foundation. Diese Koalition arbeitete zusammen, um die Infrastruktur zu identifizieren, zu dokumentieren und letztlich lahmzulegen.
Das EvilTokens-Netzwerk hatte nach Microsofts Darstellung mindestens 12.000 Unternehmenskonten kompromittiert. Die Angreifer nutzten dabei eine spezialisierte Taktik, die auf Device-Code-Flows abzielte – einen Authentifizierungsmechanismus, der typischerweise bei Geräten mit eingeschränkten Eingabemöglichkeiten verwendet wird, beispielsweise Smart TVs oder IoT-Geräten. Benutzer erhalten dabei einen Code, den sie auf einem separaten Browser-Gerät eingeben müssen, um sich anzumelden.
Die KI-Komponente wurde nach Aussage Microsofts "in jedem Schritt der Angriffskette" eingesetzt. Das bedeutet, dass der Service nicht nur Phishing-E-Mails generierte, sondern auch deren Verteilung optimierte, Ziele identifizierte und wahrscheinlich sogar die Konversationen mit potenziellen Opfern personalisierte – alles automatisiert und skalierbar. Dies stellt eine qualitative Veränderung dar gegenüber traditionellen Phishing-Kampagnen, die zwar massenweise durchgeführt werden, aber üblicherweise mit generischen Templates arbeiten.
Die genaue Zeitspanne der Kampagne und die Identität der Betreiber wurden in Microsofts Ankündigung nicht vollständig offengelegt. Üblicherweise folgen solche Takedown-Aktionen einer Phasenlogik: Erste Identifikation durch Security-Teams, interne Sicherung von Beweisen, Koordination mit Behörden und schließlich die technische Abschaltung. In diesem Fall dauerte dieser Prozess offenbar mehrere Monate.
Einordnung
Device-Code-Flows sind ein relativ junger Ansatzpunkt für Phishing-Angriffe. Sie entstanden als praktische Lösung für das Problem, dass Benutzer auf Geräten ohne Tastatur oder grafische Schnittstelle sich nicht einfach einloggen können. Der OAuth 2.0 Device Authorization Grant (RFC 8628) standardisierte diesen Prozess, sodass Benutzer einen Code auf einem anderen Gerät eingeben, während sich das Originalgerät parallel authentifiziert. Dies ist per se eine sichere Methode – solange der Benutzer weiß, dass er gerade einen Login-Prozess eingeleitet hat.
Das Problem: In der Praxis wissen Nutzer oft nicht, dass im Hintergrund ein Device-Code-Flow läuft. Ein Phishing-Angreifer kann daher E-Mails versenden, die den Empfänger täuschen und zum Besuch einer gefälschten Microsoft-Seite bringen, wo dieser einen Device-Code eingeben soll – weil der Angreifer auf der anderen Seite der Authentifizierung sitzt und diesen Code bei sich eingegeben hat. Der Nutzer fällt auf den Trick herein und gibt unwissentlich einem Angreifer Zugang zu seinem Konto.
Der Einsatz von KI in dieser Attacke macht den Ansatz skalierbar und adaptiv. Traditionell müssten Phishing-Kampagnen manuell gestaltet und versendet werden. Mit KI können Templates in Echtzeit an verschiedene Branchen, Unternehmen und Personen angepasst werden. Machine-Learning-Modelle können Öffnungsraten vorhersagen und optimieren, welche Uhrzeiten und Betreffzeilen höhere Erfolgsquoten versprechen. Gleichzeitig können KI-Systeme automatisch feststellen, welche E-Mail-Adressen aktiv sind und welche Unternehmen besonders anfällig erscheinen.
Die Beteiligung von OpenAI an der Takedown-Aktion ist signifikant, da es andeutet, dass der Service möglicherweise GPT-Modelle oder ähnliche LLMs missbraucht hatte – entweder durch gehackte API-Keys, kompromittierte Konten oder Umgehung von Abuse-Filtern. Die Zusammenarbeit zwischen Tech-Unternehmen bei solchen Aktionen zeigt auch einen Wandel: Cybersecurity ist zunehmend nicht mehr isolierte Verteidigung einzelner Unternehmen, sondern erfordert Informationsaustausch und koordinierte Gegenmaßnahmen auf Infrastruktur-Ebene.
Was das bedeutet
Dieser Fall illustriert ein strukturelles Problem, das sich mit der Verbreitung von KI verschärft: Automatisierungswerkzeuge senken die Hürde für großflächige, zielgerichtete Angriffe. Während Phishing bisher eine Massenticke war – viele schlecht gemachte E-Mails in der Hoffnung, dass einige durchkommen – können KI-Systeme jetzt Millionen von personalisierten, kontextuellen Phishing-Mails erstellen, die schwer von echten Komunikationen zu unterscheiden sind.
Für Unternehmen und einzelne Benutzer bedeutet dies, dass klassische Phishing-Abwehr allein nicht ausreicht. Die Kombination aus mehrstufiger Authentifizierung (MFA), Anomalie-Erkennung und Benutzertraining wird wichtiger. Device-Code-Flows müssen skeptischer betrachtet werden – wer einen solchen Code sieht, ohne ihn selbst angefordert zu haben, sollte dies als Warnsignal interpretieren.
Die Takedown-Aktion zeigt auch, dass organisierte Cyberattacken mit Behörden und internationalen Partnern bekämpft werden können. Allerdings ist dies reaktiv – es stoppt einen bestehenden Service, aber nicht die Methode selbst. Neue EvilTokens-ähnliche Dienste werden mit hoher Wahrscheinlichkeit entstehen. Die eigentliche Verteidigungslinie bleibt auf der Seite der Organisationen, die ihre Systeme härten und Benutzer sensibler machen müssen.
