Sinds februari 2026 is de kwaadaardige tool EvilTokens actief, een phishingkit die zich richt op het Microsoft-aanmeldingsproces met apparaatcodes. Deze kit wordt verkocht aan andere cybercriminelen, onder meer via Telegram, voor een initiële prijs van $1.500 en een maandelijkse vergoeding van $500. De tool is gericht op het plegen van Business Email Compromise (BEC)-fraude. Onderzoek van Microsoft heeft aangetoond dat campaigns met deze kit wereldwijd meer dan 12.000 e-mailinboxen van meer dan 10.000 organisaties hebben gecompromitteerd. Microsoft-onderzoekers hebben EvilTokens gelinkt aan de groep Storm-2992, die wordt beschouwd als een sleutelspeler in de opschaling van BEC-aanvallen.

De aanvalsvector start doorgaans met een dringende e-mail die de ontvanger naar een phishingpagina leidt, vaak met betrekking tot facturen, gedeelde bestanden, documenthandtekeningen of verlopen wachtwoorden. Op deze pagina wordt de gebruiker gevraagd om een code in te voeren die op het scherm wordt weergegeven om de aanmelding te voltooien. Het legitieme aanmeldingsproces met apparaatcodes is bedoeld voor apparaten die geen volledig inlogformulier kunnen weergeven, waarbij een korte code op een browser wordt ingevoerd om toegang goed te keuren. EvilTokens draait dit proces echter om: de aanvaller initieert de aanvraag en misleidt het slachtoffer vervolgens om deze te voltooien. De kit genereert telkens een nieuwe code wanneer het slachtoffer de phishingpagina bezoekt. Deze code kan naar het klembord worden gekopieerd en het slachtoffer kan vervolgens worden doorgestuurd naar de legitieme aanmeldingsportal van Microsoft. De echtheid van de aanmeldingspagina verraadt niet wie de aanvraag heeft geïnitieerd.

De phishingkit omzeilt het stelen van wachtwoorden door gebruikers te laten goedkeuren dat een aanvaller zich aanmeldt via het legitieme proces voor apparaatcodes. Gedurende het aanmeldingsproces van het slachtoffer controleert een geautomatiseerd proces herhaaldelijk of de goedkeuring is voltooid. Eenmaal verkregen, kunnen de aanvallers de tokens gebruiken om e-mails te lezen, te zoeken naar betalingsgegevens en gecompromitteerde accounts te gebruiken om contact op te nemen met collega's of externe partners. De kit bevat AI-functies die helpen bij het opstellen van aangepaste lokmiddelen, afgestemd op de functie van een persoon, en het doorzoeken van e-mails van leidinggevenden, financiële medewerkers en beheerders. De AI kan ook organisatorische relaties in kaart brengen voor toekomstige aanvalsfasen. De aanvallers kunnen misleidende links in afbeeldingen plaatsen, gebruikmaken van omleidingen en valse verificatiecontroles tonen voordat de aanmeldingsprompt verschijnt.

De kit biedt functies zoals een dashboard met 44 thema's, omleidingsopties en slachtofferopsporing, waardoor abonnees campagnes kunnen uitvoeren zonder alle componenten zelf te hoeven ontwikkelen. In april werden duizenden kortstondige automatiseringsnodes waargenomen, wat het lastig maakt om een specifieke phishing-adres te herleiden tot de bredere operatie. Aanvallers kunnen inboxregels aanmaken om berichten te verbergen of nieuwe apparaten registreren voor langdurige toegang. In sommige gevallen werd apparaatregistratie binnen 10 minuten na een inbreuk waargenomen.

Het risico manifesteert zich voornamelijk in factuurfraude met impersonatie van leidinggevenden, waarbij een geloofwaardig verzoek de juiste financiële medewerker bereikt. Betrokken sectoren zijn onder meer financiën, bouw, gezondheidszorg en onderwijs. De meeste slachtoffers bevonden zich in de Verenigde Staten, Canada, het Verenigd Koninkrijk, Australië, India en Frankrijk.

Organisaties wordt aangeraden om aanmeldingen met apparaatcodes te blokkeren waar deze niet essentieel zijn en deze strikt te beperken waar ze wel noodzakelijk zijn. Werknemers moeten getraind worden om geen codes goed te keuren die ze niet zelf hebben aangevraagd, waakzaam te zijn voor ongebruikelijke aanmeldingen en nieuwe inboxregels, en betalingsverzoeken onafhankelijk te verifiëren. Bij vermoeden van een compromittering is het raadzaam bestaande toegangstokens in te trekken en mailboxactiviteiten te onderzoeken. Bestaande toegangstokens kunnen tot een uur na standaard intrekking van sessies bruikbaar blijven, waardoor het tijdelijk uitschakelen van het account onmiddellijke beheersing kan bieden terwijl geregistreerde apparaten en verborgen e-mailregels worden gecontroleerd.