The Pulse

Microsoft e Coinbase smantellano il servizio di phishing basato sull’IA EvilTokens

Un’operazione coordinata ha interrotto le attività di EvilTokens, una piattaforma di phishing-as-a-service che usava l’IA per analizzare caselle di posta compromesse e prendere di mira pagamenti in criptovaluta, afferma Coinbase.

AI.info Team · Scritto con l’IA · verificato · 2026-09-22

«Se costruite, vendete o acquistate strumenti per frodare gli utenti di criptovalute, vi troveremo.»

Leah Bressack, autrice di Coinbase

Microsoft e Coinbase hanno contribuito a smantellare EvilTokens, una piattaforma di phishing-as-a-service che usava l’intelligenza artificiale per trasformare gli account email compromessi in opportunità di frode pronte all’uso. Il 22 settembre 2026 Coinbase ha dichiarato che l’operazione ha portato al sequestro di 50 siti web, alla disattivazione di oltre 175 domini collegati e all’arresto dei presunti gestori da parte della Metropolitan Police nel Regno Unito.

L’operazione mostra come EvilTokens collegasse il furto di account, l’analisi delle caselle di posta e le frodi sui pagamenti in un unico servizio in abbonamento. Microsoft ha sostenuto un’azione civile che ha portato al sequestro delle infrastrutture, mentre Coinbase ha tracciato i pagamenti in criptovaluta e segnalato alle forze dell’ordine i presunti gestori e clienti. Tra gli altri partecipanti figuravano Health-ISAC, Cloudflare, OpenAI, Railway, SpyCloud, The Shadowserver Foundation e TRM Labs.

EvilTokens trasformava l’accesso alle caselle di posta in un processo di frode

EvilTokens operava attraverso bot su Telegram e vendeva l’accesso a strumenti per la compromissione della posta elettronica aziendale. Secondo Coinbase, la piattaforma offriva la raccolta di indirizzi email, la ricognizione, un’interfaccia webmail integrata, l’uso di token di accesso e l’automazione assistita dall’IA. Il suo gestore si stava inoltre preparando a estendere il servizio agli account Gmail e Okta quando gli investigatori ne hanno interrotto le attività.

La piattaforma sfruttava la procedura di accesso con codice dispositivo di Microsoft. Le vittime ricevevano messaggi convincenti generati dall’IA, presentati come fatture, documenti condivisi o notifiche di messaggi vocali, e venivano indirizzate a una falsa pagina Microsoft o DocuSign che mostrava un codice di accesso. Venivano poi invitate a inserire quel codice sul sito legittimo di Microsoft, autorizzando così la sessione di un aggressore e aggirando l’autenticazione a più fattori.

Una volta ottenuto l’accesso, gli aggressori potevano registrare dispositivi in Entra ID, creare regole della casella di posta per nascondere gli avvisi e cancellare le prove, e fingersi dipendenti dell’area finanziaria, dirigenti o fornitori nelle conversazioni in corso sui pagamenti. Secondo Coinbase, i token di accesso rubati potevano rimanere validi anche dopo la reimpostazione delle password, consentendo ai criminali di mantenere l’accesso dopo che le vittime avevano cambiato le proprie credenziali.

L’IA individuava le persone più propense ad approvare i pagamenti

La caratteristica distintiva di EvilTokens era un analista basato sull’IA all’interno della casella di posta compromessa. Il sistema mappava le relazioni di fiducia, individuava chi controllava i pagamenti e segnalava le conversazioni in cui una frode aveva maggiori probabilità di riuscire. In questo modo, un compito che richiedeva ore di esame manuale della casella di posta diventava un processo quasi istantaneo di individuazione dei bersagli.

Gli aggressori potevano usare le informazioni così ottenute per scegliere di chi assumere l’identità e in quale scambio sui pagamenti inserirsi. La piattaforma generava anche messaggi di phishing modellati su documenti aziendali e comunicazioni aziendali di routine, consentendo a criminali meno esperti di imitare le comunicazioni di dipendenti e fornitori reali.

Gli investigatori hanno trovato prove che alcune parti di EvilTokens erano state sviluppate con il «vibe coding»: i criminali avevano cioè usato strumenti di IA per costruire parti del servizio stesso. L’IA ha quindi assistito entrambi i lati dell’operazione: ha contribuito a costruire gli strumenti criminali e ha aiutato i clienti a trasformare l’accesso rubato alle caselle di posta in frodi mirate.

Coinbase ha tracciato 1,1 milioni di dollari attraverso indirizzi Tron

L’indagine di Coinbase ha seguito i pagamenti in criptovaluta di EvilTokens sulla blockchain Tron. La società ha tracciato circa 1,1 milioni di dollari di ricavi della piattaforma attraverso quattro indirizzi Tron tra ottobre 2025 e giugno 2026.

L’analisi ha individuato oltre 1.000 depositi provenienti da più di 700 indirizzi distinti. Coinbase ha combinato i dati delle transazioni con i registri commerciali, le informazioni sui dispositivi e le ricerche su fonti aperte per attribuire il servizio ai presunti gestori. Secondo la società, gli agenti della Metropolitan Police li hanno arrestati l’11 settembre 2026 e hanno sequestrato dispositivi digitali e altri oggetti da esaminare.

Coinbase ha anche indagato sugli acquirenti che usavano la sua piattaforma e ha segnalato i casi pertinenti alle forze dell’ordine. I suoi clienti erano tra le persone danneggiate dalle frodi che ne sono derivate, anche se Coinbase ha dichiarato che i propri account e le proprie credenziali non erano stati compromessi. Le vittime sono state invece manipolate attraverso account email aziendali compromessi per indurle a inviare criptovalute a indirizzi controllati dai truffatori.

L’infrastruttura è fuori uso, ma la tecnica resta

Secondo Coinbase, l’operazione ha eliminato l’infrastruttura di EvilTokens, mentre le indagini penali proseguono nel Regno Unito e altrove. L’operazione fornisce inoltre a chi si occupa di difesa una serie chiara di segnali d’allarme: richieste non sollecitate di inserimento di codici dispositivo, registrazioni non autorizzate di dispositivi in Entra ID, regole nascoste nelle caselle di posta e modifiche ai pagamenti che compaiono in scambi email per il resto legittimi.

Le organizzazioni possono ridurre l’esposizione limitando l’autenticazione tramite codice dispositivo dove non è necessaria, controllando le registrazioni degli account e verificando le modifiche ai pagamenti tramite un numero di telefono noto o un altro canale indipendente. Coinbase raccomanda l’autenticazione resistente al phishing, comprese le passkey e le chiavi di sicurezza hardware.

EvilTokens non ha inventato il phishing tramite codice dispositivo né la compromissione della posta elettronica aziendale. La sua importanza risiede nell’averli combinati entrambi con l’analisi automatizzata delle caselle di posta e con la capacità di prendere di mira i pagamenti in criptovaluta. I domini sequestrati e i fondi tracciati mostrano la portata concreta di questa combinazione: 50 siti web smantellati, oltre 175 domini aggiuntivi disattivati e circa 1,1 milioni di dollari tracciati attraverso quattro indirizzi Tron.