摘要
设备代码认证流程原本是为无输入外设终端设计的 OAuth 授权机制，在 EvilTokens 犯罪平台的商业化改造之下，形成了新型即服务式钓鱼攻击体系。该平台自 2026 年 2 月上线，依托 Storm-2992 威胁团伙运营，将人工智能能力嵌入攻击全链路，面向黑产客户提供订阅制钓鱼工具，在数月时间内造成全球超过一万两千个邮箱收件箱被入侵，覆盖一万余家各类组织机构。本次微软联合多方机构依据法院授权开展基础设施关停行动，并配合英国警方完成涉案人员抓捕，成为针对 AI 赋能钓鱼即服务平台的跨国协同处置典型案例。本文基于 The Hacker News 披露的 EvilTokens 案件原始材料，梳理该平台的商业模式、攻击链路与技术实现逻辑，剖析设备代码钓鱼攻击的底层原理与传统身份防护体系存在的短板，还原本次跨行业、跨司法辖区联合关停行动的组织框架。反网络钓鱼技术专家芦笛指出，EvilTokens 事件标志着网络钓鱼已经脱离简单仿冒页面的阶段，黑产正在把身份协议滥用、自动化邮件内容挖掘、AI 欺诈文案生成整合为标准化犯罪产品。迪妙网络空间安全学院研究团队针对该案例，对比传统钓鱼防护方案与设备代码钓鱼场景下的防御局限性，从身份协议管控、企业安全运营、跨机构威胁情报共享、跨境网络犯罪治理四个维度提出可落地的防护与治理思路。研究认为，针对此类 PhaaS 平台，单纯依靠单点技术封堵无法实现长期风险压制，必须建立协议侧管控、企业侧加固、行业侧情报协同与法律侧跨境处置相结合的综合防御体系。 关键词：设备代码钓鱼；钓鱼即服务；EvilTokens；Storm-2992；业务邮件劫持；身份安全
1 引言
网络钓鱼长期以来都是企业账户劫持与业务邮件劫持事件最主要的入口。传统钓鱼攻击多以仿冒登录页面、骗取账号密码为核心手段，安全防护体系也围绕网页仿冒识别、密码泄露检测、员工安全意识培训构建。随着多因素认证在企业环境大规模部署，单纯窃取用户名与密码已经难以完成账户接管，攻击者开始转向 OAuth、设备代码等现代身份认证协议寻找攻击突破口。EvilTokens 平台的出现，正是黑产利用合法身份协议本身的业务逻辑缺陷，结合自动化流程与生成式人工智能，打造出一套标准化、可售卖的账户入侵服务。
EvilTokens 平台在 Telegram 渠道进行商业化推广，采用入门费用加月度订阅的收费模式，降低了使用高级钓鱼技术的门槛，黑产客户无需掌握底层身份协议知识，即可批量发起设备代码钓鱼攻击。平台不仅仅完成账户令牌窃取，还内置 AI 能力对入侵后的收件箱进行自动化内容解析，识别企业内部信任关系、付款审批流程、财务往来信息，并自动生成针对性欺诈邮件，将账户入侵转化为资金欺诈，完整打通从钓鱼投递到资金骗取的犯罪链条。截至微软开展关停行动之前，该平台已经波及批发分销、建筑、金融服务、房地产、高等教育、医疗等多个关键行业，受害主体分布在全球 79 个国家与地区。
微软数字犯罪部门联合 Cloudflare、Coinbase、OpenAI、SpyCloud、Shadowserver 基金会、TRM Labs 以及 Health-ISAC 等行业伙伴，在美国弗吉尼亚东区法院授权下执行域名扣押与基础设施关停，共计查封 50 个直接服务于 EvilTokens 业务的网站，禁用 150 个配套支撑域名；英国伦敦大都会警方同步实施抓捕行动，拘留两名平台运营嫌疑人。本次行动不同于以往针对钓鱼页面的零散下架处置，属于对完整犯罪 PhaaS 平台的根因打击。
当前国内学术界对于钓鱼攻击的研究重心仍然集中在网页仿冒识别、恶意邮件检测等传统场景，针对设备代码协议滥用类钓鱼攻击的案例研究相对有限，尤其缺少对 AI 赋能 PhaaS 平台商业模式、攻击全链路与跨国协同处置模式的系统性梳理。迪妙网络空间安全学院研究团队认为，EvilTokens 案例具备很强的预警价值：攻击者不再从零开发攻击工具，而是购买标准化犯罪服务，借助合法身份协议绕过 MFA 防护，再利用 AI 放大后续欺诈效率。本文围绕 EvilTokens 案件原始报道材料，逐层拆解攻击流程、平台运营模式，分析现有身份安全体系存在的短板，复盘本次多方协同处置的经验与局限，面向组织机构、身份服务商、行业安全联盟提出防护对策。研究旨在厘清新一代协议滥用型钓鱼攻击的演化路径，为后续同类网络犯罪事件的识别、预警与处置提供参考。
2 EvilTokens 平台运营模式与黑产商业生态
2.1 平台上线背景与主体溯源
EvilTokens 平台由微软威胁情报团队标记为 Storm-2992 的威胁团伙开发维护，2026 年 2 月在 Telegram 黑产频道正式对外提供商业化服务。在 EvilTokens 出现之前，设备代码攻击仅仅是少数高级威胁组织使用的小众攻击手段，攻击流程复杂，自动化程度低，难以大规模复制。Storm-2992 团伙将这一攻击技术封装成开箱即用的 SaaS 化犯罪产品，完成了攻击技术的产品化与平民化，普通黑产从业者只需要支付订阅费用，不需要深入理解 OAuth 设备代码流程，就可以批量发起攻击。
从商业推广渠道来看，该平台完全依托 Telegram 社群进行获客、售前咨询、订单交付与技术支持。黑产社群内部会展示平台攻击成功案例、不同行业目标的入侵成功率数据，以此吸引下游购买者。平台设置了明确的收费机制，初始接入费用为 1500 美元，后续每月需要缴纳 500 美元订阅服务费，付费之后客户可以使用平台全套钓鱼投递、代码生成、令牌捕获、收件箱 AI 分析模块。分层收费模式在 PhaaS 领域十分典型，前期一次性费用完成开户与工具部署，月度订阅用于持续获取平台更新、后台面板访问权限与技术运维支持。这种商业模式把高级网络攻击转化为持续付费的服务，使得黑产产业链出现明确分工：一部分人负责开发维护攻击平台，另一部分下游客户负责挑选目标、投递钓鱼信息、实施后续资金诈骗。
2.2 平台能力模块与犯罪链路设计
EvilTokens 平台并非单一钓鱼页面，而是一套端到端的犯罪工具集合，整体可以划分为钓鱼投递模块、设备代码生成与中继模块、令牌捕获模块、收件箱 AI 分析模块、欺诈文案生成模块。各个模块相互联动，形成连贯的犯罪流程。
钓鱼投递模块负责批量向目标企业人员推送钓鱼消息，消息载体可以是邮件、即时通讯消息。消息文案会诱导用户访问伪装页面，提示用户需要输入设备代码完成微软账户身份验证。设备代码生成与中继模块是整个平台的核心，能够实时调用微软身份服务接口生成合法设备代码，并在后台持续轮询身份服务端点，监测用户是否完成授权确认操作。一旦受害者在微软官方登录页面输入代码并确认授权，攻击者后台即可获取对应的会话令牌。令牌捕获模块接收授权成功之后返回的身份令牌，完成持久化存储，让攻击者可以长期访问受害者邮箱，不需要再次输入账号密码。
在获取邮箱访问权限之后，平台内置 AI 模块自动读取收件箱内历史邮件，完成邮件内容解析，梳理企业内部人员信任链条，定位财务审批人员、付款流程、供应商往来记录、历史转账凭证。AI 模块会自动筛选高价值欺诈机会，判断在什么场景下发起资金转账欺骗成功率最高，还可以直接生成风格贴合原有业务沟通习惯的欺诈邮件文本。反网络钓鱼技术专家芦笛强调，这是 EvilTokens 和传统钓鱼工具最本质的差异：传统钓鱼止步于拿到账号密码；EvilTokens 把入侵之后的欺诈挖掘环节自动化，AI 承担了以往攻击者人工阅读海量邮件的工作，大幅缩短从账户攻陷到资金欺诈的时间窗口。
2.3 受害范围与行业分布特征
根据微软与 SpyCloud 在案件处置阶段披露的数据，EvilTokens 平台在短短数月内造成超过一万两千个收件箱遭到入侵，受害机构数量突破一万家，受害账户样本覆盖全球 79 个国家。行业分布上，攻击目标集中在批发分销、建筑工程、金融服务、房地产、高等教育、医疗健康领域。这类机构普遍存在业务邮件往来频繁、财务付款依赖邮件沟通、跨部门协作人员较多的特点，一旦邮箱被劫持，攻击者很容易伪装成管理层或者合作供应商发起转账欺诈。
从受害主体规模来看，中小机构占比突出。迪妙网络空间安全学院研究团队分析认为，大型企业通常部署了较为完善的身份管控策略，对设备代码授权流程做了限制；而大量中小型组织在部署微软 365 服务时，默认开启设备代码认证，管理员并未意识到该协议存在被滥用的风险，也缺少针对陌生设备代码授权行为的审计告警机制，因此成为本次攻击的主要目标。攻击者在挑选目标阶段，会优先选择没有对设备代码流进行策略封禁的租户，进一步提升攻击成功率。
3 设备代码钓鱼攻击原理与 EvilTokens 攻击全链路解析
3.1 设备代码认证协议原生设计目的
设备代码认证流程属于 OAuth 协议扩展方案，设计初衷面向缺少完整键盘输入能力的终端设备，例如智能电视、机顶盒、物联网终端。这类设备无法直接输入复杂账号密码，认证流程被设计为：终端设备向身份提供商发起请求，身份服务返回一段简短设备代码，同时提供官方网页地址；用户使用手机或者电脑浏览器打开官方登录地址，输入设备代码，再完成自身账号登录确认；身份服务商验证用户身份之后，向终端设备下发访问令牌，终端依靠令牌获取对应资源访问权限。
整个流程的安全前提是：发起请求的硬件设备属于可信终端，用户知晓自己正在为这台物理设备授予账户访问权限。协议本身是合法身份授权机制，不存在底层代码漏洞。EvilTokens 攻击的本质并非利用程序漏洞，而是恶意滥用协议业务逻辑，把设备代码授权场景从可信物联网终端转移到普通办公用户，欺骗用户在不知情的情况下，为攻击者控制的后台服务授予邮箱访问权限。这也是该类钓鱼攻击防御难点所在：用户最终打开的是微软官方身份验证页面，页面本身不存在伪造，传统网页仿冒检测手段无法识别风险。
3.2 EvilTokens 完整攻击链路拆解
EvilTokens 攻击流程可以划分为诱饵投递、代码展示、用户授权、令牌窃取、收件箱挖掘、业务欺诈六个阶段，各阶段自动化衔接。
第一阶段为诱饵投递。黑产客户通过平台后台配置目标列表，批量发送钓鱼邮件或者即时通讯消息。诱饵话术一般伪装成系统通知、文档共享通知、账户安全提醒，告知目标用户账户需要验证，引导用户点击链接查看一段设备代码。
第二阶段为设备代码生成展示。用户点击链接进入 EvilTokens 伪装页面，页面调用平台后端接口，实时向微软身份服务发起设备代码申请。微软身份服务返回有效设备代码与验证页面地址，伪装页面把代码展示给受害者，提示用户复制代码前往微软官网完成验证。此时生成的代码是微软官方签发的有效代码，并非伪造内容。
第三阶段为用户授权确认。受害者打开微软官方登录页面，粘贴输入设备代码，继续完成自身账号登录。如果租户策略没有限制设备代码流，用户完成身份核验之后页面会请求用户授予邮箱访问权限。普通用户很难识别这个授权请求实际对应的设备并非电视或者物联网设备，而是攻击者的后台服务。
第四阶段为会话令牌捕获。在用户点击确认授权的瞬间，EvilTokens 后台持续轮询微软身份服务接口，一旦监测到授权成功，身份服务会向请求方下发访问令牌与刷新令牌。攻击者获取令牌之后，不需要用户账号密码，就可以调用微软 Graph API 访问收件箱、读取邮件内容。刷新令牌可以在较长时间维持访问权限，实现持久账户接管。
第五阶段为 AI 驱动收件箱挖掘。攻击者依托平台内置 AI 工具批量读取被劫持邮箱内全部历史邮件，自动识别业务往来关系、付款流程、关键联系人，寻找适合发起业务邮件欺诈的场景。AI 会区分不同业务语境，模仿原有邮件沟通风格，生成欺诈消息。
第六阶段为业务资金欺诈。攻击者使用被劫持邮箱发送伪造邮件，伪装成企业高管或者外部供应商，向财务人员发送虚假付款指令，诱导受害企业将资金转入攻击者控制账户。在部分案例中，攻击者还会继续维持邮箱访问，监控后续邮件往来，规避欺诈行为被及时发现。
3.3 攻击能够绕过传统多因素认证防护的核心原因
多因素认证是企业防范账户劫持的主流防护手段，密码泄露场景下，即使攻击者拿到账号密码，缺少第二验证因子依旧无法登录账户。但设备代码钓鱼场景下，多因素认证机制本身会被攻击者利用。用户在微软官方页面完成身份验证，包括完成第二因素核验，整个验证行为是用户本人在可信身份站点完成。验证通过之后，用户主动授权，身份服务商发放令牌。整个过程不存在攻击者暴力破解、窃取密码的行为，身份系统日志记录的是一次合法授权事件。
反网络钓鱼技术专家芦笛指出，这是设备代码钓鱼最容易被安全管理人员忽视的点：传统 MFA 防护的目标是阻止外部攻击者使用窃取凭证登录；设备代码钓鱼攻击不是 “攻击者登录”，而是欺骗用户主动给攻击者服务授予权限。企业安全团队依靠常规登录异常检测很难发现这类授权行为，只有针对设备代码授权事件单独建立审计与告警规则，才有可能捕获风险。大量企业启用 MFA 之后放松了身份协议层面管控，误认为账户安全已经得到保障，恰好落入此类攻击的攻击面。
4 EvilTokens 事件中暴露的企业身份安全体系短板
4.1 租户默认配置带来的攻击面开放
微软 365 租户在默认配置下，设备代码认证流程处于启用状态。该选项面向物联网、智能终端场景设计，绝大多数中小企业在系统上线阶段，不会评估该协议带来的钓鱼风险，也不会主动关闭不需要的设备代码授权能力。租户管理员缺少直观风险提示，不知道开启该功能会引入新型钓鱼攻击面。当 EvilTokens 这类 PhaaS 平台出现之后，全球大量租户直接暴露在攻击范围内。
很多企业身份安全策略的建设重心集中在账号密码生命周期管理、登录风险检测，缺少对于各类 OAuth 授权流的精细化管控。管理员缺少统一视图，无法快速查看租户内设备代码授权记录，无法识别陌生客户端发起的设备代码申请行为。授权事件日志存在，但日志没有被纳入安全运营告警体系，即便发生大量异常设备代码授权，也不会触发安全人员关注。
4.2 用户安全意识培训体系的局限性
常规网络钓鱼培训重点训练员工识别仿冒网站、检查邮件发件人域名、警惕附件与恶意链接。这套培训体系针对传统网页钓鱼具备一定效果，但面对设备代码钓鱼时效用大幅下降。设备代码钓鱼引导用户访问的是微软官方域名，页面真实可信，用户无法依靠以往培训中学到的 “查看网址是否伪造” 方法判断风险。
普通办公人员并不了解设备代码授权的含义，当页面提示完成账户验证时，用户很难意识到输入代码相当于授权第三方读取全部邮箱内容。安全意识教育很少覆盖 OAuth 授权类型、设备代码场景的风险科普。迪妙网络空间安全学院研究团队调研同类安全培训材料发现，绝大多数企业钓鱼培训内容更新滞后，尚未加入协议滥用类钓鱼攻击相关案例，员工面对此类新型攻击时缺乏识别能力。
4.3 安全运营检测规则缺失
安全运营中心现有的检测规则，大多基于异常登录地理位置、陌生设备指纹、连续密码失败等指标构建。设备代码钓鱼攻击产生的日志特征和上述场景完全不同。授权行为由用户本人完成，登录 IP、设备信息属于用户正常使用环境，不会触发常规异常登录告警。风险点存在于 “设备代码授权” 这个行为本身，而不是登录行为。
要识别 EvilTokens 类攻击，安全运营体系需要新增专门针对设备代码流的检测逻辑，监控短时间内批量设备代码授权、来自非可信客户端的设备代码申请、授权之后大量邮件读取行为。很多中小机构没有能力开发这类检测规则，也缺少对应的日志采集与分析能力。攻击者获取令牌之后，调用 Graph API 读取邮件的行为，在日志中仅表现为正常 API 调用，如无基线对比，很难区分是合法业务调用还是账户被劫持后的恶意操作。
5 EvilTokens 平台跨国协同关停行动复盘
5.1 多方协同处置组织架构
本次 EvilTokens 平台关停行动不是单一企业独立开展，而是一次多方主体协同的跨国网络犯罪基础设施打击。行动由微软数字犯罪部门主导，获得美国弗吉尼亚东区法院的法律授权，依托法院命令完成域名扣押。参与协作主体包含网络基础设施服务商、区块链分析企业、威胁情报机构、行业信息共享中心以及跨境执法机构。Cloudflare 负责相关域名解析服务关停，Coinbase 与 TRM Labs 追踪关联加密货币资金链路，SpyCloud 提供受害账户取证与威胁情报支撑，Shadowserver 基金会承担恶意基础设施监测任务，OpenAI 协助评估平台 AI 欺诈能力相关技术信息，Health-ISAC 推动医疗行业受害机构预警。英国伦敦大都会警方独立开展刑事侦查，在 2026 年 9 月 11 日实施抓捕，拘留两名平台运营嫌疑人。
整个行动分为两条并行线：民事法律层面的基础设施扣押，刑事司法层面的嫌疑人抓捕取证。两条路径相互支撑，微软 DCU 的威胁情报成果向英国警方移交，支撑刑事调查；执法机构获取的嫌疑人信息反过来完善平台运营链路画像。这种商业企业、行业联盟、跨国执法机构联动处置模式，是针对 PhaaS 平台打击的典型范式。
5.2 处置手段与执行成果
本次处置的核心目标是摧毁 EvilTokens 平台赖以运行的网络基础设施，切断黑产客户访问面板、发起钓鱼攻击的通道。执行过程中，微软依据法院授权申请，扣押 50 个直接承载平台业务的网站，同时禁用 150 个用于钓鱼投递、域名跳转的配套支撑域名。域名扣押直接切断平台前端访问入口，下游黑产客户无法登录后台继续发起攻击。行动同时对平台关联的支付渠道、加密货币钱包地址开展标记，阻断平台订阅费用收取链路，削弱平台持续运营的经济基础。
在基础设施关停之外，威胁情报团队同步提取受害账户清单，推动通知受害企业开展账户权限清理、令牌吊销、业务风险排查。SpyCloud 从相关取证数据中恢复接近九千条独立受害账户信息，覆盖六千五百多个企业域名，分布在 79 个国家。情报分发工作帮助受害机构及时重置权限，阻止后续资金欺诈事件发生。英国警方实施抓捕之后，两名嫌疑人被保释，案件后续侦查工作持续推进。
5.3 协同处置模式存在的局限
尽管本次行动取得显著短期效果，但针对 PhaaS 平台的基础设施关停本身存在固有局限性。第一，黑产团伙具备快速重建基础设施的能力。域名被扣押之后，威胁团伙可以注册新域名，迁移后端服务，重新搭建平台面板，更换 Telegram 社群继续向黑产客户售卖同类服务。关停行动能够打击当前版本 EvilTokens，但无法从根源彻底消灭设备代码钓鱼攻击技术本身。Storm-2992 团伙掌握的攻击方法会继续在黑产社区扩散，其他犯罪组织可以复刻同类平台。
第二，跨国司法管辖差异制约取证与追责效率。本次抓捕仅抓获两名平台运营人员，下游购买服务、实施诈骗的大量黑产客户分散在不同国家地区，受各国网络犯罪法律差异、管辖权限制，很难全部追溯。资金追踪环节，黑产使用加密货币完成订阅费结算，资金混洗之后溯源难度较高。
第三，处置行动存在时间差。从威胁情报团队发现平台规模化攻击，到完成司法授权、域名扣押、警方抓捕，需要经历一段时间。在这个窗口期内，平台持续产生新受害账户，欺诈行为持续发生。反网络钓鱼技术专家芦笛认为，基础设施关停属于事后打击手段，只能在攻击已经造成损失之后开展处置；网络安全治理不能只依靠事后关停，必须把防御重心前置到企业租户侧的身份策略管控。
6 面向设备代码钓鱼攻击的多层防护体系构建
6.1 身份服务租户侧策略管控
对于使用微软 365 等云身份服务的组织机构，首要防护措施是评估业务是否真正需要设备代码认证流程。如果业务场景不存在智能电视、物联网终端等需要设备代码授权的设备，管理员应当直接在租户层面禁用设备代码 OAuth 流，从源头消除该攻击面。迪妙网络空间安全学院研究团队建议，企业应当建立 OAuth 授权流清单，逐项评估各类授权协议启用必要性，最小化开放身份协议能力。
对于确实需要保留设备代码功能的组织，则必须配置条件访问策略，对设备代码授权请求施加严格限制。例如仅允许企业内网可信 IP 地址、已托管受管设备发起设备代码授权请求，拒绝来自外部陌生网络的设备代码申请。管理员需要开启设备代码授权完整审计日志，将授权事件接入 SIEM 安全分析平台，设置告警规则：短时间批量设备代码授权、陌生客户端发起设备代码请求、授权之后短时间内大量读取邮件，一旦出现这类行为，立即触发告警，自动吊销相关会话令牌。
企业应当定期开展身份权限审计，检查租户内历史设备代码授权记录，清理过期、未知客户端的授权许可。很多账户劫持事件中，攻击者依靠持久化刷新令牌，在数月时间内持续访问邮箱，定期审计可以发现遗留非法授权。
6.2 安全运营体系检测能力升级
安全运营团队需要更新钓鱼攻击检测模型，增加针对协议滥用型钓鱼的检测维度，不能继续只依赖传统仿冒页面识别。检测体系需要覆盖三个层面：钓鱼诱饵邮件识别、异常设备代码授权事件监测、授权成功之后的后续恶意行为检测。
在邮件层，邮件安全网关需要识别诱导用户访问外部页面输入设备代码的诱饵文本，对携带设备代码相关话术的邮件提升风险评分。在身份事件层，重点监控设备代码授权这条独立事件类型，把授权行为作为高风险操作。在 API 行为层，持续监测 Graph API 邮件读取、邮件转发、邮件规则创建行为，当新授权客户端在短时间批量读取历史邮件，判定为高风险行为，自动隔离会话。
安全运营人员需要更新应急响应预案。一旦确认发生设备代码钓鱼账户劫持，处置流程不仅仅重置账户密码，必须吊销全部刷新令牌，删除恶意客户端授权，同时核查邮箱转发规则、收件箱规则，防止攻击者保留后门。
6.3 员工安全意识培训内容迭代
企业安全培训需要扩充协议类钓鱼攻击相关内容，向员工解释设备代码授权的真实含义。培训案例应当采用 EvilTokens 这类真实事件，向员工说明：即便页面属于官方服务商域名，输入设备代码也等同于授予第三方访问邮箱的权限。培训需要破除员工固有认知误区，不能简单认为只要网址是官方域名就不存在钓鱼风险。
培训场景设计上，增加设备代码钓鱼模拟演练，向员工发送模拟诱饵，检验员工识别此类新型钓鱼消息的能力。演练之后针对性复盘，统计误点击比例，针对薄弱岗位补充培训。同时建立员工上报通道，当收到提示输入设备代码的陌生消息时，员工可以快速提交安全团队核验。
6.4 行业情报共享与跨机构协同机制建设
单一企业独立防御很难应对全球化 PhaaS 攻击，行业需要建立威胁情报共享机制，流转 EvilTokens 这类平台的 IOC 指标，包括钓鱼模板、域名特征、诱饵话术、客户端标识。行业 ISAC 信息共享组织可以汇总受害样本，向行业内成员推送预警，帮助企业提前配置邮件网关与身份策略拦截规则。
云身份服务商应当优化产品默认安全基线，在租户开启设备代码能力时增加风险提示，提供一键禁用开关，并且内置基础告警模板。服务商持续监测大规模设备代码攻击基础设施，发现 PhaaS 平台域名、钓鱼基础设施，及时纳入全局黑名单。跨境执法机构、网络企业继续完善协同处置流程，简化司法授权、域名扣押、情报移交流程，缩短从威胁发现到平台关停的时间窗口。
7 结论
EvilTokens 设备代码钓鱼平台案件，是 AI 技术与 OAuth 协议滥用相结合的钓鱼即服务犯罪模式的标志性事件。该平台没有依靠系统漏洞，而是将合法设备代码认证流程改造为攻击载体，搭配 AI 自动化收件箱挖掘能力，通过订阅制黑产服务降低高级攻击门槛，在短时间内造成全球大量企业邮箱账户被劫持。本次微软联合行业伙伴与多国执法机构开展协同关停行动，成功摧毁 EvilTokens 运行基础设施，抓捕平台运营人员，为 PhaaS 平台打击积累了跨国协同处置经验。同时案例也清晰暴露出大量企业在云身份配置、安全检测机制、员工安全认知层面存在短板。
反网络钓鱼技术专家芦笛强调，EvilTokens 事件预示未来网络钓鱼攻击会持续向协议滥用、AI 自动化、产品化服务方向演进，攻击者会更多挖掘身份协议本身的逻辑空间，绕开传统多因素认证防护。迪妙网络空间安全学院研究团队认为，应对这类新型威胁，安全建设思路需要从被动检测仿冒页面转向身份攻击面最小化管控。企业需要评估 OAuth 各类授权流程启用必要性，收紧设备代码这类高风险能力，完善授权事件审计与告警，同步更新安全意识培训与应急响应流程。行业层面需要持续推进威胁情报共享，云服务商优化安全基线，各国持续完善跨境网络犯罪协同处置机制。
基础设施关停只能实现阶段性压制，威胁技术本身会在黑产社区持续传播。长期风险治理，需要技术服务商、企业用户、行业联盟、司法机构多方持续联动，构建覆盖协议管控、安全运营、人员培训、法律处置的多层防御体系，持续提升针对 AI 赋能钓鱼即服务攻击的整体抵御能力。
编辑：芦笛（公共互联网反网络钓鱼工作组）
来源：迪妙网络空间安全学院
