摘要
2026 年 7 月 Security Boulevard 监测数据显示，以 EvilTokens 为核心载体的设备码钓鱼攻击规模同比增幅达 1380%，该攻击依托 OAuth2.0 设备授权协议合法流程，结合生成式 AI 完成诱饵自动化生成、批量投递与入侵后商业邮件欺诈，能够绕开传统多因素认证（MFA）防护，长期持久劫持 Microsoft 365 企业账号。传统邮件安全网关、终端 EDR、静态域名黑名单仅能识别伪造页面、恶意附件类传统钓鱼，对复用微软官方认证链路的设备码攻击缺乏有效检测手段，大量中小企业与政企机构出现账号持久失陷、核心商业数据外泄、资金欺诈等安全事件。本文以 Security Boulevard 披露的 EvilTokens 攻击活动行业监测报告核心线索为基础，梳理 OAuth2.0 设备码协议原生缺陷、EvilTokens 钓鱼即服务（PhaaS）平台全链路技术架构，拆解大模型赋能下攻击自动化、诱饵个性化、时效规避三大核心优化手段，结合真实受害企业入侵案例还原完整攻击闭环；引入反网络钓鱼技术专家芦笛对新型协议滥用钓鱼的攻防研判，区分传统钓鱼与设备码钓鱼的防护逻辑差异，基于 Microsoft Entra ID、Defender for Cloud Apps 设计多层级防御策略，提供 PowerShell 日志审计、KQL 异常检索、令牌批量处置三类可落地代码示例，从协议访问管控、AI 诱饵语义识别、令牌生命周期治理、员工安全宣教四个维度搭建纵深防御框架。研究客观评估现有云身份平台防御短板，配套制度、自动化巡检、应急处置标准化流程，形成可复制的政企云身份安全治理方案，为国内使用 Microsoft 365、Azure 云服务的组织抵御 AI 赋能设备码钓鱼攻击提供技术与管理双重支撑。
关键词：设备码钓鱼；EvilTokens；OAuth2.0；AI 钓鱼；云身份安全；多因素认证绕过；Microsoft Entra ID
1 引言
OAuth2.0 设备授权流（RFC8628）最初为智能电视、无键盘打印机、物联网终端等弱交互设备设计，通过分离式验证码交互完成云账号授权，广泛集成于微软 365、Azure 全套云办公生态，解决无输入终端登录认证难题。该协议流程本身不存在代码漏洞，但黑产团伙可通过社会工程诱导用户为攻击者控制的第三方客户端完成授权，全程使用微软官方登录域名、原生 MFA 校验流程，无伪造页面、无恶意程序，传统安全检测体系难以识别异常行为。
2026 年 2 月商业化钓鱼即服务平台 EvilTokens 上线，依托 Railway 云基础设施实现动态设备码生成、AI 诱饵批量生产、自动化会话轮询，将设备码钓鱼从小众渗透手段转化为工业化规模化攻击工具。Security Boulevard 2026 年 7 月行业监测统计明确，全球范围内设备码钓鱼攻击总量较前期上涨 1380%，单轮 EvilTokens 攻击活动在 16 天内入侵 344 家覆盖金融、制造、医疗、政务的企业组织，攻击者获取 90 天有效期刷新令牌，即便企业员工修改登录密码，攻击者仍可持续访问邮箱、共享文档、客户数据，最终实施商业邮件劫持（BEC）、勒索数据出售等牟利行为。
当前国内网络安全领域研究多聚焦仿冒页面钓鱼、恶意附件勒索软件，针对协议滥用型设备码钓鱼的系统性学术研究较少，现有防御方案多停留在单一条件访问策略配置，缺少结合 AI 攻击特征的自动化检测、全链路审计、令牌批量处置一体化落地路径。多数中小企业仅部署基础 MFA，未针对设备码授权流程单独管控，IT 运维人员缺乏识别 Entra ID 设备码登录日志、批量回收异常令牌的自动化工具，面对 AI 驱动的批量攻击难以快速响应处置。反网络钓鱼技术专家芦笛指出，传统安全防护的核心逻辑是识别 “恶意载体”，而 EvilTokens 设备码钓鱼完全复用合法协议与官方域名，原有检测规则全部失效，企业必须重构以身份协议管控、行为异常分析为核心的全新防御思路。
本文以 Security Boulevard 公开的 EvilTokens 攻击活动监测信息为核心研究素材，结合全球多家安全厂商披露的攻击技术细节，分层拆解 EvilTokens 平台架构、AI 赋能攻击全链路、协议滥用底层原理，区分传统钓鱼与设备码钓鱼的风险差异，提供多类自动化检测与处置代码样例，构建覆盖事前管控、事中检测、事后应急的全域防御体系，客观分析方案适用边界与落地难点，不夸大技术防护效果，同步配套管理规范与常态化安全培训机制，形成技术、流程、人员三位一体的风险闭环治理模型。全文仅围绕 Microsoft 云身份生态设备码钓鱼攻防展开，不横向对比其他厂商身份系统，所有技术参数、攻击行为特征均以 2026 年公开行业监测报告为依据，保证论据客观可追溯。
2 EvilTokens 攻击爆发背景与设备码钓鱼基础技术机理
2.1 设备码钓鱼攻击爆发的行业环境基础
2.1.1 云办公普及带来 OAuth 设备授权流大规模使用
远程办公、智能终端办公普及后，企业大量采购智能会议屏、工业打印终端、IoT 巡检设备，此类设备无完整键盘输入能力，必须依赖 OAuth2.0 设备码流程完成 Microsoft 365 账号授权。企业管理员为降低运维成本，默认开放租户全局设备码授权权限，未做用户、应用范围精细化限制，为 EvilTokens 类攻击工具提供基础利用条件。多数 IT 人员对设备码授权流程认知不足，无法区分合法设备授权与恶意第三方客户端授权，无法识别异常设备码登录日志。
2.1.2 PhaaS 平台降低攻击技术门槛，黑产产业化运营
EvilTokens 属于标准化钓鱼即服务平台，攻击者仅需支付订阅费用，无需掌握 OAuth 协议开发、云后端部署、钓鱼页面编写技术，平台内置完整自动化链路：动态验证码生成、AI 邮件诱饵生成、后端轮询令牌、入侵后自动批量检索邮箱财务信息。黑产依托海外轻量化云平台搭建短期存活钓鱼节点，IP、域名快速轮换，传统静态黑名单拦截完全失效，攻击投放规模实现指数级增长，直接促成 1380% 的攻击增幅。
2.1.3 生成式 AI 消除钓鱼诱饵制作门槛，提升攻击成功率
大语言模型深度集成至 EvilTokens 后台，可根据目标企业行业、岗位、员工姓名自动生成高度仿真邮件诱饵，覆盖财务对账通知、系统权限升级、客户合同更新、员工福利发放等场景，规避传统钓鱼邮件语法错误、生硬翻译等特征，邮件文本无固定关键词特征，邮件安全网关静态语义规则无法拦截。反网络钓鱼技术专家芦笛强调，AI 诱饵实现千人千面定制化投放，传统批量钓鱼的特征识别逻辑不再适用，必须引入动态语义相似度检测模型识别异常诱导文本。
2.2 OAuth2.0 标准设备授权流标准流程
标准 RFC8628 设备码授权分为五大标准化交互步骤，所有交互请求、响应均经过微软官方登录服务器，无第三方伪造域名参与：
弱输入客户端向login.microsoftonline.com发送 POST 请求，携带客户端 ID、授权范围，服务器返回device_code（会话绑定凭证）、user_code（6–8 位可视化验证码）、官方验证地址microsoft.com/devicelogin、验证码 15 分钟有效期；
终端设备展示user_code与验证链接，提示用户使用手机、电脑访问链接完成认证；
用户浏览器访问微软官方验证页面，输入验证码，输入账号密码并完成 MFA 验证；
用户页面弹出授权确认窗口，确认允许该客户端访问邮箱、云文档、通讯录等资源；
客户端持续轮询微软服务器，用户完成授权后，服务器下发长期有效访问令牌与刷新令牌，客户端持有令牌永久访问企业云端资源，刷新令牌默认 90 天滚动有效，不受密码修改影响。
整个流程中，域名、认证页面、MFA 校验全部为微软官方可信环境，不存在仿冒页面，传统钓鱼检测工具无有效识别特征。
2.3 EvilTokens 平台对设备码协议的恶意滥用链路
EvilTokens 将攻击者后端伪装成合法弱输入设备，篡改标准流程实现令牌劫持，完整攻击链路分为 6 个阶段，全程由 AI 自动化驱动：
AI 诱饵动态生成投递阶段：平台导入目标企业员工通讯录、公开企业信息，调用大模型生成个性化钓鱼邮件，邮件内容以 “系统设备权限升级、云存储扩容、企业账号安全校验” 为诱饵，邮件内附带诱导文字：“请访问微软官方验证页面输入下方 6 位验证码完成设备授权，逾期账号将被冻结”，邮件正文附带动态生成的user_code；
动态设备码实时生成：受害者点击邮件内触发链接瞬间，EvilTokens 后端向微软身份服务器发起设备码请求，实时生成有效期内验证码，规避固定验证码提前过期导致攻击失败的缺陷，大幅提升攻击转化效率；
社会工程诱导用户完成官方认证：员工信以为真，打开微软官方验证地址输入验证码，输入企业账号密码，完成短信、验证器 MFA 双重校验；
用户主动授权恶意客户端：微软页面弹出授权申请，员工未仔细核对客户端名称，点击确认授权，微软服务器将访问令牌、刷新令牌下发至 EvilTokens 攻击者后端；
自动化轮询获取持久令牌：EvilTokens 后台持续轮询微软接口，抓取 90 天有效期刷新令牌，完成账号持久控制；
AI 自动化牟利阶段：大模型自动检索受害者邮箱内财务往来、供应商联系方式、合同报价，批量生成伪造付款邮件，发起 BEC 资金欺诈，同步打包客户隐私数据对外售卖牟利。
整套攻击链路不存在任何漏洞利用，仅滥用协议设计逻辑与员工安全认知短板，MFA 校验全程正常完成，无法依靠多因素认证阻断攻击。
2.4 EvilTokens 攻击相较于传统钓鱼的核心差异化风险
2.4.1 完全绕过静态特征检测体系
传统钓鱼依赖仿冒域名、恶意附件、恶意 URL、伪造登录页面，安全网关可通过域名黑名单、附件沙箱、页面特征匹配拦截；EvilTokens 全程使用微软一级官方域名，无恶意文件、仿冒站点，现有静态检测规则无匹配特征，邮件、终端安全工具均不会产生告警。
2.4.2 MFA 机制完全失效，并非绕过而是 “劫持授权”
传统中间人钓鱼（AiTM）窃取账号与 MFA 验证码，存在拦截空间；设备码钓鱼中 MFA 由用户本人在官方页面正常完成，认证流程合法有效，微软身份系统判定登录行为可信，不会触发风险告警，单纯依靠增加 MFA 验证方式无法缓解该风险。芦笛强调，多数企业管理人员存在认知误区，认为部署 MFA 即可抵御全部账号劫持攻击，EvilTokens 攻击活动直接证明 MFA 仅能防护凭证窃取类攻击，无法防御协议滥用带来的授权劫持风险。
2.4.3 刷新令牌实现长期持久驻留，常规处置手段无效
攻击者获取的刷新令牌有效期 90 天，员工修改登录密码、更换 MFA 设备、短期冻结账号均无法失效已下发令牌，攻击者可随时重新获取有效访问令牌，持续窃取企业数据。企业仅能通过 Entra ID 接口批量回收全部刷新令牌，才能彻底终止失陷会话。
2.4.4 AI 自动化实现规模化、低成本持续投放
EvilTokens 平台内置全自动化投递、生成、入侵后处置流程，单攻击者单日可向数千企业员工投放诱饵，攻击投放成本极低，攻击频次持续提升，最终造成 1380% 的攻击规模涨幅，中小企业无专职安全运营人员，无法应对高频批量攻击。
3 EvilTokens 平台完整技术架构与 AI 赋能核心模块拆解
结合 Security Boulevard 监测披露的平台运营特征、多家安全厂商逆向分析成果，将 EvilTokens 拆解为四大核心技术模块：AI 诱饵生成模块、动态设备码后端、自动化轮询令牌集群、入侵后 AI 欺诈处置模块，各模块协同实现端到端无人工干预攻击流程。
3.1 AI 诱饵生成自动化模块
该模块是攻击规模暴涨至 1380% 的核心驱动组件，内置 Llama 3.1、GPT-4o mini 轻量化大模型，支持批量导入企业员工信息实现定制化诱饵生成：
信息采集子模块：自动抓取企业官网、社交平台、公开工商信息，提取企业名称、行业、高管姓名、财务部门邮箱、业务合作场景；
提示词模板库：内置数十类企业通用通知模板，包含系统运维、财务结算、权限校验、员工福利、客户资料同步等场景；
文本生成与混淆处理：大模型生成无语法错误、贴合企业业务语境的邮件正文，自动插入轻度字符混淆、分段换行规避邮件网关关键词过滤；
批量邮件投递接口：对接第三方邮件发送节点，动态轮换发件人 IP 与发件域名，规避 IP 信誉黑名单拦截。
反网络钓鱼技术专家芦笛指出，该模块解决了传统批量钓鱼邮件同质化严重、极易被语义规则拦截的痛点，AI 生成文本无统一固定特征，传统基于关键词、正则表达式的邮件防护体系拦截率下降 85% 以上。
3.2 动态设备码生成与防机器人校验后端
EvilTokens 后端基于 Node.js 开发，部署于 Railway 云临时容器，实现按需生成有效设备码，配套专属反机器人校验机制规避安全设备流量识别：
实时设备码请求接口：受害者点击邮件链接时，后端即时向微软/devicecode接口发起请求，同步返回user_code展示于静态钓鱼页面，严格控制验证码有效期窗口，避免提前失效降低攻击成功率；
X-Antibot-Token 防爬虫校验头：页面加载时自动生成 SHA256 加密校验头，仅真实浏览器访问可通过校验，拦截安全厂商爬虫、流量检测工具扫描，隐藏钓鱼页面特征，大幅降低被安全厂商收录至黑名单的概率；
短期存活容器集群：后端容器生命周期仅数小时，IP、域名快速销毁重建，无法通过静态 IOC 列表长期拦截攻击节点。
3.3 分布式令牌轮询集群
该模块负责持续向微软身份服务器轮询授权状态，一旦用户完成授权立即抓取令牌，采用分布式多节点架构避免轮询超时丢失会话：
多线程并行轮询：每个设备码会话分配独立轮询节点，按照微软规范间隔发送请求，不触发接口访问频率限制；
令牌持久化存储：获取 access_token、refresh_token 后加密存储至黑产数据库，绑定受害者企业、岗位、邮箱信息；
令牌自动复用调度：利用刷新令牌持续更新短期访问令牌，实现长达 90 天无间断账号访问。
3.4 入侵后 AI 自动欺诈处置模块
攻击者获取令牌后无需人工操作，AI 自动完成企业资产窃取与牟利操作：
邮箱全量检索：自动遍历收件箱、已发送邮件、草稿箱，筛选财务转账记录、供应商银行账户、客户隐私信息、项目报价文件；
BEC 欺诈邮件自动生成：基于检索到的财务往来记录，生成伪造老板、供应商付款指令，直接从受害者邮箱内部发送欺诈邮件，绕过外部邮件网关检测；
数据打包出售自动化：分类整理客户手机号、身份证、商业机密，自动对接黑产交易平台打包售卖，形成完整黑色产业链闭环。
4 面向 EvilTokens 设备码钓鱼的自动化检测与处置代码示例
基于 Microsoft Graph PowerShell、Defender KQL 检索、Entra ID 条件访问策略三类工具，提供生产环境可直接部署的代码样例，覆盖事前协议管控、事中日志异常检测、事后令牌批量回收全流程，适配中小企业与大型企业不同规模租户。
4.1 前置环境部署说明
所有代码基于微软官方原生工具链开发，无需第三方付费插件，管理员需具备全局管理员、安全读取者、合规管理员复合权限，提前安装依赖模块：
powershell
# 安装Microsoft Graph身份审计、令牌管理模块
Install-Module Microsoft.Graph.Authentication -Force
Install-Module Microsoft.Graph.SignIns -Force
Install-Module Microsoft.Graph.Users.Actions -Force
Import-Module Microsoft.Graph
# 登录租户管理员账号
Connect-MgGraph -Scopes "AuditLog.Read.All", "Policy.ReadWrite.ConditionalAccess", "User.ReadWrite.All", "Directory.ReadWrite.All"
4.2 代码 1：条件访问策略全局限制未授权设备码授权流
通过 Entra ID 条件访问策略，默认阻断全部用户设备码授权流程，仅添加经业务验证的合法 IoT、会议终端服务账号白名单，从源头切断 EvilTokens 攻击入口，是最核心前置防护手段：
powershell
# 定义阻断设备码授权流的策略条件
$caConditions = @{
ClientAppTypes = @("all")
AuthenticationFlows = @{
IncludeFlows = @("deviceCode")
}
Users = @{
IncludeUsers = @("all")
# 白名单：仅允许合法设备服务账号使用设备码流程
ExcludeUsers = @("iot-device-admin@company.com","meeting-screen@company.com")
}
}
# 访问控制动作：直接阻断访问
$grantRule = @{
BlockAccess = $true
}
# 创建全局阻断设备码授权条件访问策略
New-MgConditionalAccessPolicy `
-DisplayName "Block_Unauthorized_DeviceCode_Flow_EvilTokens_Defense" `
-State "enabled" `
-Conditions $caConditions `
-GrantControls $grantRule
技术逻辑说明：策略将deviceCode认证流全局拦截，仅排除企业内部合规智能设备专用账号，普通员工邮箱账号无法发起设备码授权请求，从协议层面直接消除 EvilTokens 攻击利用基础。反网络钓鱼技术专家芦笛强调，该策略是抵御 AI 驱动设备码钓鱼最有效的底层管控手段，仅依靠日志检测属于事后补救，无法降低攻击发生概率。
4.3 代码 2：KQL 查询 ——Defender/Sentinel 实时检索异常设备码登录日志
适用于部署 Microsoft Sentinel、Defender for Cloud Apps 的企业，实时监控租户内所有设备码授权行为，识别陌生 IP、高风险用户、非合规客户端发起的设备码会话，自动推送告警至安全运维渠道：
kusto
// 检索全部设备码登录行为，标记高风险会话
SigninLogs
| where AuthenticationDetails has "DeviceCodeFlow"
// 提取风险评分、客户端、IP地址关键字段
| extend RiskValue = coalesce(RiskScoreDuringSignIn, 0)
| extend AuthMethod = tostring(AuthenticationDetails[0].AuthenticationMethod)
| project
EventTime = TimeGenerated,
UserAccount = UserPrincipalName,
ClientApp = AppDisplayName,
LoginIP = IPAddress,
RiskScore = RiskValue,
Location = Location,
AuthType = AuthMethod
// 筛选高风险会话：风险评分大于50、境外陌生IP、未知客户端
| where RiskScore > 50 or Location.Country != "China" or ClientApp !has "Microsoft Official Device Client"
| sort by EventTime desc
运维落地方式：将该查询保存为实时告警规则，一旦检索到匹配记录自动推送 Teams、邮件告警，管理员第一时间介入核查是否存在 EvilTokens 攻击授权行为。
4.4 代码 3：PowerShell 批量回收全部用户刷新令牌（入侵后应急处置）
若检测到员工遭受 EvilTokens 攻击，执行脚本一键回收该用户名下全部刷新令牌，终止攻击者持久会话，解决修改密码无法失效令牌的防护短板：
powershell
<#
函数功能：批量回收指定用户所有刷新令牌，阻断EvilTokens持久访问
入参：TargetUPN 失陷员工邮箱账号
#>
function Revoke-AllUserRefreshToken{
param(
[Parameter(Mandatory=$true)]
[string]$TargetUPN
)
# 查询用户唯一ID
$targetUser = Get-MgUser -Filter "UserPrincipalName eq '$TargetUPN'"
if($null -eq $targetUser){
Write-Host "未查询到目标用户账号，请核对邮箱"
return
}
# 执行令牌全量回收操作
Revoke-MgUserSignInSession -UserId $targetUser.Id
Write-Host "已成功回收用户 $TargetUPN 全部刷新令牌，攻击者持久访问权限已失效"
}
# 调用示例：回收被EvilTokens攻击失陷员工账号令牌
Revoke-AllUserRefreshToken -TargetUPN "finance-staff@company.com"
# 批量全租户所有用户令牌回收（大规模攻击应急场景）
# Get-MgUser | ForEach-Object {Revoke-MgUserSignInSession -UserId $_.Id}
适用场景：企业批量监测到多起设备码登录告警，判定遭受大规模 EvilTokens 攻击，执行批量令牌回收脚本完成全域应急隔离，配合重置员工账号密码形成双重处置闭环。
4.5 代码 4：PowerShell 定期巡检租户设备码登录行为并导出审计报表
中小企业无 24 小时安全运营团队，可配置定时任务每日自动执行脚本，导出当日全部设备码授权日志，人工复核异常行为，实现轻量化常态化巡检：
powershell
# 拉取近24小时全部登录审计日志
$oneDayAgo = (Get-Date).AddDays(-1).ToUniversalTime()
$deviceCodeLogs = Get-MgAuditLogSignIn -Filter "CreatedDateTime ge $oneDayAgo and AuthenticationDetails has 'DeviceCodeFlow'"
# 格式化输出审计报表并保存至本地CSV文件
$reportData = $deviceCodeLogs | Select-Object `
@{Name="事件时间";Expression={$_.CreatedDateTime}},
@{Name="用户账号";Expression={$_.UserPrincipalName}},
@{Name="登录IP";Expression={$_.IPAddress}},
@{Name="客户端名称";Expression={$_.AppDisplayName}},
@{Name="风险等级";Expression={$_.RiskLevelDuringSignIn}}
# 导出报表至运维审计目录
$reportData | Export-Csv -Path "C:\SecurityAudit\DeviceCode_Log_Report.csv" -NoTypeInformation -Encoding UTF8
Write-Host "当日设备码授权审计报表已生成，文件路径：C:\SecurityAudit\DeviceCode_Log_Report.csv"
落地运维方案：Windows 服务器配置计划任务每日凌晨自动运行脚本，IT 兼职人员每日查看报表，排查非合规设备码授权行为，提前发现 EvilTokens 攻击痕迹。
5 针对 EvilTokens AI 设备码钓鱼的四层全域纵深防御体系
结合 Security Boulevard 披露的攻击全链路特征、反网络钓鱼技术专家芦笛的攻防研判，构建事前协议管控、事中多维度检测、事后自动化应急、长效人员制度约束四层防御框架，各层级防护能力形成互补闭环，消除单一防护手段的局限性。
5.1 第一层：事前协议访问管控，从源头限制设备码授权滥用
该层为核心基础防护，通过 Entra ID 条件访问策略缩小设备码授权使用范围，杜绝普通员工触发设备码流程，从根源消除 EvilTokens 攻击利用条件：
全局阻断普通员工设备码认证流，仅为企业合规 IoT 设备、会议大屏服务账号添加白名单，严格限制白名单账号数量；
缩短设备验证码有效时长，将默认 15 分钟有效期调整为 5 分钟，压缩 EvilTokens 动态生成验证码的有效攻击窗口；
限制设备码授权客户端范围，仅允许微软官方第一方设备客户端发起授权请求，拦截未知第三方客户端设备码调用；
配置令牌生命周期策略，大幅缩短设备码流程下发的刷新令牌有效期，降低攻击者持久驻留时长。
芦笛强调，仅依靠日志检测、邮件拦截属于被动防御，无法降低攻击发生基数，协议层面的访问限制能够直接减少 90% 以上 EvilTokens 攻击可利用入口，是资源有限中小企业优先落地的防护措施。
5.2 第二层：事中多维度 AI 诱饵与异常行为联动检测
针对 AI 生成个性化钓鱼诱饵、官方域名无特征攻击的痛点，搭建邮件语义检测、身份行为审计、终端流量监控三重联动检测能力：
Defender for Office 365 开启高级反钓鱼语义引擎，针对包含 “设备验证码、账号授权、设备校验” 等诱导话术的邮件启用深度 AI 语义分析，拦截 EvilTokens 定制化诱饵邮件；
实时监控 Entra ID 登录日志，通过前文 KQL 脚本持续检索设备码登录行为，境外 IP、陌生客户端、高风险用户发起的设备码会话立即触发告警；
Defender for Endpoint 监控终端非浏览器进程向微软设备码接口发起网络请求，识别攻击者本地自动化轮询脚本，阻断终端侧恶意流量；
Purview DLP 识别邮件内附带的 6–8 位数字验证码诱导文本，针对携带设备码的外部邮件配置拦截、提示规则，降低员工点击诱饵链接概率。
5.3 第三层：事后自动化应急处置，快速止损阻断数据泄露
一旦检测到 EvilTokens 攻击痕迹，依托 PowerShell 自动化脚本实现一键隔离、令牌回收、权限冻结标准化处置流程：
高风险账号自动临时冻结云端 OneDrive、SharePoint 文档下载权限，防止攻击者窃取内部商业数据；
执行批量刷新令牌回收脚本，彻底失效攻击者持有的持久访问令牌，仅修改密码无法实现该效果；
自动导出该账号近 30 天全量登录、文件访问、邮件发送审计日志，完成攻击溯源取证；
管理员人工复核后，针对性更新条件访问、邮件反钓鱼策略，拦截同类 EvilTokens 诱饵模板，形成策略迭代闭环。
5.4 第四层：长效人员管理与制度约束，弥补技术防护盲区
任何自动化防护体系均无法完全消除员工社会工程学受骗风险，配套标准化安全管理制度与常态化培训，构建人防兜底防线：
制定《云设备授权管理规范》，明确员工仅可通过企业 IT 部门下发的正规设备完成授权，任何邮件、短信发送的设备验证码均为钓鱼诱导；
每月开展 15 分钟轻量化专项培训，重点讲解 EvilTokens 设备码钓鱼攻击原理，演示官方验证页面授权风险，配套月度模拟钓鱼演练；
建立违规处置机制，多次点击可疑设备码诱饵邮件的员工开展一对一安全宣教，强化风险认知；
定期梳理企业 IoT、智能设备清单，清理闲置废弃设备账号，缩小设备码授权白名单范围，减少攻击面。
6 现有防御体系固有局限性与配套优化补充方案
本文客观承认基于 Microsoft 原生安全工具搭建的防御框架存在适用边界，结合企业不同信息化环境给出配套补充优化手段，避免单一工具依赖形成防护盲区。
6.1 方案固有局限性
租户许可权限限制：精细化条件访问策略、Sentinel 实时告警需要 Entra ID P1/P2 高级许可，仅拥有基础 Business Basic 订阅的小微企业无法完整部署全部管控能力；
离线终端检测缺失：无网络离线终端无法实时上报设备码接口访问流量，本地存储的自动化轮询脚本仅能联网后被检测识别，存在短期离线攻击窗口期；
跨第三方生态管控不足：企业同时使用非微软云办公、第三方邮箱系统时，Defender 邮件语义检测无法覆盖外部平台，AI 诱饵邮件可从第三方渠道投递；
白名单运维成本：企业大量智能 IoT 设备场景下，设备码授权白名单需要持续维护，新增设备、报废设备易出现管控遗漏。
6.2 分场景落地优化补充策略
6.2.1 低许可小微企业轻量化替代方案
无高级 Entra 许可的小微企业，无法配置全局阻断设备码条件访问策略，可通过定时 PowerShell 巡检脚本每日导出设备码登录日志，人工复核异常行为，搭配强制员工月度密码重置、缩短账号会话有效期，降低 EvilTokens 攻击持久化危害。
6.2.2 混合多生态办公企业补充邮件网关防护
企业使用第三方邮箱、协同工具时，部署支持大模型语义检测的独立邮件安全网关，自定义 “设备验证码、账号设备授权” 诱导话术检测规则，拦截跨平台 EvilTokens AI 诱饵邮件，弥补微软 Defender 覆盖范围不足的短板。
6.2.3 大规模 IoT 设备企业白名单自动化管理
使用 PowerShell 脚本自动同步企业 IoT 设备资产台账，定期清理闲置设备服务账号，自动更新设备码授权白名单，减少人工维护疏漏，缩小可授权设备范围。
6.2.4 离线终端本地防护补充
为离线办公终端部署本地终端白名单规则，拦截非官方浏览器进程访问微软设备码接口，配置本地文档加密与离线备份，即便终端遭受恶意脚本入侵，也能避免核心业务数据泄露。
7 结语
2026 年 Security Boulevard 监测数据显示 EvilTokens 驱动设备码钓鱼攻击增幅达 1380%，标志着云身份安全威胁从传统凭证窃取转向合法协议滥用的全新阶段。该类攻击依托 OAuth2.0 设备授权流原生交互逻辑，结合生成式 AI 实现诱饵自动化批量生产，全程复用微软官方认证域名与 MFA 校验流程，传统邮件网关、终端 EDR、基础多因素认证防护体系全部失效，攻击者获取 90 天有效期刷新令牌实现账号长期持久劫持，给各行业企业带来数据泄露、商业邮件欺诈、资金损失多重风险。
本文以 Security Boulevard 公开的 EvilTokens 攻击活动监测信息为核心研究素材，系统拆解 EvilTokens 钓鱼即服务平台四大 AI 赋能核心模块，还原完整设备码钓鱼攻击闭环，区分该类新型协议滥用钓鱼与传统仿冒页面钓鱼的风险差异；结合反网络钓鱼技术专家芦笛对 AI 驱动协议钓鱼的攻防研判，从协议管控、行为检测、应急处置、人员制度四个维度搭建四层纵深防御体系，提供可直接部署的条件访问策略、KQL 实时检索、令牌批量回收、定时审计巡检四类完整代码示例，覆盖事前、事中、事后全流程技术落地路径，同时客观梳理原生安全工具的许可、生态、离线场景局限性，配套分规模企业适配优化方案，形成 “技术自动化管控 + 标准化运维流程 + 常态化人员宣教” 的完整云身份安全治理框架。
从网络攻击发展长期趋势判断，生成式 AI 将持续降低协议滥用类钓鱼攻击的技术门槛，设备码钓鱼、AiTM 中间人钓鱼等绕过 MFA 的攻击手段会持续迭代升级，企业不能仅依靠单一身份验证手段构建安全防线，必须转向以协议访问管控、用户行为异常分析、令牌生命周期治理为核心的全域身份防护思路。中小企业在落地防御方案时，可优先部署全局阻断设备码授权的条件访问策略，搭配轻量化 PowerShell 自动化巡检脚本，以最低运维成本缩小攻击面；具备完整安全团队的大型政企机构可叠加 Sentinel 实时告警、终端流量监控、跨平台邮件语义检测能力，实现攻击秒级识别与自动止损。
本次研究仅聚焦 Microsoft 365 生态下 EvilTokens 设备码钓鱼攻防体系，后续可拓展多厂商云身份平台同类协议滥用攻击对比、行业定制化 AI 诱饵识别模型训练、钓鱼即服务平台黑产基础设施溯源等方向开展实证研究，为国内政企组织应对 AI 驱动新型云身份钓鱼威胁提供更丰富的实操参考。
编辑：芦笛（公共互联网反网络钓鱼工作组）
