微软与合作方打击 EvilTokens：设备码钓鱼即服务平台被端

微软威胁情报团队于 9 月 22 日发布长文，详解钓鱼即服务平台 EvilTokens 的运作方式，并披露公司数字犯罪部门（DCU）已协同合作方对其基础设施实施扰乱。微软将开发与维护该工具包的威胁行为体追踪为 Storm-2992。

EvilTokens 自 2026 年 2 月现身后迅速扩散，核心能力是滥用合法的 OAuth 设备码认证流程：受害者在真实的 Microsoft 登录页输入攻击者生成的代码，从而在不知情情况下授权攻击者会话并交出令牌。微软称相关活动已影响全球逾 1.2 万个邮箱、超过 1 万家组织。

平台还提供定制钓鱼模板、落地页、令牌管理面板，并通过 Cloudflare Workers、Vercel、AWS Lambda 等高信誉无服务器环境做多级跳转以规避拦截。微软建议尽量通过条件访问策略限制设备码流程，并对可疑收件箱规则与令牌异常保持告警。