EvilTokens a apărut pentru prima dată pe un canal Telegram numit NOIRLEGACY GROUP pe 16 februarie 2026, conform cercetărilor publicate de Huntress, care a început să urmărească compromiterile asociate doar trei zile mai târziu. Kit-ul abuzează de fluxul legitim de autorizare a dispozitivelor OAuth 2.0 — un mecanism conceput pentru dispozitive precum televizoarele inteligente care nu dispun de tastaturi complete — pentru a păcăli victimele să finalizeze autentificarea în numele atacatorului.

 

 

Atacul funcționează prin generarea unui cod de dispozitiv valabil prin intermediul API-ului Microsoft, care este apoi prezentat victimei pe o pagină de phishing deghizată ca o notificare de document partajat din servicii precum DocuSign, SharePoint sau Adobe Acrobat. Când victima introduce codul pe pagina reală de autentificare Microsoft și finalizează conectarea, inclusiv orice solicitare de autentificare cu mai mulți factori, atacatorul primește token-uri de acces și reîmprospătare care rămân valabile chiar și după resetarea parolei. Token-ul de reîmprospătare poate dura până la 90 de zile și se reînnoiește la fiecare utilizare, oferind atacatorilor acces persistent și silențios la e-mail, OneDrive și Teams.

Firma norvegiană de securitate cibernetică mnemonic, care și-a publicat propria analiză pe 30 martie, a descris EvilTokens ca fiind prima platformă phishing-as-a-service construită în jurul phishing-ului cu cod de dispozitiv, mai degrabă decât în jurul tehnicilor de proxy adversary-in-the-middle utilizate de majoritatea celorlalte kit-uri. Firma franceză Sekoia, într-un raport publicat în aceeași zi, a confirmat că EvilTokens oferă automatizare alimentată de AI pentru generarea de momeli personalizate, efectuarea de recunoaștere a căsuțelor de e-mail și crearea de mesaje de compromitere a e-mailurilor de afaceri după ce un cont este preluat.