微软（Microsoft，一家软件公司）说，它联合合作伙伴和执法部门，扰乱了EvilTokens。这是一个收费的网络犯罪服务，用人工智能帮助犯罪分子进入邮箱并准备诈骗。微软的调查把它与全球超过1.2万个被入侵的收件箱、超过1万家机构联系起来。这些数字来自调查，不代表每家机构都损失了钱，也不代表被怀疑的人已经被定罪。本文参考微软公告和Ars Technica报道。

发生了什么

EvilTokens于2026年2月在Telegram上出现。它的使用者要先付1500美元，之后每月支付500美元。这个服务把进入账户、检查邮箱、寻找目标和准备诈骗放在了一起。它的人工智能聊天工具可以查看被入侵的收件箱，找出信任关系、付款权限和可能的诈骗机会，还能写出冒充熟人的邮件。

微软说，受害者被引导到正常的微软登录页面输入代码。这样一来，犯罪分子可能不用拿到密码，就获得邮箱访问权。关键不在某一个复杂程序，而在于多个步骤被包装成了一个可以买到的服务。

背景：它不只是帮忙写邮件

邮件诈骗需要了解一家机构怎样工作。犯罪分子要找出谁能批准付款，谁向谁汇报，以及哪些供应商或客户最重要。EvilTokens把这项调查交给人工智能处理。工具可以整理邮件，标出重要的人际关系和付款线索。

人工智能并没有独自完成每一步。使用者仍然要选择目标和采取行动。它真正改变的是速度：原本要花很多时间阅读的内容，可以更快被整理出来。这样一来，经验较少的人也可能更容易发动更大范围的诈骗。

为什么重要

人工智能在这里做的，不只是把诈骗邮件写得更像真的。它还帮助犯罪分子把被盗邮箱变成一张组织关系图。邮箱里可能有付款时间、内部信任关系和正在处理的业务。只要这些信息被快速整理，账号被入侵后的风险就会扩大。

这说明，人工智能正在改变网络犯罪的分工方式。它可以把原本需要经验的调查工作包装成按钮和菜单，让更多人使用同一种犯罪服务。对企业来说，保护登录身份和监测异常邮箱同样重要。

已确认的事实和处理

微软数字犯罪部门说，它与Health-ISAC以及其他伙伴合作，并获得美国弗吉尼亚东区联邦地区法院的授权。行动人员查封了50个用于运营的网站，并停用了150多个相关域名。英国大都会警察厅逮捕了两名涉嫌参与运营的男子。微软称，两人后来在保释条件下获释，调查仍在继续。被逮捕不等于已经被法院判有罪。

受影响的行业包括批发、建筑、金融服务、房地产、高等教育和医疗。微软报告称，活动最集中的国家包括美国、加拿大、英国、澳大利亚、印度和法国。

还不知道什么

目前还不知道实际损失了多少钱，也没有完整公开所有受影响的机构。所有被入侵的账户是否都已经恢复安全，也没有答案。EvilTokens的基础设施被扰乱后，是否会出现改名或复制它的新服务，同样需要观察。相关人员最终会承担什么法律责任，要等调查和诉讼继续推进。

接下来观察什么

企业应当通过第二个可信渠道，独立确认改付款信息、转账或批准异常请求。即使邮件看起来来自熟人，也不应只靠邮件完成重要付款。行业方面，法院、云服务商、安全公司、人工智能公司、金融机构和警方之间能否快速合作，会影响类似服务能否被真正压制。EvilTokens也提醒人们，人工智能安全不只关乎模型会不会回答危险问题，还关乎犯罪分子如何把多个服务组合起来。