Keď útočník číta aj firemné vzťahy
Microsoft 22. septembra oznámil zásah proti EvilTokens. Spolu s partnermi prevzal kontrolu nad 50 webmi a vyradil z prevádzky vyše 150 ďalších domén. Služba ponúkala aj AI analýzu napadnutej pošty: pomáhala rozpoznávať dôveryhodné kontakty a pripravovať finančné podvody. Zdroj: Oznámenie Microsoftu
Samostatná technická správa Microsoftu spája EvilTokens s viac než 12 000 kompromitovanými schránkami vo vyše 10 000 organizáciách. Opisuje zneužitie prihlasovania pomocou kódu zariadenia: človek na pravej prihlasovacej stránke nevedomky schváli útočníkovi prístup. Nové je zverejnenie zásahu a rozsah služby; samotný trik s prihlásením známy už bol. Zdroj: Technická analýza
Čo to znamená pre firmu
Z toho plynie praktické poučenie: pri ochrane platieb treba počítať aj s protivníkom, ktorý pozná kontext komunikácie. Uveďme modelový príklad – nejde o konkrétnu zdokumentovanú obeť EvilTokens. Niekto z účtovníctva dostane požiadavku na zmenu účtu dodávateľa. Správa zapadá do rozpracovanej zákazky, používa správne meno kolegu a odkazuje na známu faktúru. Pri rozhodovaní by preto nemala stačiť otázka, či text vyzerá vierohodne.
MITRE opisuje vzdialené získavanie pošty pomocou prihlasovacích údajov alebo tokenov a odporúča overovať citlivé úkony mimo pôvodného e-mailového kanála. To je všeobecný kontext, nie nezávislé potvrdenie počtov obetí EvilTokens. Zdroj: MITRE: získavanie pošty
Z pohľadu vedenia firmy sa oplatí oddeliť dve zodpovednosti. IT posudzuje neoprávnený prístup; človek oprávnený schvaľovať platby rozhoduje o finančnom úkone. Navrhujeme, aby obe strany vedeli, kedy sa majú spojiť. Inak môže každý čakať na toho druhého práve vo chvíli, keď je potrebné platbu pozastaviť.
Čo zo správy nevyplýva
Uvedený rozsah pochádza od Microsoftu. Počet napadnutých schránok nehovorí, koľko firiem skutočne odoslalo podvodnú platbu ani aká bola celková škoda. Z oznámeného zásahu tiež nemožno vyvodiť, že každý predtým zasiahnutý účet je už bezpečný. Čitateľ by preto nemal zamieňať narušenie služby s potvrdením nápravy vo vlastnej firme.
Tri praktické kroky
Nasledujúce odporúčania sú naším návrhom pre firemnú prax. Vychádzajú z princípu nezávislého overenia a kontroly poštových pravidiel; nejde o kompletný návod na vyšetrenie incidentu.
Overujte zmenu platobných údajov cez vopred dohodnutý nezávislý kontakt.
Pri zmene bankového účtu dodávateľa použite kontakt evidovaný ešte pred prijatím požiadavky. V internom postupe určte, kto overenie vykoná a kto ho zaznamená. Telefónne číslo doplnené až v podozrivej správe nepovažujte za nezávislé potvrdenie. Otestujte aj zastupovanie počas dovolenky.
Skontrolujte pravidlá preposielania pošty v účtoch, ktoré riešia platby.
MITRE upozorňuje, že škodlivé preposielanie môže pretrvať aj po zmene hesla. Zdroj: MITRE: pravidlá preposielania
Požiadajte správcu, aby skontroloval schránky finančného tímu, a zistené výnimky priraďte konkrétnemu vlastníkovi. Legitímne pravidlá nemažte hromadne; podozrivé zmeny nech preverí zodpovedný tím.
Nacvičte spoločný postup účtovníctva a IT pri podozrivej správe.
Použite vymyslenú faktúru a cvičenie bez reálnej platby. Účtovníctvo má určiť, kto pozastaví spracovanie a overí dodávateľa; IT má prevziať hlásenie a rozhodnúť o kontrole účtu. Zapíšte, kde sa odovzdanie zaseklo, a priraďte náprave termín. Merajte vykonateľnosť postupu, nie počet rozoslaných upozornení.
Zdroje
- Microsoft: zásah proti EvilTokens – 22. septembra 2026.
- Microsoft Security: technická analýza EvilTokens – 22. septembra 2026.
- MITRE ATT&CK T1114.002: vzdialené získavanie pošty – aktualizované 12. mája 2026.
- MITRE ATT&CK T1114.003: pravidlá preposielania – aktualizované 24. októbra 2025.
Zdroje overené 23. septembra 2026.