Фейкові події OpenAI та SpaceX крадуть робочі акаунти

Запрошення на захід SpaceX чи OpenAI з безкоштовною підпискою на ШІ-сервіс може виявитися пасткою. Хакери використовують такі приманки, щоб викрасти від працівників облікові дані та сесії Microsoft і Google.

Одна сторінка, дві платформи фішингу

За новим звітом Push Security, шахраї поєднали на одних і тих самих сторінках два сервіси фішингу як послуги (PhaaS): Kali365 і VoidProxy. Перший націлений на акаунти Microsoft, другий — на Google. Для цього вони використовують різні способи атаки. Сторінки створюють два власні фішингові набори, ZoomMock і MSDRoot. Дослідники вважають, що за ними стоять одні й ті самі люди, бо в наборів спільна інфраструктура й однакові цілі.

Сторінки реєстрації виглядають як справжні сайти подій. Одна рекламує захід OpenAI «ChatGPT for Social & Digital Marketing Teams» і обіцяє учасникам три місяці ChatGPT Pro. Інша пропонує приватну подію SpaceX 12 листопада. Реєстрантам обіцяють або три місяці Grok Heavy, або «частку SpaceX». Була також сторінка з вигаданим заходом Anthropic на AWS re:Invent 2026, але її вже прибрали.

Щоб отримати нагороду, відвідувач має увійти з робочим акаунтом. Перед цим сайт показує Cloudflare CAPTCHA з написом «Confirm you're not a robot». Вона заважає автоматичним системам безпеки сканувати сторінку. Потім на вибір дві кнопки: «Continue with Microsoft» і «Continue with Google».

Microsoft: код, який жертва вводить сама

Якщо натиснути Microsoft, сторінка просить у Kali365 код автентифікації пристрою. Це зловживання справжнім потоком OAuth 2.0 device authorization grant, призначеним для входу з пристроїв. Жертві кажуть скопіювати код і ввести його на справжньому сайті входу Microsoft, де вона сама підтверджує запит.

Пароль при цьому віддавати не доводиться. Атакувальник отримує токени автентифікації акаунта Microsoft Entra, а з ними й доступ до ресурсів користувача та підключених програм із єдиним входом: Microsoft 365, Salesforce, Google Workspace, Dropbox, Slack та інших. У випадку коду пристрою багатофакторна автентифікація обходиться повністю. Після цього жертву ще перенаправляють на сторінку входу VoidProxy, де можна вкрасти пароль і cookie сесії.

Google: посередник між браузером і входом

Для Google відкривається спливне вікно з фальшивою сторінкою входу від VoidProxy. Така схема називається «зловмисник посередині» (AiTM). Зворотний проксі стоїть між браузером жертви та справжнім входом Google, пропускає крізь себе форми й краде облікові дані, відповіді MFA та cookie сесії. Викрадена вже автентифікована сесія і дає змогу обійти MFA.

Звідки йдуть посилання і що було раніше

Push Security виявила й заблокувала відвідування шкідливих сторінок наприкінці жовтня 2026 року. На сторінку реєстрації жертв ведуть посилання з довірених сервісів, зокрема скорочувачів посилань Google і Zapier. У попередніх версіях кампанії запрошення йшли через поштову інфраструктуру GoTo Webinar або справжні сторінки подій Zoom.

Схожі схеми вже описували. У липні ANY.RUN бачила, як зловмисники використовували справжні сторінки подій Zoom для фейкових заходів Meta, OpenAI та Anthropic. Cofense нещодавно писала про листи від імені Anthropic, розіслані через GoTo Webinar.

Як зменшити ризик

Працівникам не слід вводити коди автентифікації Microsoft, які пропонує незнайомий сайт, і варто остерігатися запрошень, де за нагороду просять увійти корпоративним акаунтом. Організації можуть вимкнути автентифікацію за кодом пристрою там, де вона не потрібна, і ввести стійкий до фішингу MFA, наприклад ключі безпеки FIDO2.

Джерело: BleepingComputer