Фішингові запрошення від імені OpenAI і SpaceX викрадають облікові дані
Зловмисники маскують фішингові сторінки під заходи OpenAI, SpaceX і Anthropic для викрадення акаунтів Microsoft та Google.
Зловмисники використовують фальшиві запрошення на заходи нібито від OpenAI, SpaceX та Anthropic, щоб виманювати в працівників корпоративні облікові дані Microsoft і Google, а також файли автентифікованих сесій. Про кампанію повідомляє BleepingComputer з посиланням на дослідження Push Security.
Фальшиві сторінки реєстрації обіцяють безкоштовний доступ до преміальних ШІ-сервісів та інші винагороди. Відвідувачам пропонують увійти за допомогою робочого акаунта Microsoft або Google, нібито для реєстрації на подію та отримання бонусу.
Два сервіси для фішингу
Дослідники виявили, що кампанія поєднує дві платформи phishing-as-a-service — Kali365 і VoidProxy. Kali365 застосовують для фішингу через коди авторизації пристроїв Microsoft, а VoidProxy працює як проміжний проксі-сервер між браузером жертви та сторінкою входу Google. Це дає змогу перехоплювати облікові дані, відповіді багатофакторної автентифікації та файли сесій.
Під час сценарію з Microsoft користувачу пропонують скопіювати код і ввести його на справжній сторінці входу Microsoft. Після авторизації Kali365 отримує токени для облікового запису Microsoft Entra. Надалі жертву можуть переспрямувати на сторінку VoidProxy, де зловмисники також перехоплюють пароль і cookie-файл сесії.
Приманки та захист
Серед виявлених приманок була сторінка заходу OpenAI під назвою ChatGPT for Social & Digital Marketing Teams, учасникам якого обіцяли три місяці ChatGPT Pro. Інша сторінка рекламувала приватний захід SpaceX 12 листопада з пропозицією трьох місяців Grok Heavy або «акції SpaceX». Також дослідники зафіксували сторінку, що імітувала захід Anthropic під час AWS re:Invent 2026.
Перед показом фальшивої форми сайти демонструють CAPTCHA від Cloudflare, яка має ускладнити автоматичне сканування ресурсів безпековими системами. Push Security повідомила, що зафіксувала й заблокувала відвідування таких сторінок наприкінці жовтня 2026 року. Компаніям радять обмежувати авторизацію за кодом пристрою там, де вона не потрібна, а працівникам — не вводити коди, отримані з незнайомих сайтів, і обережно ставитися до запрошень, що вимагають входу в корпоративний акаунт заради винагороди.
