Хакеры используют фейковые события OpenAI и SpaceX для кражи аккаунтов

Исследователи Push Security выявили масштабную фишинговую кампанию, в рамках которой хакеры рассылают приглашения на вымышленные технологические конференции. Цель атаки — вынудить сотрудников компаний авторизоваться через корпоративные аккаунты Google или Microsoft на мошеннических ресурсах.

• Атакующие имитируют события от OpenAI, SpaceX и Anthropic для кражи токенов доступа.
• Используются платформы PhaaS (Kali365 и VoidProxy) для автоматизации процесса угона сессий.
• Механизм включает обход многофакторной аутентификации (MFA) через перехват сессий и OAuth-авторизацию.
• Для защиты от автоматизированных систем безопасности сайты используют Cloudflare CAPTCHA.

Как работает схема обмана Мошенники создают убедительные страницы регистрации, обещая участникам «премиум-доступ» к сервисам, таким как ChatGPT Pro, или даже акции SpaceX. Чтобы придать легитимность своим ресурсам, они используют сервисы сокращения ссылок Google и Zapier, а также ранее эксплуатировали инфраструктуру GoTo Webinar и Zoom. Когда жертва пытается зарегистрироваться, сайт предлагает авторизоваться через Google или Microsoft. При выборе Microsoft злоумышленники используют атаку через устройство (device code phishing), эксплуатируя поток OAuth 2.0. Это позволяет им получить токен доступа, даже если на аккаунте включена MFA, что дает им полный контроль над рабочими ресурсами (Office 365, Salesforce, Slack и другие).

Технологии кражи сессий В случае с Google-аккаунтами хакеры задействуют сервис VoidProxy, который открывает всплывающее окно для захвата активной сессии пользователя в реальном времени. Такой подход позволяет обойти даже самые современные методы защиты, так как атакующий получает доступ к уже аутентифицированной сессии, а не просто пытается подобрать пароль. Использование двух разных фишинговых сервисов, Kali365 и VoidProxy, указывает на слаженную работу преступных групп, которые активно развивают инфраструктуру для автоматизации атак. Исследователи отмечают, что подобные кампании стали массовыми и крайне опасными из-за использования «легитимных» методов авторизации.

Угроза для корпоративного сектора Для бизнеса в странах СНГ и Узбекистане данная угроза особенно актуальна, так как многие компании активно используют Microsoft 365 и Google Workspace. Эксперты рекомендуют сотрудникам игнорировать любые запросы на ввод кодов устройств с подозрительных сайтов и быть бдительными при получении приглашений на «эксклюзивные» события. Основная рекомендация для IT-отделов — внедрение аппаратных ключей FIDO2, которые являются устойчивыми к фишингу. Также стоит ограничить использование device code flow в корпоративных настройках там, где это функционально не требуется, чтобы снизить риски угона сессий.