Fałszywe zaproszenia na wydarzenia OpenAI i SpaceX wyłudzają konta Microsoft i Google

Fałszywe zaproszenia na wydarzenia OpenAI, SpaceX i Anthropic służą do kradzieży kont Microsoft i Google należących do pracowników firm. Tak wynika z raportu Push Security. To kampania phishingowa, a nie luka w oprogramowaniu. Strony rejestracji obiecują darmowy dostęp do płatnych usług AI i inne nagrody, a ofiara loguje się na nich kontem firmowym. Jedna strona łączy dwie platformy phishing-as-a-service. Kali365 atakuje konta Microsoft przez phishing kodem urządzenia, a VoidProxy działa jako odwrotne proxy, które przechwytuje logowanie do Google i kradnie ciasteczka sesji. Przy kontach Microsoft VoidProxy służy też jako drugi etap ataku. Linki prowadzą przez skracacze adresów Google i Zapier. Push Security wykryło i zablokowało wejścia na te strony pod koniec października 2026 roku.

Kogo dotyczy

Zagrożeni są pracownicy, którzy logują się firmowymi kontami Microsoft i Google. W lipcu ANY.RUN opisało podobną kampanię: fałszywe wydarzenia Meta, OpenAI i Anthropic promowano przez prawdziwe strony wydarzeń Zoom. Cofense opisał z kolei maile podszywające się pod zaproszenia Anthropic, rozsyłane przez infrastrukturę pocztową GoTo Webinar. Nie wiadomo, jak napastnicy rozsyłają pierwsze linki.