Ilmainen ChatGPT Pro ja SpaceX-osake syöttinä – väärennetyt tapahtumakutsut vievät työtilit
Kirjautumispainikkeiden takana on kaksi tekniikkaa, jotka ohittavat tavallisen kaksivaiheisen tunnistautumisen ja vievät työtilin.
Tiivistelmä
Tietoturvayhtiö Push Security kertoo, että väärennetyt OpenAI-, SpaceX- ja Anthropic-tapahtumakutsut houkuttelevat työntekijöitä kirjautumaan työtilillään. Microsoft-tileihin hyökätään laitekoodikalastelun ja AiTM-välityspalvelimen yhdistelmällä, Google-tileihin AiTM:llä. Kampanjan takana oleva toimija on ollut aktiivinen toukokuusta 2026.
Tietoturvayhtiö Push Securityn kuvaamassa kampanjassa sähköpostiin saapuu kutsu OpenAI Academyn suoratoistoon, joka on suunnattu markkinointitiimeille ja jossa jokaiselle osallistujalle luvataan kolmen kuukauden ChatGPT Pro -tilaus. Ilmoittautuminen vaatii kirjautumisen työtilillä.
Yhtiö kertoo, että tällaisilla väärennetyillä tapahtumakutsuilla kaapataan Microsoftin ja Googlen työtilejä. Kutsut lähetetään OpenAI:n, SpaceX:n ja Anthropicin nimissä.
Push Securityn tutkimus- ja kehitysjohtaja Luke Jennings julkaisi kampanjan analyysin 5. marraskuuta, ja uutissivusto BleepingComputer uutisoi siitä samana päivänä.
Hän kirjoittaa, että työntekijät haluavat päästä käsiksi uusimpiin tekoälytyökaluihin ja että juuri se tekee niistä erinomaisen syötin hyökkäyksille.
Kolme kutsua
OpenAI Academyn suoratoisto oli ilmoitettu pidettäväksi 4. marraskuuta. SpaceX:n nimissä kutsuttiin vain kutsuvieraille tarkoitettuun Starship Product Briefing -tilaisuuteen, jonka päiväksi sivulla mainitaan 12. marraskuuta. Palkinnoksi tarjotaan kolmen kuukauden Grok Heavy -tilausta tai "SpaceX-osaketta".
Kolmas sivu, "Anthropic at AWS re:Invent", oli liikkeellä 22. lokakuuta alkaen, ja se on jo poistunut verkosta.
Tietoturvayhtiö Cofense raportoi vastaavasta kampanjasta jo 29. lokakuuta. Yhtiön tutkija Jacob Malimban kuvaa sähköpostia, joka kutsui Anthropicin yksityiseen ennakkoesittelyyn. Viesti tuli osoitteesta customercare@gotowebinar[.]com, ja lähettäjän nimenä näkyi "Austin from nthropic" ilman alkukirjainta.
Malimban kertoo, että vastaavia viestejä on nähty syyskuusta lähtien.
Push Security liittää nämä kampanjat samaan tekijään. Yhtiö havaitsi nyt analysoidut sivut lokakuun lopulla, mutta tekijä on ollut aktiivinen jo toukokuusta 2026.
Yhtiön analyysin perusteella kutsut lähetetään sähköpostilla. Linkit kierrätetään luotettujen uudelleenohjauspalveluiden kautta, kuten Googlen lyhytlinkkien, Zapierin ja x.comin, ja aiemmilla kierroksilla viestit kulkivat GoTo Webinarin postijärjestelmän ja aitojen events.zoom.us-sivujen kautta. Ennen varsinaista sivua näytetään Cloudflaren "en ole robotti" -tarkistus, joka piilottaa sivut tietoturvaskannereilta.
Kaksi tekniikkaa saman napin takana
Jenningsin kuvaamilla sivuilla on painikkeet "Continue with Microsoft" ja "Continue with Google".
Hän kertoo, että Microsoft-reitillä uhria pyydetään ensin syöttämään lyhyt koodi Microsoftin aidolle sivulle vuokrattavan Kali365-kalastelupalvelun avulla, ja kun uhri syöttää koodin, hyökkääjä saa haltuunsa tilin kirjautumistunnisteet.
Sen jälkeen uhri ohjataan väärennetylle Microsoftin kirjautumissivulle, jota pyöritetään VoidProxy-nimisen AiTM-välityspalvelimen kautta. Se nappaa salasanan ja istuntoevästeen. Varastetulla Microsoft-kirjautumisella voi päästä myös muihin sovelluksiin, jotka on liitetty tiliin kertakirjautumisella.
Google-reitillä VoidProxy asettuu Googlen aidon kirjautumisen eteen ja tallentaa salasanan, kaksivaiheisen tunnistautumisen vastauksen sekä istuntoevästeen.
Jennings toteaa, että tekijä käyttää myös omia ZoomMock- ja MSDRoot-työkalupakkejaan ja vaihtaa verkkotunnuksia muutaman viikon välein, joten yhtiön julkaisemilla tunnisteilla on yksinään rajallinen arvo. Tunnisteet ovat ajalta 21.10.–2.11.2026.
Uhrien määrää tai kohdemaita ei ole julkaistu. Push Security kertoo, että sivut kääntyvät automaattisesti kävijän omalle kielelle.
Laitekoodikalastelu (device code phishing)
Uhri kirjoittaa lyhyen koodin Microsoftin aidolle kirjautumissivulle. Koodi hyväksyy kirjautumisen hyökkääjän laitteelle, ja hyökkääjä pääsee tiliin ilman salasanaa. Monivaiheinen tunnistautuminen ei auta, koska uhri suorittaa sen itse.
Tunnistusmerkit
- Odottamaton kutsu tunnetun tekoälyyhtiön eksklusiiviseen tilaisuuteen.
- Palkintona luvataan ilmainen tekoälytilaus tai "osake".
- Ilmoittautuminen vaatii kirjautumisen nimenomaan työtilillä.
- Lähettäjän nimessä on kirjoitusvirhe, kuten Cofensen havaitsemassa viestissä "nthropic".
- Linkki kulkee lyhytlinkkipalvelun kautta, ja ennen sivua tulee robottitarkistus.
Mitä tehdä
- Tarkista tapahtuma järjestävän yhtiön omilta verkkosivuilta, älä kutsun linkistä.
- Älä koskaan syötä verkkosivun antamaa koodia osoitteessa microsoft.com/devicelogin, ellet itse aloittanut kirjautumista omalla laitteellasi.
- Jos ehdit syöttää tunnuksesi tai koodin, vaihda salasana ja kirjaudu ulos kaikista istunnoista.
- Kerro tapahtuneesta heti IT-osastolle, joka voi mitätöidä myönnetyt kirjautumistunnisteet.
- Ilmoita kalastelusta Kyberturvallisuuskeskukselle osoitteessa ilmoita.kyberturvallisuuskeskus.fi.
- Pienyrityksen kannattaa estää laitekoodikirjautuminen Microsoft Entrassa, jos sitä ei tarvita, ja siirtyä kalastelun kestävään tunnistautumiseen, kuten FIDO2-turva-avaimiin tai pääsyavaimiin.