Una invitación exclusiva a una presentación de SpaceX, OpenAI o Anthropic puede parecer una oportunidad atractiva, sobre todo si promete acceso gratuito a herramientas de inteligencia artificial o beneficios especiales. Sin embargo, investigadores de seguridad advierten que este tipo de ofertas también se está utilizando para robar credenciales corporativas.
Push Security identificó una campaña en la que los atacantes crearon sitios web fraudulentos para promocionar eventos inexistentes, como una transmisión de OpenAI Academy, una sesión privada de SpaceX sobre marketing con IA y una presentación de Anthropic vinculada a AWS re:Invent. Algunas páginas prometían recompensas como una suscripción a ChatGPT Pro, acceso a Grok Heavy o incluso acciones de SpaceX.
Para reclamar los supuestos beneficios, se pedía a los visitantes iniciar sesión con una cuenta de Microsoft o Google. En realidad, las páginas estaban diseñadas para capturar credenciales, códigos de autenticación y cookies de sesión.
## Dos plataformas, distintas rutas de ataque
Según Push Security, la campaña recurre a dos plataformas de phishing como servicio: Kali365 y VoidProxy. La técnica cambia según el proveedor de identidad elegido, pero ambas rutas pueden terminar dando a los atacantes acceso a las cuentas.
Quienes seleccionan Microsoft pueden recibir un código de dispositivo e instrucciones para introducirlo en la página legítima de inicio de sesión de Microsoft. Si la víctima completa el proceso y aprueba la solicitud, se emite un token de autenticación que puede quedar asociado a la sesión del atacante. Después, la página fraudulenta puede redirigir a la víctima a otro sitio falso operado mediante VoidProxy, que busca obtener más credenciales y cookies de sesión.
La opción de Google utiliza una técnica distinta: un proxy inverso que reproduce el proceso legítimo de inicio de sesión. El proxy transmite la interacción con Google mientras captura la contraseña, la respuesta a la autenticación multifactor (MFA) y la cookie de sesión. Así, los atacantes pueden intentar apropiarse de una sesión autenticada sin tener que superar la MFA de la manera habitual.
Push Security no determinó exactamente cómo se distribuyen todos los enlaces. Podrían circular por correo electrónico, redes sociales o grupos de Telegram. Los investigadores también observaron el uso de Google y Zapier para acortar enlaces y redirigir a los visitantes, una táctica que puede dificultar la detección por parte de algunos sistemas de seguridad.
## El interés por la IA se convierte en señuelo
La campaña aprovecha la curiosidad y el interés profesional por las herramientas de IA. Las personas que buscan probar nuevos productos o asistir a eventos exclusivos pueden ser más proclives a abrir invitaciones y seguir sus instrucciones, especialmente cuando parecen relacionadas con marcas conocidas.
Push Security señaló que estas técnicas —incluidos el phishing con códigos de dispositivo, los proxies inversos y los métodos para eludir las protecciones de MFA— están diseñadas para sortear controles que muchas organizaciones utilizan para frenar los ataques de suplantación de identidad.
No es un fenómeno aislado. En campañas anteriores se han utilizado páginas falsas de instalación de herramientas de IA y enlaces que imitan contenido legítimo, como conversaciones compartidas o recursos descargables. También se han reportado invitaciones fraudulentas que suplantan a empresas como Meta, OpenAI y Anthropic en plataformas de eventos en línea.
## Cómo reducir el riesgo
Las empresas y sus empleados pueden tomar varias precauciones:
– Verificar los eventos y las promociones en los sitios oficiales de las organizaciones que supuestamente los organizan.
– Evitar iniciar sesión desde enlaces recibidos por correo, mensajería o redes sociales; es más seguro escribir manualmente la dirección oficial en el navegador.
– No introducir códigos de dispositivo ni aprobar solicitudes de inicio de sesión que no se hayan iniciado deliberadamente.
– Desconfiar de ofertas de acceso gratuito, regalos o beneficios extraordinarios que exijan autenticarse con una cuenta corporativa.
– Reportar invitaciones sospechosas al equipo de seguridad de la organización.
A medida que las herramientas de IA ganan presencia en la vida laboral y personal, también se convierten en un tema atractivo para los atacantes. La familiaridad con estas marcas no debe sustituir la verificación: una invitación convincente puede ser el primer paso de un intento de robo de cuentas.
from Latest from TechRadar https://ift.tt/Y4znOCW
via IFTTT IA
