Fałszywe wydarzenia OpenAI i SpaceX służą do przejmowania kont Microsoft i Google

Wprowadzenie do problemu / definicja

Cyberprzestępcy coraz częściej łączą klasyczną socjotechnikę z bardziej zaawansowanymi metodami przejmowania sesji uwierzytelniania. W najnowszej kampanii phishingowej przynętą są fałszywe wydarzenia rzekomo organizowane przez znane marki technologiczne, takie jak OpenAI, SpaceX czy Anthropic. Celem operacji jest skłonienie ofiar do zalogowania się kontem służbowym, a następnie przejęcie dostępu do środowisk Microsoft i Google.

To nie jest już prosty phishing nastawiony wyłącznie na wyłudzenie loginu i hasła. Napastnicy starają się przechwycić tokeny, sesje oraz ciasteczka uwierzytelniające, co pozwala im ominąć część tradycyjnych zabezpieczeń, w tym także niektóre mechanizmy MFA.

W skrócie

Kampania podszywa się pod wydarzenia związane z OpenAI, SpaceX i Anthropic.
Ofiary są wabione obietnicą dostępu do usług premium lub innymi korzyściami.
Wobec kont Microsoft stosowany jest device code phishing.
Wobec kont Google wykorzystywana jest technika adversary-in-the-middle.
W części scenariuszy atak łączy kilka metod jednocześnie, zwiększając skuteczność przejęcia kont i sesji.

Kontekst / historia

Phishing oparty na fałszywych konferencjach, webinarach i wydarzeniach branżowych nie jest nowym zjawiskiem. Zmienił się jednak poziom zaawansowania takich operacji. Współczesne kampanie coraz częściej bazują na legalnych usługach chmurowych, platformach marketingowych oraz gotowych zestawach phishing-as-a-service, które ułatwiają atakującym szybkie uruchamianie wiarygodnie wyglądających stron.

W analizowanym przypadku przestępcy wykorzystali strony rejestracyjne przypominające prawdziwe witryny eventowe. Tego rodzaju przynęta jest skuteczna, ponieważ dobrze wpisuje się w realne zainteresowania użytkowników tematyką AI, nowych technologii i ekskluzywnego dostępu do usług. Dodatkowo wcześniejsze warianty podobnych kampanii bywały rozpowszechniane z użyciem zaufanych platform webinarowych i skracaczy adresów, co zwiększało ich wiarygodność.

Analiza techniczna

Atak rozpoczyna się od przekierowania ofiary na fałszywą stronę rejestracji wydarzenia. Użytkownik widzi formularz sugerujący możliwość logowania przy użyciu konta Microsoft lub Google. Często wcześniej wyświetlany jest mechanizm CAPTCHA, który utrudnia automatyczne skanowanie strony przez systemy bezpieczeństwa.

Jeśli ofiara wybiera logowanie przez Microsoft, uruchamiany jest scenariusz device code phishing. Technika ta nadużywa legalnego mechanizmu OAuth 2.0 Device Authorization Grant. Użytkownik otrzymuje kod i instrukcję, by wprowadzić go na prawdziwej stronie logowania Microsoft. W praktyce ofiara nie oddaje hasła bezpośrednio napastnikowi, ale autoryzuje sesję kontrolowaną przez przestępcę. Efektem jest wydanie tokenów, które mogą zapewnić atakującemu dostęp do zasobów użytkownika.

To szczególnie groźny model ataku, ponieważ część procesu przebiega w legalnym środowisku dostawcy tożsamości. Z perspektywy użytkownika wszystko może wyglądać poprawnie, co znacząco obniża poziom podejrzliwości. W niektórych wariantach kampanii dochodzi następnie do dodatkowego przekierowania na infrastrukturę służącą do przechwycenia danych logowania i ciasteczek sesyjnych.

W przypadku kont Google napastnicy stosują model adversary-in-the-middle. Fałszywa strona otwiera proces logowania pośredniczony przez serwer kontrolowany przez atakujących. Taki reverse proxy przekazuje ruch pomiędzy ofiarą a prawdziwą usługą logowania, jednocześnie przechwytując login, hasło, odpowiedzi MFA oraz pliki cookie sesji. Jeśli logowanie zakończy się sukcesem, przestępca może wykorzystać przejętą sesję bez konieczności ponownego uwierzytelniania.

Kampania wyróżnia się również dojrzałością operacyjną. Zastosowanie kilku technik phishingowych w ramach jednej infrastruktury pozwala lepiej dopasować metodę przejęcia do typu konta oraz zwiększa elastyczność całej operacji. To wyraźny przykład ewolucji nowoczesnych usług phishing-as-a-service.

Konsekwencje / ryzyko

Skutki udanego ataku mogą być bardzo poważne. Przejęcie konta Microsoft 365 lub Google Workspace oznacza potencjalny dostęp do poczty firmowej, dokumentów, komunikatorów, kalendarzy, danych klientów oraz aplikacji zintegrowanych z mechanizmami SSO. Naruszenie jednego konta często staje się początkiem dalszego ruchu bocznego w organizacji.

Ryzyko rośnie z kilku powodów. Po pierwsze, ofiara może długo nie zauważyć incydentu, ponieważ część procesu wykorzystuje prawidłowe mechanizmy logowania. Po drugie, przejęcie cookies sesyjnych może pozwolić na obejście MFA. Po trzecie, skompromitowana tożsamość użytkownika może posłużyć do eskalacji uprawnień, kradzieży danych, nadużyć finansowych lub ataków typu BEC.

Dodatkowym czynnikiem zwiększającym skuteczność kampanii jest wiarygodność samej przynęty. Tematy związane z AI i prestiżowymi wydarzeniami technologicznymi przyciągają uwagę pracowników wielu działów, nie tylko zespołów technicznych. To sprawia, że taki phishing może skutecznie ominąć naturalną ostrożność użytkowników.

Rekomendacje

Organizacje powinny przeanalizować, czy mechanizm device code flow jest rzeczywiście potrzebny w ich środowisku. Jeśli nie ma uzasadnienia biznesowego, warto go ograniczyć lub wyłączyć. W środowiskach Microsoft kluczowe znaczenie ma również przegląd polityk dostępu warunkowego, logów Entra ID oraz reguł wykrywania nietypowych autoryzacji urządzeń.

Najważniejszym kierunkiem obrony pozostaje wdrożenie phishing-resistant MFA, szczególnie rozwiązań opartych na FIDO2 i kluczach bezpieczeństwa. Takie metody znacząco utrudniają zarówno ataki AiTM, jak i przejęcie sesji wynikające z manipulowania procesem logowania.

monitorowanie logowań z nietypowych lokalizacji, urządzeń i adresów IP,
analiza żądań autoryzacji z użyciem device code,
wykrywanie nietypowych tokenów i anomalii sesyjnych,
korelacja kliknięć w zaproszenia eventowe z późniejszymi zdarzeniami logowania,
blokowanie znanych domen phishingowych i wskaźników kompromitacji,
wdrażanie detekcji reverse proxy phishing,
unieważnianie aktywnych sesji i tokenów po wykryciu incydentu.

Nie mniej istotna jest edukacja użytkowników. Pracownicy powinni wiedzieć, że wpisywanie kodu autoryzacyjnego otrzymanego z nieznanej strony może skutkować przejęciem konta. Podejrzane powinny być również wszelkie zaproszenia na wydarzenia, które obiecują szybkie korzyści, dostęp premium lub nagrody w zamian za logowanie kontem służbowym.

Podsumowanie

Opisana kampania pokazuje, że współczesny phishing coraz rzadziej polega wyłącznie na kradzieży hasła. Coraz częściej chodzi o przejęcie legalnie zainicjowanej sesji, tokenów i kontekstu uwierzytelnienia. Połączenie device code phishing z techniką adversary-in-the-middle sprawia, że nawet organizacje korzystające z MFA nie są w pełni bezpieczne.

Dla zespołów bezpieczeństwa to wyraźny sygnał, że ochrona tożsamości, kontrola przepływów OAuth, monitoring sesji oraz wdrażanie odpornych na phishing metod uwierzytelniania powinny stać się priorytetem. Bez tych działań kampanie oparte na wiarygodnych przynętach i legalnych mechanizmach logowania będą nadal stanowić poważne zagrożenie dla środowisk firmowych.