Wprowadzenie do problemu / definicja
Phishing pozostaje jednym z najskuteczniejszych wektorów ataku na użytkowników i organizacje, nawet wtedy, gdy firmy korzystają z zaawansowanych systemów ochrony poczty elektronicznej. Najnowsza kampania podszywająca się pod Anthropic pokazuje, że relatywnie proste wiadomości mogą skutecznie ominąć część popularnych zabezpieczeń i skierować ofiarę do fałszywego procesu logowania.
W tym przypadku celem atakujących było przejęcie poświadczeń do kont Google oraz Microsoft. Kampania wykorzystywała popularność narzędzi AI, zaufanie do rozpoznawalnej marki i infrastrukturę utrudniającą automatyczną analizę zagrożenia.
W skrócie
- Atakujący rozsyłali wiadomości obiecujące prywatny dostęp do rzekomego nowego narzędzia AI.
- Celem było wyłudzenie danych logowania do kont Google i Microsoft.
- Kampania wykorzystywała legalnie wyglądający adres nadawcy, skracacz URL oraz wieloetapowe przekierowania.
- Istotnym elementem były warstwy CAPTCHA, które utrudniały analizę przez systemy bezpieczeństwa i badaczy.
- Przypadek pokazuje, że nawet wiadomości zawierające oczywiste błędy mogą przejść przez część filtrów ochronnych.
Kontekst / historia
Kampania była opisywana jako aktywna co najmniej od września i wykorzystywała zainteresowanie nowymi usługami opartymi na sztucznej inteligencji. Przynęta była prosta: ofiara otrzymywała zaproszenie do rzekomego prywatnego podglądu nowego produktu Anthropic, przedstawianego jako oferta ekskluzywna i limitowana.
To klasyczny przykład socjotechniki opartej na połączeniu pilności, ekskluzywności i atrakcyjnego tematu. Co szczególnie istotne, kampania nie wyróżniała się wysoką jakością językową ani wizualną. Mimo to była skuteczna, ponieważ została odpowiednio opakowana od strony infrastruktury dostarczania oraz maskowania ścieżki ataku.
Analiza techniczna
Łańcuch ataku rozpoczynał się od wiadomości e-mail wysyłanej z legalnie wyglądającego adresu należącego do usługi webinarowej. Taki model zwiększa wiarygodność nadawcy i utrudnia blokowanie oparte wyłącznie na reputacji domeny lub adresu źródłowego.
Kolejnym etapem był link ukryty za skracaczem URL. Dzięki temu użytkownik nie widział od razu końcowej domeny, a część narzędzi ochronnych mogła mieć ograniczoną możliwość pełnej analizy łańcucha przekierowań. To nadal jedna z najprostszych, ale skutecznych metod zmniejszania przejrzystości ataku.
Po kliknięciu odbiorca trafiał do strony podszywającej się pod środowisko wideokonferencyjne, a następnie do kolejnych stron imitujących markę Anthropic. Ostatecznie ofiara widziała ekran logowania federacyjnego dla Google lub Microsoft, co miało zwiększyć wiarygodność całego procesu i skłonić ją do wpisania poświadczeń.
Kluczową rolę w omijaniu analiz bezpieczeństwa odgrywały warstwy CAPTCHA. Pierwsza z nich działała jak filtr przeciwko automatycznym systemom skanującym i sandboxom, które próbują odwiedzać podejrzane odnośniki. Druga warstwa mogła dodatkowo ograniczać dostęp z adresów IP kojarzonych z VPN, narzędziami badawczymi lub środowiskami analitycznymi.
Taka konstrukcja wskazuje, że atakujący nie skupiali się wyłącznie na oszukaniu użytkownika końcowego, ale również na utrudnieniu pracy systemom detekcyjnym i zespołom bezpieczeństwa. Pojawiły się także sugestie, że zmienność artefaktów kampanii i wariantów stron mogła być wspierana przez narzędzia generatywnej AI, choć nie stanowi to jednoznacznie potwierdzonego elementu operacji.
Konsekwencje / ryzyko
Najpoważniejszym skutkiem udanego ataku jest przejęcie tożsamości użytkownika. W środowisku firmowym kompromitacja konta Google Workspace lub Microsoft 365 może otworzyć drogę do dostępu do poczty, dokumentów, kalendarzy, komunikatorów oraz usług SaaS zintegrowanych przez SSO.
Ryzyko nie ogranicza się do jednorazowego wycieku hasła. Przejęte konto może zostać wykorzystane do dalszych kampanii phishingowych, oszustw typu business email compromise, zbierania danych wrażliwych, resetowania dostępu do innych systemów oraz przygotowania ruchu bocznego wewnątrz organizacji.
Kampania przypomina również o jeszcze jednym zagrożeniu: fałszywym poczuciu bezpieczeństwa. Samo wdrożenie zaawansowanej bramy bezpieczeństwa poczty nie gwarantuje zatrzymania wszystkich wiadomości phishingowych. Jeżeli organizacja opiera ochronę wyłącznie na filtracji e-maili, pojedyncze obejście zabezpieczeń może mieć poważne skutki operacyjne.
Rekomendacje
Organizacje powinny zakładać, że część wiadomości phishingowych nieuchronnie dotrze do skrzynek odbiorczych. Dlatego kluczowe znaczenie ma obrona wielowarstwowa, obejmująca zarówno ochronę poczty, jak i tożsamości oraz aktywności użytkowników.
- Wdrażaj MFA odporne na phishing, aby ograniczyć skutki przejęcia hasła.
- Stosuj zasadę najmniejszych uprawnień oraz kontrolę dostępu uprzywilejowanego.
- Monitoruj anomalie logowania, nowe urządzenia, nietypowe lokalizacje i podejrzane sekwencje dostępu.
- Prowadź regularne szkolenia z rozpoznawania przynęt związanych z AI, webinarami i ekskluzywnymi zaproszeniami.
- Wspieraj użycie menedżerów haseł, które sprawdzają zgodność domeny przed uzupełnieniem danych logowania.
- Rozszerz polityki detekcyjne o nadużycia legalnych platform, skracaczy URL oraz mechanizmów antyanalitycznych.
Z perspektywy zespołów SOC oznacza to potrzebę głębszej inspekcji przekierowań, korelacji sygnałów reputacyjnych i regularnego testowania skuteczności ochrony przy użyciu realistycznych scenariuszy phishingowych.
Podsumowanie
Kampania podszywająca się pod Anthropic pokazuje, że skuteczny phishing nie musi być technicznie zaawansowany ani perfekcyjnie przygotowany wizualnie. Wystarczy połączenie legalnie wyglądającej infrastruktury nadawczej, ukrycia docelowych adresów oraz prostych technik utrudniających analizę, aby ominąć część uznanych narzędzi ochrony poczty.
Dla organizacji to wyraźny sygnał, że bezpieczeństwo poczty powinno być traktowane jako jeden z elementów szerszej strategii. Silna ochrona tożsamości, monitoring kont oraz dojrzałe programy świadomości użytkowników pozostają kluczowe w ograniczaniu skutków podobnych kampanii.
Źródła
- Dark Reading — https://www.darkreading.com/cyberattacks-data-breaches/anthropic-phishing-emails-bypass-security-tools
- Cofense: Anthropic impersonation campaign — https://cofense.com/blog/anthropic-phishing-campaign-bypasses-email-security-vendors