Sahte OpenAI ve SpaceX etkinlik davetleriyle Microsoft ve Google iş hesapları hedefleniyor

Güvenlik şirketi Push Security, 5 Kasım'da yayımladığı analizde yapay zekâ ve uzay şirketlerinin adını kullanan sahte etkinlik davetleriyle iş hesaplarını hedef alan bir phishing kampanyasını anlattı. E-posta davetleri kurbanı bir "etkinlik kayıt" sayfasına götürüyor. Sayfalardan biri 4 Kasım tarihli bir OpenAI Academy canlı yayını ve üç aylık ChatGPT Pro hediyesi vaat ediyor. Bir diğeri 12 Kasım'da davetlilere özel bir SpaceX "Starship Product Briefing" etkinliği ilan ediyor. Analiz sırasında artık yayında olmayan bir "Anthropic at AWS re:Invent" sayfası da kampanyanın parçası olarak listeleniyor.

Push'a göre sayfaların ortak özelliği iş hesabı istemeleri. "Continue with Microsoft" ve "Continue with Google" düğmeleri gerçek bir oturum açma akışı gibi görünen iki ayrı phishing-as-a-service kitine bağlanıyor. Şirket, ekim sonunda müşterilerinin tarayıcılarında bu sayfalara yapılan ziyaretleri engellediğini söylüyor.

İki farklı teknik - Microsoft tarafı: device code phishing (Kali365). Sayfa, "Confirm access" penceresinde bir kod gösteriyor ve kurbandan bu kodu Microsoft'un gerçek cihaz giriş sayfasına yazmasını istiyor. Kurban kodu girdiğinde oluşan token'lar saldırganın oturumuna gidiyor. Kurban sahte bir giriş sayfasına parola yazmadığı için klasik "adres çubuğunu kontrol et" uyarısı burada işe yaramıyor. - Google tarafı: AiTM (VoidProxy). Ters vekil sunucu, Google'ın gerçek oturum açma ekranını araya girerek aktarıyor. Parola, MFA yanıtı ve oturum çerezi bu sırada ele geçiriliyor.

Push, iki kitin geliştiricileri arasında bir bağ kurmadığını belirtiyor. Davet sayfalarının ise ayrı bir operatör kiti ile üretildiğini yazıyor.

Güvenilir servisler kalkan olarak kullanılıyor Analize göre bağlantılar Google kısa link servisleri, Zapier, GoTo Webinar e-posta altyapısı, gerçek Zoom etkinlik sayfaları ve X'in çıkış yönlendirmesi üzerinden geçiyor. Sayfalar tarayıcı doğrulaması (Cloudflare challenge) arkasına saklanarak otomatik tarayıcılardan gizleniyor. Push, alan adlarının birkaç haftada bir değiştiğini, bu yüzden IOC listelerinin sınırlı değer taşıdığını da not ediyor. Operatörün 20–30 Ekim arasında temayı Zoom'dan Anthropic'e, ardından OpenAI, SpaceX ve Claude'a kaydırdığı belirtiliyor.

Ne yapılmalı? 1. Kullanıcılara özellikle "bir siteden aldığınız kodu Microsoft cihaz giriş sayfasına girin" isteğinin şüpheli olduğunu anlatın. Meşru bir etkinlik kaydı bunu istemez. 2. Entra ID'de device code akışını gerçekten ihtiyaç duyan kullanıcı ve cihazlarla sınırlamayı Conditional Access politikalarıyla değerlendirin. Değişikliği change management sürecinden geçirin. 3. Phishing'e dayanıklı MFA'ya (FIDO2/passkey) geçiş, AiTM ile çalınan MFA yanıtlarının değerini düşürür. 4. Oturum açma loglarında cihaz kodu ile yapılan girişleri ve olağandışı konumlardan gelen token kullanımını izleyin. Şüpheli bir girişte kullanıcının oturumlarını ve token'larını iptal edin. 5. "Ücretsiz ChatGPT Pro", "Grok Heavy" ya da "hisse" vaat eden etkinlik davetlerini e-posta güvenlik ekibine bildirme yolunu çalışanlara hatırlatın.