Atacurile de tip phishing care mizează pe numele mari din tech nu sunt o noutate, dar campania descrisă de cercetătorii de la Push Security ridică ștacheta. Nu mai vorbim despre un email jalnic cu greșeli de gramatică, ci despre pagini de înregistrare la evenimente care arată impecabil, promit beneficii reale și sunt gândite să treacă de filtrele de securitate. Subiectul e tehnic, dar consecințele lovesc direct în operațiunile unui business, fie că e vorba de un cont de Microsoft 365 folosit pentru facturare, fie de un workspace Google cu date de campanie.

Conform raportului Push Security citat de BleepingComputer, atacatorii au folosit invitații false la evenimente OpenAI, SpaceX și Anthropic pentru a păcăli angajații să se autentifice cu conturile corporative. Momeala e simplă și eficientă: acces gratuit la servicii AI premium sau alte recompense. Paginile de înregistrare cer autentificare cu contul de serviciu, iar de acolo începe furtul.

Cum funcționează de fapt atacul

Mecanismul e mai sofisticat decât un simplu formular fals. Cercetătorii au identificat două kituri personalizate de phishing, numite ZoomMock și MSDRoot, care creează paginile false de evenimente. Acestea redirecționează victimele către două platforme de phishing-as-a-service distincte: Kali365 și VoidProxy. Ambele kituri par să fie operate de aceiași actori, judecând după infrastructura partajată și țintirea identică.

Pe partea de Microsoft, Kali365 rulează un atac de tip device code phishing. Practic, platforma abuzează de fluxul legitim OAuth 2.0 de autorizare a dispozitivului pentru a obține tokenuri de autentificare pentru contul Microsoft Entra al victimei. Utilizatorul este instruit să copieze un cod și să îl introducă pe site-ul real de login Microsoft, unde aprobă cererea. Rezultatul: atacatorii obțin tokenuri fără să aibă nevoie de parolă. Iar tokenurile respective dau acces la resursele utilizatorului și la aplicațiile conectate prin SSO, de la Microsoft 365 la Salesforce, Google Workspace, Dropbox, Adobe, SAP, Slack, Zendesk sau Atlassian.

Pe partea de Google, VoidProxy acționează ca un proxy invers de tip adversary-in-the-middle (AiTM). Se interpune între browserul victimei și pagina de login Google, copiază formularele, capturează credențialele, răspunsurile MFA și cookie-urile de sesiune. Ambele platforme reușesc să ocolească autentificarea multifactor, fie capturând o sesiune deja autentificată, fie, în cazul device code, sărind complet peste MFA.

Detaliul care face campania interesantă e combinația: după ce autentificarea prin device code reușește, pagina redirecționează victima către o pagină de login Microsoft operată de VoidProxy, unde atacatorii mai capturează și parola și cookie-ul de sesiune. E un atac în două etape care maximizează recolta de date.

De ce paginile trec de filtrele de securitate

Un aspect pe care mulți specialiști îl subestimează este camuflajul. Înainte de a afișa pagina falsă de înregistrare, site-urile afișează un CAPTCHA Cloudflare cu mesajul „Confirm you're not a robot". Scopul nu e să verifice utilizatorul, ci să blocheze platformele automatizate de scanare a securității. Un crawler care încearcă să acceseze pagina rămâne blocat la CAPTCHA, în timp ce un om curios trece mai departe și ajunge pe formularul de phishing.

În plus, linkurile de distribuire folosesc servicii de încredere, inclusiv scurtătoare de URL de la Google și Zapier. Invitațiile din versiunile anterioare ale campaniei au fost distribuite prin infrastructura de email GoTo Webinar sau prin pagini legitime de evenimente Zoom. Asta explică de ce filtrele tradiționale bazate pe reputația domeniului au ratat campania: domeniul e curat, doar conținutul e malițios.

Push Security spune că a detectat și blocat vizitele către paginile malițioase la sfârșitul lunii octombrie 2026. Campania vine după un alt val documentat de ANY.RUN în iulie, când atacatorii au abuzat de pagini legitime de evenimente Zoom pentru a promova evenimente false Meta, OpenAI și Anthropic. Și Cofense a raportat recent emailuri care imitau invitații la evenimente Anthropic, distribuite prin infrastructura GoTo Webinar.

Ce momeală concretă folosesc

Paginile imitate nu sunt alese la întâmplare. Una dintre ele promovează un eveniment OpenAI intitulat „ChatGPT for Social & Digital Marketing Teams", cu trei luni de ChatGPT Pro oferite participanților. O alta promovează un eveniment privat SpaceX pe 12 noiembrie, cu trei luni de Grok Heavy sau o „acțiune SpaceX" ca recompensă. Cercetătorii au găsit și o pagină care imita un eveniment Anthropic la AWS re:Invent 2026, deja scoasă offline.

Momeala e calibrată perfect pentru publicul țintă: oameni din marketing, vânzări, operațiuni, exact cei care ar avea acces la conturi de email și la instrumente de business. Promisiunea de acces gratuit la un serviciu premium elimină raționamentul critic. Nimeni nu se întreabă de ce ar da cineva trei luni de ChatGPT Pro pe un formular de înregistrare, când răspunsul sună prea bine ca să fie adevărat.

Semnalele pe care le poți verifica în organizația ta

Primul lucru de verificat e dacă device code authentication este activ în tenantul tău Microsoft. Dacă nu ai nevoie de el pentru fluxuri legitime (de exemplu, imprimante, aplicații CLI, televizoare de sală), poți să îl restricționezi. Multe organizații îl lasă activ implicit fără să își dea seama de risc.

Al doilea lucru: autentificarea multifactor rezistentă la phishing, cum ar fi cheile de securitate FIDO2. MFA simplu, prin SMS sau cod, e ocolit de platformele AiTM pentru că acestea capturează sesiunea deja autentificată. Cheile FIDO2 leagă autentificarea de domeniul real și nu pot fi intermediate printr-un proxy.

Al treilea: educarea echipei pe un scenariu concret, nu pe un curs generic. „Nu introduce coduri de autentificare primite de la site-uri necunoscute" e o regulă simplă care blochează complet atacul device code. La fel, „nu te autentifica cu contul de serviciu pe pagini de evenimente ca să obții premii" e o regulă care ar fi oprit campania din fașă.

Al patrulea: monitorizarea sesiunilor. Cookie-urile furate sunt greu de detectat, dar comportamentul anormal (loginuri din locații neobișnuite, acces la resurse pe care utilizatorul nu le folosește de obicei) poate fi prins cu o soluție de detecție a compromiterii identității. Dacă nu ai una, măcar verifică manual jurnalele de autentificare pentru pattern-uri de device code aprobate în afara orelor de program.

Ce înseamnă pentru tine, ca antreprenor sau marketer român

Dacă conduci o agenție sau un business de ecommerce în România, ai probabil un cont Microsoft 365 sau Google Workspace în care stau facturi, contracte, date de clienți și acces la platforme de ads. Un atac reușit nu înseamnă doar o parolă furată, înseamnă acces la tot ecosistemul de aplicații conectate prin SSO.

Scenariul concret: un membru al echipei de marketing primește o invitație la un eveniment ChatGPT pentru echipe de marketing digital, cu acces gratuit trei luni. Se înregistrează cu contul de serviciu. În câteva secunde, atacatorii au tokenul de autentificare. De acolo pot accesa emailul, pot citi conversații cu clienți, pot trimite emailuri în numele companiei, pot accesa platforme de ads conectate, pot modifica metode de plată. Recuperarea unui astfel de incident durează zile și costă. Nu vorbim despre o pierdere măsurabilă într-un dashboard, ci despre un eveniment de securitate pe care nu îl poți cuantifica printr-un audit automat. Un audit care spune „totul e în regulă" nu dovedește că nu ai fost compromis, dovedește doar că verificarea nu a găsit încă nimic.

Asta e și capcana auditului automat de securitate: un scan care nu găsește nimic nu înseamnă că ești curat. Înseamnă că scanul are limite. În cazul campaniei de față, un scan automat ar fi blocat la CAPTCHA-ul Cloudflare și ar fi raportat „pagină inaccesibilă", nicidecum „pagină malițioasă".

Ca marketer, e tentant să privești știrea ca pe o problemă de IT și să o lași acolo. Dar realitatea e că marketingul e cel mai expus departament: primește invitații la evenimente, se înscrie pe platforme noi, folosește conturi de social media conectate. Când un cont de Google Workspace e compromis, nu se pierde doar emailul, se pierd și accesul la Google Ads, Analytics, Search Console, poate la un cont de YouTube al brandului. Dacă vrei să înțelegi cât de ușor se pierd datele dintr-un cont de email compromis, uită-te la ce măsori de fapt în rata de deschidere email în 2026: un cont compromis poate falsifica toate acele metrici fără să observi.

Limitele raportului și ce rămâne de verificat

Raportul Push Security nu explică exact cum sunt distribuite inițial linkurile malițioase. Spune doar că atacatorii folosesc redirecționări prin servicii de încredere. Nu avem informații despre volumul victimelor, despre industriile țintite cu precădere sau despre geografia atacurilor. Acestea sunt întrebări la care sursa nu răspunde, iar noi nu inventăm răspunsuri.

De asemenea, nu știm dacă platformele Kali365 și VoidProxy au fost deja perturbate de autorități. În trecut, platforme similare (EvilTokens) au fost deconectate după ce au compromis mii de conturi Microsoft, dar nu există informații că s-ar fi întâmplat și în acest caz. Recomandarea e să verifici direct la sursă dacă ai nevoie de detalii operaționale.

Un alt aspect de nuanțat: nu toate atacurile de tip device code sunt la fel. Unele vizează tokenuri de scurtă durată, altele obțin acces persistent. Raportul nu specifică durata de viață a tokenurilor compromise, deci nu putem afirma cât de lung e accesul atacatorilor. O verificare incompletă nu dovedește absența unui risc, dovedește doar că informația lipsește.

FAQ

Cum îmi dau seama dacă un eveniment la care sunt invitat e real?

Verifică dacă domeniul din link corespunde exact domeniului oficial al organizatorului. Un eveniment OpenAI real e găzduit pe domenii OpenAI. Unul SpaceX, pe domenii SpaceX. Nu te înscrie cu contul de serviciu pe pagini care cer autentificare OAuth pentru a „debloca" premii. Dacă evenimentul cere un cod de dispozitiv Microsoft, e aproape sigur phishing.

Ce fac dacă am introdus deja codul pe site-ul Microsoft de la o asemenea invitație?

Revocă imediat sesiunile active din contul Microsoft („Sign out of all sessions") și resetează parola. Apoi anunță echipa de IT sau administratorul tenantului. Nu presupune că ai scăpat doar pentru că nu ai dat parola: tokenul obținut prin device code e suficient pentru acces.

MFA mă protejează în fața acestor atacuri?

MFA clasic, prin SMS sau cod, nu e suficient. Platformele AiTM și device code ocolesc MFA prin capturarea sesiunii sau prin fluxul legitim OAuth. Ai nevoie de MFA rezistent la phishing, cum ar fi chei FIDO2, și de restricționarea device code authentication acolo unde nu e necesar.

Arcul ALLSoft Agency

AI-ul ajută la analiza semnalelor, la trierea jurnalelor de autentificare, la redactarea procedurilor interne și la prioritizarea riscurilor. Dar decizia de a restricționa device code authentication, de a implementa chei FIDO2, de a instrui echipa pe scenarii concrete și de a verifica fiecare invitație suspectă rămâne umană. Un media buyer sau un manager experimentat vede dincolo de un formular care promite trei luni gratuite. Iar pasul concret, fie că e un audit de securitate al conturilor, fie implementarea unor reguli clare pentru echipă, îl face ALLSoft Agency. Fără hype, fără promisiuni că un scan rezolvă totul, ci cu verificări reale și decizii asumate.