Falsi inviti OpenAI e SpaceX: la nuova truffa per rubare account Google

Una campagna di phishing sta sfruttando l’interesse verso l’Intelligenza Artificiale per colpire soprattutto gli account aziendali collegati ai servizi Microsoft e Google diffusi.

I criminali costruiscono pagine che imitano inviti a eventi attribuiti a OpenAI, SpaceX e Anthropic, promettendo accessi esclusivi o vantaggi allettanti. L’obiettivo non è far partecipare le vittime a conferenze inesistenti, ma convincerle ad autenticarsi attraverso schermate contraffatte per sottrarre credenziali e informazioni di sessione.

I ricercatori di Push Security hanno analizzato l’attività, descritta da TechRadar in un articolo pubblicato nelle scorse ore. Il caso evidenzia come l’identità di marchi noti possa rendere credibile un’esca digitale.

Come funzionano gli inviti fraudolenti

Le pagine individuate promuovono iniziative dall’aspetto credibile: una diretta di OpenAI Academy, un briefing privato di SpaceX sul marketing e una presentazione Anthropic collegata ad AWS re:Invent. Per rendere l’esca più convincente, i gestori promettono ricompense come un abbonamento ChatGPT Pro, l’accesso a Grok Heavy o azioni SpaceX. Per riscattarle, viene richiesto di entrare con un profilo di lavoro.

Il percorso cambia in base al pulsante selezionato. Chi sceglie Microsoft viene coinvolto in un’autenticazione tramite codice dispositivo gestita da Kali365. Inserendo il codice nel portale Microsoft autentico e approvando l’accesso, l’utente autorizza involontariamente una sessione controllata dagli aggressori. In seguito, la pagina conduce a un’ulteriore schermata contraffatta che raccoglie altri dati, compresi i cookie di sessione.

La scelta di Google attiva VoidProxy, che intermedia la vera pagina di accesso attraverso un proxy controllato dai criminali. In questo modo possono acquisire password, risposta all’autenticazione a più fattori e cookie, ottenendo una sessione già autenticata. La presenza della verifica MFA, quindi, non garantisce da sola che il processo sia legittimo.

Perché la truffa può superare i controlli

Secondo Push Security, gli operatori utilizzano collegamenti abbreviati tramite servizi riconosciuti, fra cui Google e Zapier, e reindirizzamenti che rendono meno immediata l’identificazione della destinazione. La distribuzione esatta non è stata confermata; tra i canali ipotizzati figurano email, social network e gruppi Telegram.

Kali365 e VoidProxy sono piattaforme di phishing vendute come servizio, non necessariamente strumenti creati dagli stessi responsabili della campagna. La distinzione conta: infrastrutture condivise possono essere utilizzate da operatori differenti e la presenza di un dominio in un’indagine non dimostra chi ne sia il proprietario.

Per ridurre il rischio, le aziende dovrebbero verificare gli inviti attraverso i siti ufficiali degli organizzatori, senza affidarsi ai collegamenti ricevuti. È importante non inserire codici di accesso su richiesta di pagine promozionali e segnalare al reparto IT eventuali autenticazioni sospette. In caso di dubbio, la verifica va avviata da un indirizzo digitato autonomamente o da un segnalibro conosciuto.

La vicenda mostra quanto la fiducia nei marchi tecnologici possa diventare uno strumento di manipolazione. Per le organizzazioni, la sicurezza non dipende soltanto dai filtri tecnici: richiede procedure interne capaci di rallentare le decisioni impulsive e rendere semplice la segnalazione di messaggi anomali.