Hackers estão usando convites falsos para eventos da OpenAI, da SpaceX e da Anthropic para atrair funcionários a ataques de phishing. Para roubar credenciais de contas da Microsoft e do Google, além de sessões de autenticação, os criminosos recorrem a duas plataformas de phishing como serviço.
Segundo um novo relatório da Push Security, os ataques usam páginas convincentes de inscrição em eventos, que oferecem acesso gratuito a serviços premium de IA e outros prêmios para induzir as vítimas a entrar com suas contas corporativas.
O que chama a atenção é que as mesmas páginas falsas integram duas plataformas distintas de phishing como serviço, Kali365 e VoidProxy. Cada uma é usada para atacar contas da Microsoft e do Google com métodos diferentes.
A Kali365 realiza ataques de phishing usando códigos de autenticação de dispositivo da Microsoft. Já a VoidProxy funciona como um proxy reverso que se interpõe entre a vítima e o serviço legítimo, intercepta o acesso às contas do Google e rouba cookies de sessão de autenticação.
No ataque contra a Microsoft, a VoidProxy também é usada em uma segunda etapa. Assim, os criminosos conseguem capturar credenciais e cookies de sessão depois de obter tokens de autenticação por meio da Kali365.
A Push Security informou que detectou e bloqueou o acesso às páginas maliciosas de inscrição no fim de outubro de 2026.
A campanha ocorre após uma operação semelhante, documentada pela ANY.RUN em julho. Na ocasião, os criminosos abusaram de páginas legítimas de eventos do Zoom para divulgar eventos falsos da Meta, da OpenAI e da Anthropic, que levavam a ataques de phishing com códigos de dispositivo e interceptação de sessões.
A Cofense também relatou recentemente e-mails de phishing que se passavam por convites para eventos da Anthropic. As mensagens foram distribuídas pela infraestrutura de e-mail do GoTo Webinar e redirecionavam os destinatários por vários sites até páginas falsas de inscrição.
Não está claro como os criminosos distribuem inicialmente os links de phishing. A Push Security identificou, porém, que as vítimas são encaminhadas às páginas maliciosas por links de serviços confiáveis, incluindo encurtadores de URL do Google e do Zapier.
Convites de versões anteriores da campanha também foram distribuídos pelos sistemas de e-mail do GoTo Webinar ou por páginas legítimas de eventos do Zoom.
De acordo com a Push Security, os criminosos usam dois conjuntos personalizados de ferramentas de phishing, identificados como ZoomMock e MSDRoot, para criar páginas falsas de eventos. Essas páginas encaminham as vítimas aos serviços de phishing Kali365 e VoidProxy.
Os pesquisadores acreditam que os mesmos grupos criminosos operam as duas ferramentas, pois elas compartilham infraestrutura e visam os mesmos alvos.
A campanha se passa por eventos organizados pela OpenAI, pela SpaceX e pela Anthropic. As páginas de inscrição foram criadas para imitar sites legítimos.
Uma das páginas falsas anuncia um evento da OpenAI chamado “ChatGPT para equipes de marketing digital e redes sociais” e promete três meses de ChatGPT Pro aos participantes.
Outra divulga um evento privado da SpaceX em 12 de novembro. Quem se inscrever receberia três meses de Grok Heavy ou uma “ação da SpaceX”.
Os pesquisadores também encontraram uma página falsa que se passava por um evento da Anthropic na AWS re:Invent 2026. O site já havia sido retirado do ar.
As páginas falsas informam que os visitantes precisam entrar com suas contas de trabalho para se inscrever e receber os prêmios anunciados.
Antes de exibir as páginas falsas de inscrição, os sites mostram um teste da Cloudflare para confirmar que o visitante não é um robô. A medida dificulta a análise das páginas de phishing por ferramentas automatizadas de segurança.
Ao chegar à página do evento, o visitante encontra duas opções: “Continuar com a Microsoft” e “Continuar com o Google”.
Quando a vítima escolhe a opção da Microsoft, a página de phishing se conecta à Kali365 para gerar um código de autenticação de dispositivo da Microsoft.
Esse tipo de ataque explora o fluxo legítimo de autorização de dispositivo do OAuth 2.0 para obter tokens de autenticação da conta da vítima no Microsoft Entra.
Com esses tokens, os criminosos podem acessar recursos da conta e aplicativos conectados por SSO, como Microsoft 365, Salesforce, Google Workspace, Dropbox, Adobe, SAP, Slack, Zendesk e Atlassian.
Ataques de phishing com códigos de dispositivo já foram usados para roubo de dados e espionagem cibernética.
A página instrui o visitante a copiar o código e inseri-lo no site legítimo de acesso por dispositivo da Microsoft. Em seguida, a vítima autentica a conta e aprova a solicitação.
Com isso, a Kali365 pode roubar os tokens de autenticação da Microsoft sem que a vítima precise informar diretamente a senha.
Depois que a autenticação por código de dispositivo é concluída, a página redireciona a vítima para uma página de acesso da Microsoft controlada pela VoidProxy. Nessa etapa, os criminosos também podem capturar a senha e o cookie de sessão da vítima.
Quando a vítima seleciona a opção de autenticação do Google, a página de phishing abre uma janela com uma página de acesso do Google fornecida pela VoidProxy.
A plataforma se posiciona entre o navegador da vítima e a página de acesso do Google, retransmite os formulários e rouba credenciais, respostas aos desafios de MFA e cookies de sessão.
Tanto a Kali365 quanto a VoidProxy permitem contornar a autenticação multifator. Isso pode ocorrer por meio do roubo de uma sessão já autenticada ou, no caso da autenticação por código de dispositivo, pela evasão completa da MFA.
Para se proteger, funcionários devem evitar inserir códigos de autenticação de dispositivo da Microsoft fornecidos por sites desconhecidos. Também devem desconfiar de convites para eventos que exigem o acesso com uma conta corporativa para liberar prêmios.
As organizações podem restringir a autenticação por código de dispositivo quando ela não for necessária e adotar MFA resistente a phishing, como chaves de segurança FIDO2, para ajudar a impedir o sequestro de sessões.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...