Un nuevo informe de ciberseguridad de Cofense detalla una campaña de phishing sofisticada que apunta a usuarios empresariales explotando su interés en la inteligencia artificial. Los atacantes están enviando correos electrónicos que parecen ser invitaciones exclusivas a una vista previa privada de la última tecnología de Anthropic, aprovechando la alta demanda de acceso a modelos de IA de frontera. Aunque los correos prometen una conversación centrada en sistemas e investigación de IA, el verdadero objetivo es recolectar credenciales de inicio de sesión para cuentas de Google y Microsoft.
La campaña aprovecha la marca de GoTo Webinar, una plataforma de videoconferencia ampliamente utilizada cuyas invitaciones legítimas a reuniones a menudo no son bloqueadas por las herramientas de seguridad. Los correos electrónicos fraudulentos parecen provenir de una dirección que se asemeja a customercare@gotowebinar[.]com y presentan logotipos oficiales de GoTo Webinar. Sin embargo, los investigadores señalaron una inconsistencia sutil pero crítica: el nombre del remitente aparece como "Austin from nthropic", con la letra inicial "A" faltante en Anthropic. A pesar de este error ortográfico, el texto no contiene otros errores obvios, lo que hace que el engaño sea más convincente.
Cuando los destinatarios hacen clic en el enlace para registrarse en el falso seminario web, son dirigidos a través de una serie de pasos engañosos diseñados para evadir los escáneres de seguridad. Los atacantes utilizan acortadores de URL y subdominios con guiones para ocultar direcciones maliciosas, como goo[.]gle-access-eventregister[.]icu para Google y office[.]com-access-sharepoint[.]com para Microsoft. Estos enlaces inicialmente llevan a una página de CAPTCHA de Cloudflare, que sirve como punto de control para bloquear herramientas de seguridad automatizadas mientras parece legítima para los usuarios humanos. Después de completar el primer CAPTCHA, las víctimas son llevadas a una página que suplanta una invitación a una reunión de Zoom, donde deben ingresar su dirección de correo electrónico laboral.
Al seleccionar opciones como "Continuar con Google" o "Continuar con Microsoft", aparece un segundo CAPTCHA antes de presentar la solicitud final de inicio de sesión. Este mecanismo de doble CAPTCHA evita efectivamente el análisis por parte de servicios VPN, navegadores Tor y otros escáneres de seguridad. La página suplantada de Microsoft captura exitosamente tanto los nombres de usuario como las contraseñas, mientras que la página falsa de Google actualmente solo recopila nombres de usuario, probablemente debido a una mala configuración que los atacantes pueden corregir en futuras iteraciones. Una vez que se envían las credenciales, no hay mensaje de confirmación ni redirección a páginas legítimas del proveedor; en su lugar, los datos son exfiltrados inmediatamente por los actores de amenazas.
Frank Dickson de Dickson Research destacó que los atacantes no eligieron Anthropic al azar, sino que seleccionaron el tema más candente en el ciclo de noticias actual para explotar el "miedo a perderse algo". Señaló que la dependencia de la industria de la IA en vistas previas restringidas y listas de espera entrena inadvertidamente a los empleados para esperar este tipo de invitaciones exclusivas. La campaña demuestra cómo los actores de amenazas utilizan herramientas confiables y la imitación para derrotar las defensas basadas en la confianza, combinando a menudo tres marcas diferentes: GoTo Webinar, Zoom y Google o Microsoft dentro de una sola cadena de ataque.
Los expertos aconsejan que confiar únicamente en la vigilancia de los empleados es insuficiente, especialmente cuando los atacantes utilizan la IA para crear réplicas altamente convincentes de páginas legítimas. Se insta a las organizaciones a verificar cualquier invitación a vistas previas de IA a través de contactos conocidos o equipos de cuentas y a tratar la marca inconsistente entre correos electrónicos, páginas de reuniones y pantallas de inicio de sesión como una señal de alerta mayor. Además, se recomienda implementar autenticación multifactor resistente al phishing, como claves de acceso (passkeys), para hacer que las contraseñas robadas sean menos valiosas. Si las credenciales se ven comprometidas, los restablecimientos inmediatos de contraseña y las revisiones de actividad para las cuentas afectadas son pasos esenciales para mitigar una mayor infiltración.
Fuentes: Computerworld.