Un nuovo rapporto sulla cybersecurity di Cofense descrive una campagna di phishing sofisticata che prende di mira gli utenti aziendali sfruttando il loro interesse per l'intelligenza artificiale. Gli attaccanti stanno inviando email che sembrano essere inviti esclusivi a un'anteprima privata dell'ultima tecnologia di Anthropic, capitalizzando sull'elevata domanda di accesso ai modelli di IA all'avanguardia. Sebbene le email promettono una conversazione focalizzata sui sistemi e sulla ricerca di IA, l'obiettivo reale è raccogliere le credenziali di accesso per gli account Google e Microsoft.
La campagna sfrutta il branding di GoTo Webinar, una piattaforma di videoconferenza ampiamente utilizzata i cui inviti legittimi alle riunioni spesso non vengono bloccati dagli strumenti di sicurezza. Le email fraudolente sembrano provenire da un indirizzo che ricorda customercare@gotowebinar[.]com e presentano i loghi ufficiali di GoTo Webinar. Tuttavia, i ricercatori hanno notato una sottile ma critica incoerenza: il nome del mittente è indicato come "Austin from nthropic", con la lettera iniziale "A" mancante da Anthropic. Nonostante questo errore di battitura, il testo non contiene altri errori evidenti, rendendo l'inganno più convincente.
Quando i destinatari cliccano sul link per registrarsi al falso webinar, vengono indirizzati attraverso una serie di passaggi ingannevoli progettati per eludere gli scanner di sicurezza. Gli attaccanti utilizzano accorciatori di URL e sottodomini con trattini per nascondere indirizzi malevoli, come goo[.]gle-access-eventregister[.]icu per Google e office[.]com-access-sharepoint[.]com per Microsoft. Questi link portano inizialmente a una pagina CAPTCHA di Cloudflare, che funge da punto di controllo per bloccare gli strumenti di sicurezza automatizzati pur apparendo legittima agli utenti umani. Dopo aver completato il primo CAPTCHA, le vittime vengono portate a una pagina che contraffà un invito a una riunione Zoom, dove devono inserire il proprio indirizzo email aziendale.
Dopo aver selezionato opzioni come "Continua con Google" o "Continua con Microsoft", appare un secondo CAPTCHA prima di presentare la richiesta finale di accesso. Questo meccanismo a doppio CAPTCHA impedisce efficacemente l'analisi da parte dei servizi VPN, dei browser Tor e di altri scanner di sicurezza. La pagina contraffatta di Microsoft cattura con successo sia i nomi utente che le password, mentre la falsa pagina Google attualmente raccoglie solo i nomi utente, probabilmente a causa di una configurazione errata che gli attaccanti potrebbero correggere nelle future iterazioni. Una volta inviate le credenziali, non viene visualizzato alcun messaggio di conferma o reindirizzamento alle pagine legittime dei fornitori; invece, i dati vengono immediatamente esfiltrati dagli attori della minaccia.
Frank Dickson di Dickson Research ha sottolineato che gli attaccanti non hanno scelto Anthropic a caso, ma hanno selezionato l'argomento più caldo nell'attuale ciclo delle notizie per sfruttare la "paura di perdere qualcosa". Ha notato che la dipendenza dell'industria dell'IA da anteprime riservate e liste d'attesa addestra involontariamente i dipendenti a aspettarsi tali inviti esclusivi. La campagna dimostra come gli attori della minaccia utilizzino strumenti affidabili e l'imitazione per sconfiggere le difese basate sulla fiducia, combinando spesso tre marchi diversi—GoTo Webinar, Zoom e Google o Microsoft—all'interno di una singola catena di attacco.
Gli esperti consigliano che fare affidamento esclusivamente sulla vigilanza dei dipendenti non è sufficiente, specialmente quando gli attaccanti utilizzano l'IA per creare repliche altamente convincenti di pagine legittime. Le organizzazioni sono esortate a verificare qualsiasi invito all'anteprima dell'IA attraverso contatti noti o team di account e a considerare l'incoerenza del branding tra email, pagine delle riunioni e schermate di accesso come un grave segnale d'allarme. Inoltre, si raccomanda di implementare l'autenticazione multifattore resistente al phishing, come le passkey, per rendere le password rubate meno preziose. Se le credenziali vengono compromesse, il reimpostazione immediata delle password e la revisione delle attività per gli account interessati sono passaggi essenziali per mitigare ulteriori infiltrazioni.
Fonti: Computerworld.