Convites falsos de eventos da OpenAI, SpaceX e Anthropic são usados para roubar contas Microsoft e Google

A campanha identificada combina dois serviços de phishing-as-a-service — Kali365 e VoidProxy — para sequestrar contas corporativas Microsoft e Google. O gancho usado são convites falsos para eventos de empresas de tecnologia e IA de alto prestígio, como OpenAI, SpaceX e Anthropic, nomes que funcionam como isca porque funcionários tendem a abrir qualquer coisa ligada a essas marcas sem suspeitar. Os links de entrada passam por encurtadores e serviços legítimos (Google, Zapier, Zoom, GoTo Webinar) antes de desembocar na página fraudulenta, o que ajuda a passar por filtros de reputação de URL.

Na prática, o truque central é abusar do fluxo de autenticação por código de dispositivo da Microsoft. A vítima é levada a copiar um código gerado pelo Kali365 e inseri-lo na página de login genuína da Microsoft — ou seja, ela mesma autoriza o dispositivo do atacante, sem perceber. No fluxo Google, o VoidProxy atua como um proxy adversário no meio (adversary-in-the-middle), reproduzindo a tela de login do Google em tempo real e capturando não só a senha, mas o cookie de sessão autenticado, que permite ao atacante entrar sem precisar de senha nem de segundo fator depois disso.

O sinal de alerta mais claro é qualquer página que peça para "copiar e colar um código" em outra aba para "confirmar" presença em evento — esse padrão não existe em processos legítimos de inscrição. Empresas devem restringir o fluxo de device code quando não for estritamente necessário, já que é um vetor clássico de bypass de MFA, e migrar para autenticação resistente a phishing baseada em chaves FIDO2/passkeys, que não podem ser repassadas via proxy. Times de segurança também deveriam monitorar o uso de encurtadores de links corporativos legítimos como indicador de campanhas, já que são abusados justamente para escapar de bloqueios de URL.