Los hackers están utilizando invitaciones falsas a eventos de OpenAI, SpaceX y Anthropic para atraer a empleados a ataques de phishing, empleando dos plataformas de phishing como servicio (PhaaS) diferentes para robar credenciales de cuentas de Microsoft y Google, así como sesiones de autenticación.
Según un nuevo informe de Push Security, los atacantes utilizan páginas de registro de eventos convincentes que ofrecen acceso gratuito a servicios de IA premium y otras recompensas para engañar a las víctimas y que inicien sesión con sus cuentas corporativas.
Lo interesante de estos ataques es que las mismas páginas de phishing integran dos plataformas de phishing como servicio (PhaaS) distintas, Kali365 y VoidProxy, para atacar cuentas de Microsoft y Google mediante diferentes técnicas de autenticación.
Kali365 realiza ataques de phishing de código de dispositivo de Microsoft, mientras que VoidProxy actúa como un proxy inverso de intermediario (AiTM) para interceptar los inicios de sesión de Google y robar las cookies de sesión de autenticación.
El ataque a Microsoft también utiliza VoidProxy como segunda etapa, lo que permite a los atacantes capturar credenciales y cookies de sesión tras obtener tokens de autenticación a través de Kali365.
Push Security afirma haber detectado y bloqueado las visitas a las páginas de registro de eventos maliciosas a finales de octubre de 2026.
Esta campaña surge tras una similar documentada por ANY.RUN en julio, en la que atacantes abusaron de páginas legítimas de eventos de Zoom para promocionar eventos falsos de Meta, OpenAI y Anthropic, lo que derivó en ataques de phishing de código de dispositivo y AiTM.
Cofense también informó recientemente sobre correos electrónicos de phishing que suplantaban invitaciones a eventos de Anthropic, distribuidos a través de la infraestructura de correo electrónico de GoTo Webinar y que redirigían a los destinatarios a través de múltiples sitios web a páginas de registro falsas.
Actualmente, las organizaciones operan en un entorno de ciberamenazas cada vez más hostil, donde la protección de datos se ha convertido en un requisito empresa...
Leer artículo →Un evaluador independiente de PCI probó Reflectiz conforme a las nuevas normas PCI DSS. Cuando un cliente introduce su número de tarjeta en el proceso de pago,...
Leer artículo →Si un agente de IA autónomo interactúa hoy con la propiedad intelectual principal de su empresa, ¿puede su equipo de seguridad identificar al instante a la pers...
Leer artículo →