Una campaña de phishing dirigida a administradores de cuentas publicitarias utiliza sitios falsos de ChatGPT, Gemini, Claude y Perplexity para robar credenciales de acceso y códigos de autenticación multifactor (MFA), según investigadores de Island, una empresa de seguridad de navegadores.
Los sitios afirman que sus productos de IA pueden ayudar a los anunciantes a llegar a compradores, obtener informes publicitarios y planificar o auditar campañas y gastos. Para utilizarlos, se pide a los visitantes que conecten una cuenta. El botón abre una ventana falsa de inicio de sesión de Google incrustada en la página, con accounts.google.com en la barra de direcciones. La ventana es un iframe diseñado para capturar credenciales, no una ventana emergente auténtica del navegador.
Island afirma que el kit de phishing adapta su interfaz a Windows, macOS, iOS y Android. Durante el inicio de sesión, un operador humano puede pedir la contraseña hasta tres veces, solicitar un código por SMS o de una aplicación de autenticación, mostrar solicitudes de Okta o avisos de aprobación de Google y presentar un código QR. También puede rechazar los códigos enviados o mantener a las víctimas en una pantalla de espera.
Los investigadores vincularon la campaña con una operación más amplia que incluía páginas falsas de ofertas de empleo y reembolsos. Rastrearon la actividad mediante código fuente expuesto en repositorios públicos de GitHub mal configurados y hallaron indicios que se remontan a marzo. Las páginas de la operación comparten una infraestructura basada en Next.js y Socket.IO; muchas usan interfaces en Vercel y servidores en Railway o Render. Island encontró que la plataforma admite flujos de inicio de sesión de Google, Meta, TikTok y Okta. Los investigadores también observaron cientos de envíos de víctimas al canal de control de Telegram de la campaña, una cifra que no indica cuántas cuentas fueron comprometidas con éxito.
Comentarios
0Aún no hay comentarios. Escribe el primero.