网络安全公司 Push Security 最近发布的一份报告披露，监测到一场针对企业和机构账户的大规模网络钓鱼攻击活动。该活动通过发送带有 OpenAI、SpaceX 和 Anthropic 等知名品牌标识的虚假技术活动邀请函，利用精心设计的虚假注册页面来窃取微软和谷歌账户的凭据和身份验证令牌。
研究人员指出，这些攻击使用了高度集成且先进的“钓鱼即服务”平台，即 Kali365 和 VoidProxy，以执行多阶段身份验证攻击。Kali365 平台专门通过设备代码攻击针对微软账户，而 VoidProxy 平台则充当攻击中介，拦截谷歌登录过程并窃取会话 Cookie。
攻击机制与知名品牌利用
该活动通过来自谷歌 URL 缩短服务和 Zapier 等可信服务的重定向链接诱导受害者，并在早期阶段利用 GoTo Webinar 和 Zoom 等合法平台的架构。虚假注册页面提供诱人的奖励，例如为参加特定活动的参与者提供三个月的 ChatGPT Pro 服务或 SpaceX 的虚假股票份额。
在显示注册页面之前，恶意网站使用 Cloudflare CAPTCHA 来验证访问者身份，并防止自动化安全平台扫描网站。当受害者尝试通过其微软账户进行注册时，页面会与 Kali365 平台通信以生成设备身份验证令牌，从而允许攻击者在无需直接请求密码的情况下，访问与 Microsoft 365、Salesforce 和 Google Workspace 等服务连接的应用。
这次攻击在实际应用中改变了什么？
该活动的危险之处在于它能够完全绕过传统的双重身份验证，要么通过捕获已激活的身份验证会话，要么通过滥用 OAuth 2.0 设备授权流。当用户选择谷歌选项时，会通过 VoidProxy 平台弹出一个窗口，充当拦截凭据、身份验证响应和会话 Cookie 的中介。
为了应对这些威胁，安全机构建议对要求使用工作账户登录以换取奖励的活动邀请保持高度警惕，避免在陌生网站上输入设备身份验证码，并在不需要的场景中限制使用设备代码进行身份验证，并采用抗钓鱼的 FIDO2 安全密钥。