Falsi inviti OpenAI e SpaceX: come funziona la nuova truffa che ruba account Google
Una campagna mirata di phishing sta sfruttando l’interesse per l’intelligenza artificiale e i grandi brand tecnologici per indurre gli utenti aziendali a rivelare credenziali. I falsi inviti OpenAI e SpaceX presentano eventi e premi che appaiono credibili e spingono le vittime ad autenticarsi con account di lavoro su pagine costruite per sembrare lecite. L’obiettivo reale dei criminali non è la partecipazione agli eventi, bensì la sottrazione di password, codici MFA e cookie di sessione utili a ottenere accessi persistenti ai servizi Google e Microsoft.
Falsi inviti OpenAI e SpaceX: Meccanismo dell’attacco e dettagli verificati
I ricercatori di sicurezza hanno analizzato i meccanismi usati nella campagna e hanno documentato pagine che fanno leva su eventi falsi attribuiti a brand come OpenAI, SpaceX e Anthropic; una sintesi è disponibile su ilSoftware.it. Le pagine promettono premi come abbonamenti o accessi esclusivi per convincere gli utenti a eseguire l’autenticazione con il proprio account di lavoro. I flussi di autenticazione osservati non sono uniformi: variano in base al provider selezionato e includono l’uso di servizi intermediari che intercettano le credenziali o inducono l’utente a concedere accessi su portali legittimi in modo fraudolento.
Ruolo dei proxy e delle schermate contraffatte
Un elemento chiave è l’impiego di proxy malevoli e schermate di login contraffatte che mediano o riproducono la pagina d’accesso reale. Per Google, i ricercatori hanno individuato l’uso di un proxy che funge da intermediario tra la vittima e la pagina di login autentica: in questo modo gli aggressori possono acquisire password, risposte MFA e cookie di sessione già autenticati. Nel caso di Microsoft, alcuni flussi coinvolgono l’inserimento di codici dispositivo su portali autentici tramite servizi terzi come Kali, che consentono agli attaccanti di prendere il controllo di una sessione approvata dall’utente. A valle, le schermate contraffatte raccolgono ulteriori informazioni e cookie utili per mantenere l’accesso.
Perché marchi noti vengono usati come esca
L’uso di marchi riconoscibili aumenta la probabilità che un destinatario si fidi della comunicazione. OpenAI, SpaceX e Anthropic sono nomi che attirano professionisti del settore tech e amministratori IT, che potrebbero ritenere plausibile ricevere inviti esclusivi o premi legati a prodotti e servizi di punta. Questa scelta è deliberata: l’affidabilità percepita dei brand riduce la diffidenza e facilita l’interazione con pagine costruite ad arte. È invece importante separare i fatti confermati — campagne di phishing esistenti e tecniche descritte dai ricercatori — da quelle informazioni non verificate, come l’effettiva erogazione di premi o azioni, che non sono state confermate dalle aziende citate.
Impatto per utenti e organizzazioni
La compromissione di account di lavoro può avere conseguenze significative: accesso a email, documenti cloud e strumenti collaborativi, possibile movimento laterale nelle infrastrutture aziendali e perdita di dati sensibili. Le organizzazioni italiane che usano Google Workspace o servizi Microsoft devono considerare la revoca tempestiva di sessioni sospette e la rotazione delle credenziali/chiavi esposte. Per gli utenti singoli, la perdita di controllo di un account può tradursi in accesso non autorizzato a informazioni personali e professionali; la tempestiva segnalazione all’helpdesk aziendale e la verifica delle autorizzazioni concesse alle applicazioni esterne sono passaggi pratici da avviare immediatamente.
Misure pratiche e cosa verificare
Le contromisure confermate includono la verifica degli URL e dei certificati TLS prima di autenticarsi, l’evitare l’uso di link inattesi per il login e l’adozione di metodi MFA che non si basino su codici facilmente intercettabili. Gli amministratori dovrebbero abilitare il monitoraggio delle sessioni e dei token, configurare avvisi per anomalie di accesso e predisporre procedure di revoca delle sessioni compromesse. Anche la formazione mirata del personale sulla pericolosità di inviti non verificati e l’installazione di filtri anti-phishing aggiornati riducono l’esposizione. Le indicazioni tecniche raccolte dai ricercatori sono riportate su ilSoftware.it, utile per approfondire i dettagli tecnici osservati.
Azioni pratiche per chi usa account Google aziendali
Se si sospetta di essere stati coinvolti in uno di questi attacchi, è consigliabile scollegare e revocare le sessioni attive, cambiare le credenziali e verificare le app con accesso all’account. Gli utenti devono anche controllare le impostazioni di recupero e le autorizzazioni OAuth concesse a terze parti e rimuovere quelle non riconosciute. Le organizzazioni possono forzare la re-autenticazione obbligatoria e disabilitare metodi di autenticazione deboli. Queste azioni pratiche limitano la finestra di opportunità degli attaccanti e aiutano a contenere eventuali movimenti laterali o furti di dati.
Proteggersi dalle truffe legate ai falsi inviti
La migliore difesa resta la combinazione di controlli tecnici e consapevolezza degli utenti. Verificare sempre l’origine di un invito, preferire l’accesso diretto dal sito ufficiale anziché tramite link ricevuti e usare strumenti di autenticazione più resistenti alle intercettazioni riducono il rischio. Segnalare tempestivamente gli incidenti e consultare analisi tecniche come quella riportata su ilSoftware.it supporta la risposta coordinata. Per le aziende italiane è importante aggiornare policy e procedure di sicurezza in modo che riflettano le tecniche emerse, minimizzando l’impatto operativo e proteggendo dati sensibili e accessi critici.
