Sumbawanews.com,- Penjahat siber memanfaatkan nama besar OpenAI, SpaceX, dan Anthropic untuk menjalankan kampanye phishing yang bertujuan mencuri akun Microsoft dan Google milik karyawan perusahaan. Serangan ini menggunakan situs palsu yang meniru undangan acara resmi, seperti peluncuran produk atau sesi pemasaran AI, dengan iming-iming hadiah berupa akses gratis layanan premium seperti ChatGPT Pro atau Grok Heavy. Menurut peneliti dari Push Security, dua alat pencurian akun—Kali365 dan VoidProxy—digunakan untuk mengelabui autentikasi multifaktor dan mencuri token akses, kata sandi, serta session cookie pengguna.
Situs palsu yang mengatasnamakan OpenAI menawarkan acara bertajuk “ChatGPT for Social & Digital Marketing Teams” dengan hadiah langganan tiga bulan, sementara halaman yang meniru SpaceX mempromosikan “Starship Product Briefing” pada 12 November 2026, dengan janji “saham SpaceX” atau akses Grok Heavy. Halaman serupa yang mengaku sebagai acara Anthropic di AWS re:Invent 2026 juga ditemukan, meski sudah tidak aktif saat diperiksa. Pengunjung diminta masuk menggunakan akun kerja Microsoft atau Google melalui tombol “Continue with Microsoft” atau “Continue with Google”, yang langsung mengarahkan mereka ke situs jahat.
Untuk menghindari deteksi otomatis, pelaku menyisipkan CAPTCHA Cloudflare di halaman pendaftaran. Saat korban memilih masuk via Microsoft, sistem Kali365 menghasilkan kode autentikasi yang diminta untuk dimasukkan ke halaman login Microsoft asli—teknik yang dikenal sebagai device code phishing. Sementara itu, opsi Google memanfaatkan VoidProxy sebagai perantara antara korban dan halaman login Google, sehingga pelaku bisa mencuri kata sandi, respons MFA, dan cookie sesi secara langsung. VoidProxy juga digunakan sebagai tahap lanjutan untuk mengambil data autentikasi Microsoft.
Push Security menemukan aktivitas serangan ini terdeteksi dan diblokir pada akhir Oktober 2026. Mereka menyarankan karyawan tidak pernah memasukkan kode autentikasi perangkat melalui situs tak dikenal, serta menghindari pendaftaran acara yang meminta akses akun kerja demi hadiah. Perusahaan pun disarankan membatasi penggunaan autentikasi kode perangkat jika tidak esensial, dan beralih ke metode MFA yang tahan phishing, seperti kunci keamanan FIDO2.
