Cybercriminelen gebruiken overtuigend ogende uitnodigingen voor niet-bestaande evenementen van onder meer OpenAI, SpaceX en Anthropic om zakelijke Microsoft- en Google-accounts buit te maken. De campagne richt zich op werknemers en combineert twee phishing-as-a-serviceplatforms: Kali365 en VoidProxy. Daarmee proberen aanvallers niet alleen inloggegevens te verzamelen, maar ook geauthenticeerde sessies over te nemen.
Volgens beveiligingsonderzoekers van Push Security werden bezoeken aan de kwaadaardige registratiepagina’s eind oktober 2026 gedetecteerd en geblokkeerd. De aanval valt op doordat dezelfde nepwebsites verschillende technieken inzetten, afhankelijk van de keuze van het slachtoffer voor inloggen met Microsoft of Google.
Valse events spelen in op AI-hype en zakelijke beloningen
De phishingpagina’s doen zich voor als registratiepagina’s voor exclusieve of professionele evenementen. Daarbij worden bekende namen gebruikt, zoals OpenAI, SpaceX en Anthropic. Een voorbeeld is een zogenaamd OpenAI-event met de titel ChatGPT for Social & Digital Marketing Teams, waarbij deelnemers drie maanden ChatGPT Pro zouden krijgen. Een andere pagina promoot een besloten SpaceX-evenement op 12 november en belooft registranten drie maanden Grok Heavy of een zogenoemd SpaceX-aandeel. Ook werd een nagemaakte Anthropic-pagina rond AWS re:Invent 2026 aangetroffen; die pagina was inmiddels offline.
De pagina’s vragen bezoekers om zich met hun werkaccount aan te melden om toegang te krijgen tot het evenement of de beloofde beloning. Daarmee sluiten de aanvallers aan bij een herkenbaar zakelijk scenario: werknemers zijn gewend om zich met Microsoft- of Google-accounts te registreren voor webinars, conferenties en leveranciersportalen.
Twee phishingdiensten op één registratiepagina
De onderzoekers koppelen de campagne aan twee op maat gemaakte phishingkits, aangeduid als ZoomMock en MSDRoot. Die kits zouden de valse eventpagina’s opzetten en slachtoffers vervolgens doorsturen naar Kali365 en VoidProxy. Push Security vermoedt dat dezelfde dreigingsactoren achter beide kits zitten, omdat infrastructuur en doelwitten overlappen.
Voordat de registratiepagina zichtbaar wordt, krijgen bezoekers een Cloudflare-CAPTCHA te zien met de boodschap dat zij moeten bevestigen geen robot te zijn. Dat is relevant omdat zulke tussenstappen geautomatiseerde scans door beveiligingssystemen kunnen bemoeilijken. Daarna verschijnen twee aanmeldopties: doorgaan met Microsoft of doorgaan met Google.
Microsoft: device code phishing via Kali365
Wie voor Microsoft kiest, wordt geconfronteerd met een aanval op basis van device code authentication. De phishingpagina vraagt via Kali365 een Microsoft-devicecode aan en instrueert het slachtoffer om die code in te voeren op de legitieme Microsoft-pagina voor apparaataanmelding. Vervolgens logt de gebruiker in en keurt de aanvraag goed.
Deze methode misbruikt de legitieme OAuth 2.0 device authorization grant flow. Het slachtoffer hoeft zijn wachtwoord niet rechtstreeks op de phishingpagina in te vullen, maar de aanvaller kan wel authenticatietokens voor het Microsoft Entra-account verkrijgen. Daarmee kunnen ook gekoppelde zakelijke diensten risico lopen, zoals Microsoft 365 en andere applicaties die via single sign-on bereikbaar zijn.
Na een geslaagde devicecode-aanmelding wordt het slachtoffer volgens Push Security nog doorgestuurd naar een Microsoft-inlogpagina via VoidProxy. In die tweede fase kunnen aanvallers alsnog proberen wachtwoorden en sessiecookies te onderscheppen.
Google: AiTM-aanval via VoidProxy
Bij de Google-optie opent de phishingpagina een pop-up met een Google-inlogpagina die via VoidProxy loopt. VoidProxy functioneert als een adversary-in-the-middleplatform: het plaatst zich tussen de browser van het slachtoffer en de echte inlogdienst. Daardoor kunnen ingevoerde gegevens, MFA-reacties en sessiecookies worden onderschept terwijl de gebruiker denkt met de legitieme Google-aanmelding bezig te zijn.
Het gevaar van deze aanpak is dat multifactor-authenticatie niet automatisch voldoende bescherming biedt. Als een aanvaller een reeds geauthenticeerde sessiecookie kan stelen, kan die sessie mogelijk worden misbruikt zonder opnieuw de volledige inlogprocedure te doorlopen. Bij devicecode-phishing kan het proces bovendien zo worden ingericht dat de gebruiker de aanvaller feitelijk toegang geeft via een legitieme Microsoft-workflow.
Past in bredere trend rond nepwebinars
De campagne staat niet op zichzelf. In juli werd al een vergelijkbare aanpak beschreven waarbij legitieme Zoom-eventpagina’s werden misbruikt om nepevenementen van Meta, OpenAI en Anthropic te promoten. Daarbij kwamen eveneens devicecode- en AiTM-phishingtechnieken voor. Ook zijn er recent phishingmails gezien die zich voordeden als Anthropic-uitnodigingen en via de e-mailinfrastructuur van GoTo Webinar werden verspreid, waarna ontvangers via meerdere websites op valse registratiepagina’s belandden.
In de nu beschreven campagne is niet duidelijk hoe de phishinglinks precies als eerste bij slachtoffers terechtkomen. Wel zagen onderzoekers dat links via vertrouwde diensten werden omgeleid, waaronder URL-verkorters van Google en Zapier. Dat kan de kans vergroten dat ontvangers of beveiligingsfilters de link minder snel wantrouwen.
Analyse: waarom dit organisaties raakt
Voor organisaties is dit type phishing extra riskant omdat de aanval inspeelt op normale werkprocessen en bekende merken. Een uitnodiging voor een AI-webinar of besloten technologie-event past in veel zakelijke mailboxen niet direct buiten de toon. Tegelijk kan één gecompromitteerd account toegang geven tot e-mail, bestanden, cloudapplicaties en andere diensten die via single sign-on zijn gekoppeld.
De bevestigde technische kern is dat de campagne twee PhaaS-platforms combineert om zowel Microsoft- als Google-accounts aan te vallen, met methoden die MFA kunnen omzeilen of neutraliseren. De bredere les is dat organisaties niet alleen naar verdachte wachtwoordvelden moeten kijken, maar ook naar misbruik van legitieme aanmeldstromen, sessiecookies en devicecode-workflows. Waar devicecode-authenticatie niet nodig is, kan beperking daarvan het aanvalsoppervlak verkleinen. Phishingbestendige MFA, zoals FIDO2-beveiligingssleutels, kan helpen tegen sessiekaping, al blijft waakzaamheid rond zakelijke registratiepagina’s noodzakelijk.
Bron: bleepingcomputer.com
