شرکت‌های امنیت سایبری هدف دعوت‌نامه‌های جعلی سازمان OpenAI قرار گرفتند

شرکت امنیتی Push Security کمپین جدیدی از حملات سایبری را کشف کرده که در آن عوامل تهدید (threat actors) با ایجاد سازمان‌های جعلی در پلتفرم OpenAI، هویت شرکت‌های معتبر را جعل می‌کنند و کارمندان را به عضویت در آن‌ها دعوت می‌کنند. این کمپین که «مستأجر مسموم» (Poisoned Tenant) نام گرفته، زمانی کشف شد که چندین کارمند Push Security دعوت‌نامه‌هایی برای پیوستن به یک سازمان OpenAI با نام همین شرکت دریافت کردند. دعوت‌نامه‌ها از آدرس رسمی OpenAI ارسال شده، تمام فیلترهای احراز هویت ایمیل را پشت سر گذاشته و با دعوت‌نامه‌های واقعی کاملاً یکسان بودند؛ این ویژگی احتمال دور زدن سامانه‌های امنیتی ایمیل را به‌طور قابل توجهی افزایش می‌دهد.

بررسی‌های Push Security نشان داد که مهاجمان پیش از اجرای حمله، کارمندان هدف را با استفاده از آدرس‌های ایمیل کاری‌شان شناسایی کرده بودند. پس از پذیرش دعوت، محقق این شرکت وارد سازمانی شد که در آن یک حساب کاربری تحت کنترل مهاجم با آدرس Gmail، خود را به‌عنوان مدیرعامل شرکت معرفی کرده بود. همچنین یک کارت اعتباری Visa به حساب صورت‌حساب سازمان متصل شده بود تا به آن وجاهت بیشتری ببخشد. Push Security معتقد است هدف مهاجمان ترغیب کارمندان به استفاده از این فضای کاری به‌عنوان یک پلتفرم سازمانی مشروع است تا اطلاعات حساسی نظیر کدهای منبع (source code)، اسناد داخلی و داده‌های مشتریان را از طریق پرامپت‌ها (prompts) به سرقت ببرند. این شرکت توصیه می‌کند کارمندان آموزش ببینند تا دعوت‌نامه‌های غیرمنتظره را راستی‌آزمایی کنند و عضویت‌های سازمانی در پلتفرم‌های نرم‌افزار به‌عنوان سرویس (SaaS) به‌دقت رصد شود.