- 黑客利用假冒OpenAI、SpaceX及Anthropic活動邀請，引誘員工陷入釣魚攻擊。
- Push Security於2026年10月底在客戶瀏覽器封鎖前往假冒註冊頁面的訪問。
- 有關頁面使用Kali365進行Microsoft裝置代碼釣魚，並使用VoidProxy進行Google反向代理釣魚。
有關頁面要求訪客使用工作帳戶登入，以領取包括3個月ChatGPT Pro、3個月Grok Heavy或一股SpaceX股份在內的獎賞。該行動利用透過電郵發送的邀請，引導受害者進入中間人攻擊及裝置代碼釣魚流程，目標為Microsoft及Google帳戶。
Push Security發現，有關頁面宣傳OpenAI Academy網上直播、SpaceX私人簡報會，以及AWS re:Invent的Anthropic活動。該公司表示，以活動為主題的頁面由行動營運者建立，與登入流程所使用的Kali365及VoidProxy釣魚即服務平台分開。
Kali365及VoidProxy透過獨立流程竊取登入資料
Push Security表示，Microsoft按鈕透過Kali365啟動Microsoft裝置代碼登入。受害者輸入代碼、登入並批准存取權限後，Microsoft便向營運者的Kali365工作階段發出代符。
Microsoft流程其後將受害者帶到VoidProxy的Microsoft登入頁面，竊取密碼及工作階段Cookie。Google按鈕則開啟Google登入頁面的VoidProxy反向代理，竊取密碼、多重身份驗證回應及工作階段Cookie。
Push形容Kali365及VoidProxy為兩個獨立的釣魚即服務平台，旨在繞過或擊破多重身份驗證檢查。該公司表示，未發現任何資料將兩者的開發者連繫起來。
假冒頁面推廣獎賞及列出活動
OpenAI頁面宣傳11月4日舉行、題為「ChatGPT for Social & Digital Marketing Teams」的網上直播。SpaceX頁面宣傳11月12日舉行、僅限受邀者參加的「Starship Product Briefing」，內容涉及SpaceX AI市場營銷及Grok。
Push將ZoomMock及MSDRoot與活動頁面行動連繫
Push表示，MSDRoot頁面於10月22日開始出現，並確認ZoomMock及MSDRoot為建立及部署假冒活動邀請誘餌頁面所用的工具包。該公司評定兩個工具包之間的關聯程度為中高。
Push表示，營運者於10月20日至10月30日期間，將主題由Zoom改為Anthropic、OpenAI、SpaceX及Claude。該公司表示，以活動為主題的頁面與Kali365及VoidProxy平台分開。
Push Security表示，其行為釣魚偵測功能會在Kali365裝置代碼頁面及VoidProxy反向代理呈現時，透過即時分析加以識別。該公司表示，客戶毋須採取進一步行動。
Push追蹤有關誘餌頁面工具包為ZoomMock及MSDRoot，並表示營運者於10月20日至10月30日期間由Zoom轉向Anthropic、OpenAI、SpaceX及Claude。該公司評定ZoomMock及MSDRoot之間的關聯程度為中高。
防守方現在要做甚麼
- 員工應直接瀏覽主辦方官方網站核實邀請，不應跟隨意外收到的註冊連結。
- 保安團隊應檢查登入記錄，留意不尋常的裝置代碼批准、陌生工作階段及意外的OAuth活動。
常見問題
假冒OpenAI、SpaceX及Anthropic活動行動發生了甚麼事？
黑客利用假冒活動邀請及註冊頁面，引誘員工陷入釣魚攻擊。Push Security於2026年10月底在客戶瀏覽器偵測並封鎖前往有關頁面的訪問。
釣魚頁面針對哪些帳戶？
頁面使用Kali365釣取Microsoft帳戶，並使用VoidProxy釣取Google帳戶。
釣魚流程可能竊取甚麼資料？
在Microsoft流程中，受害者批准後，Microsoft向營運者的Kali365工作階段發出代符，VoidProxy頁面則竊取密碼及工作階段Cookie。Google流程竊取密碼、多重身份驗證回應及工作階段Cookie。
Kali365及VoidProxy是甚麼？
兩者是兩個獨立的釣魚即服務平台，旨在繞過或擊破多重身份驗證檢查。Push表示，未發現任何資料將兩者的開發者連繫起來。
TechBooky對意外收到的活動邀請有何建議？
TechBooky建議直接瀏覽主辦方官方網站核實邀請，不應跟隨意外收到的註冊連結。該公司亦建議檢查登入記錄，留意不尋常的裝置代碼批准、陌生工作階段及意外的OAuth活動。
來源
- Fake OpenAI, SpaceX events used to steal Microsoft, Google accounts, HKCERT原始文件
- Fake event invites combine Kali365 and VoidProxy payloads, Push Security原始文件
- Fake OpenAI Codex download tricks macOS users into installing malware, Help Net Security
- Fake OpenAI and SpaceX Event Invites Target Work Accounts, TechBooky
我們如何核實這篇報道
| 內容 | 來源 | 狀態 |
|---|---|---|
| HKCERT表示，黑客利用假冒OpenAI、SpaceX及Anthropic活動邀請，引誘員工陷入釣魚攻擊。 | HKCERT | 已證實 |
| Push研究人員發現OpenAI、SpaceX及Anthropic活動的假冒註冊頁面。 | Push Security | 已證實 |
| Push表示，頁面使用Kali365釣取Microsoft帳戶，並使用VoidProxy釣取Google帳戶。 | Push Security | 已證實 |
| Push於2026年10月底在客戶瀏覽器偵測並封鎖前往假冒活動註冊頁面的訪問。 | Push Security | 已證實 |
| 頁面宣傳OpenAI Academy網上直播、SpaceX私人簡報會，以及AWS re:Invent的Anthropic活動。 | Push Security | 已證實 |
| 頁面提供3個月ChatGPT Pro、3個月Grok Heavy或一股SpaceX股份作為獎賞。 | Push Security | 已證實 |
| 該行動利用透過電郵發送的邀請，引導受害者進行AiTM及裝置代碼釣魚。 | Push Security | 已證實 |
| Microsoft按鈕透過Kali365啟動Microsoft裝置代碼登入。 | Push Security | 已證實 |
| Google按鈕開啟Google登入頁面的VoidProxy反向代理。 | Push Security | 已證實 |
| Kali365及VoidProxy是兩個獨立的釣魚即服務平台，旨在繞過或擊破多重身份驗證檢查。 | Push Security | 已證實 |
| 以活動為主題的頁面由行動營運者建立，與Kali365及VoidProxy分開。 | Push Security | 已證實 |
| Push追蹤誘餌頁面工具包為ZoomMock及MSDRoot，MSDRoot頁面於10月22日開始出現。 | Push Security | 已證實 |
| OpenAI頁面宣傳11月4日舉行、題為ChatGPT for Social & Digital Marketing Teams的網上直播。 | Push Security | 已證實 |
| SpaceX頁面宣傳11月12日舉行、僅限受邀者參加、內容涉及SpaceX AI市場營銷及Grok的簡報會。 | Push Security | 已證實 |
| 受害者輸入裝置代碼、登入並批准存取權限後，Microsoft流程向營運者的Kali365工作階段發出代符。 | Push Security | 已證實 |
| Microsoft流程其後將受害者帶到竊取密碼及工作階段Cookie的VoidProxy頁面。 | Push Security | 已證實 |
| Google代理竊取密碼、多重身份驗證回應及工作階段Cookie。 | Push Security | 已證實 |
| Push評定ZoomMock及MSDRoot之間的關聯程度為中高。 | Push Security | 已證實 |
| Push表示，未發現任何資料將Kali365及VoidProxy的開發者連繫起來。 | Push Security | 已證實 |
| Push表示，營運者於10月20日至10月30日期間由Zoom轉向Anthropic、OpenAI、SpaceX及Claude。 | Push Security | 已證實 |
| Push表示，其行為釣魚偵測功能會即時識別並封鎖Kali365裝置代碼頁面及VoidProxy反向代理。 | Push Security | 已證實 |
| TechBooky表示，Push於10月底偵測並封鎖前往有關頁面的訪問。 | Push Security, via TechBooky | 引述 |
| Cato Networks表示，在另一宗Codex行動中觀察到針對macOS的活躍載荷傳送，但未觀察到針對Linux的傳送。 | Cato Networks, via Help Net Security | 引述 |
| Help Net Security表示，Cato發現另一宗假冒Codex傳送鏈與Atomic macOS Stealer高度相似。 | Cato Networks, via Help Net Security | 引述 |
| HKCERT於2026年11月5日發表報告。 | HKCERT | 已證實 |
| pushsecurity.com於2026年11月5日發表報告。 | pushsecurity.com | 已證實 |
未能核實
- 是否有任何帳戶遭到入侵，尚未確定
- OpenAI、SpaceX或Anthropic系統是否遭到入侵，尚未確定
- 有多少人收到邀請或瀏覽頁面，尚未確定
- 是否確認行動營運者身份，尚未確定
- 另一宗假冒Codex行動是否與本次活動有關，尚未確定
