假冒OpenAI和SpaceX活动邀请，专偷企业账号

网络安全媒体 BleepingComputer 11月5日报道，攻击者正在冒充 OpenAI、SpaceX 和 Anthropic 举办线上活动，通过虚假的报名邀请窃取企业员工的 Microsoft 和 Google 账号。根据安全公司 Push Security 的调查，假活动页面通常承诺免费使用高级人工智能服务或提供其他奖励，要求参与者使用公司账号登录，以此诱骗员工交出凭据和登录会话。

研究人员发现，攻击者把两种钓鱼即服务平台 Kali365 和 VoidProxy 组合在同一套假报名页面中。Kali365 主要针对 Microsoft 账号发起设备代码钓鱼，VoidProxy 则通过中间人反向代理截取 Google 登录过程中的密码、多因素认证响应和会话 Cookie。部分 Microsoft 攻击也会在取得设备授权令牌后，再利用 VoidProxy 获取密码和会话信息。

其中一个假 OpenAI 活动页面名为“ChatGPT for Social & Digital Marketing Teams”，声称报名者可获得三个月 ChatGPT Pro。另一个假 SpaceX 私人活动则以11月12日为活动日期，承诺提供三个月 Grok Heavy 使用权或所谓“SpaceX股票”。攻击者还制作过冒充 Anthropic 在 AWS re:Invent 2026 举办活动的页面。假网站会先展示 Cloudflare 人机验证，以降低自动化安全扫描工具发现页面的概率，再提供“使用 Microsoft 登录”和“使用 Google 登录”选项。

这类攻击危险之处在于，受害者可能没有直接把密码交给陌生人，却仍会因为输入设备验证码或授权登录而泄露账户令牌，甚至绕过多因素认证。Push Security 在2026年10月下旬发现并阻断了相关页面访问。安全建议是，不要在陌生活动网站输入 Microsoft 设备登录码，也不要为了领取所谓免费AI权益而使用公司账号登录；企业可限制不必要的设备代码认证，并优先采用 FIDO2 安全密钥。短评：越是打着热门AI品牌和免费福利旗号的邀请，越要先从官方渠道核实。