Te llega un correo para un evento de OpenAI con tres meses de ChatGPT Pro gratis. Para apuntarte, te piden entrar con tu cuenta del trabajo. Y es justo ahí donde se la juegan los ciberdelincuentes.
Según cuenta Bleeping Computer, unos estafadores han montado webs que imitan páginas de eventos de OpenAI, SpaceX y Anthropic. Prometen regalos como ChatGPT Pro o Grok. Pero el verdadero objetivo no es el regalo: es robarte la cuenta corporativa de Microsoft o de Google.
El truco del código que te piden copiar
Uno de los sitios falsos invitaba a un acto sobre cómo usar ChatGPT en marketing. Por participar, tres meses de ChatGPT Pro sin pagar. Para reclamarlos, había que registrarse con la cuenta de trabajo de Microsoft o de Google. Ahí empieza la trampa.
Antes de seguir: llévate las herramientas y prompts listos para usar, GRATIS. Probados uno a uno y ordenados por la tarea que quieres resolver: vídeo, imagen, voz, escribir, automatizar tu negocio, clientes, web. Es gratis y la lista crece cada semana.
Entras también en el boletín semanal de La Prensa IA. Te das de baja cuando quieras, con una palabra.
Si eliges Microsoft, la web te enseña un código y te pide que lo escribas en la página de inicio de sesión de Microsoft, que sí es la verdadera. Lo haces, confirmas, y ya está: los atacantes pueden conseguir un token, una especie de llave digital que abre tu cuenta sin necesidad de saber tu contraseña.
Pero no se quedan ahí. Después te llevan a otra pantalla de acceso de Microsoft, donde intentan quedarse con tu contraseña y con los datos de tu sesión abierta.
Con Google, hay un intermediario que lo ve todo
Si pulsas en Google, se abre una ventana que parece el inicio de sesión de siempre. Pero entre tú y Google hay un sistema falso que copia tu contraseña, el código de la verificación en dos pasos y los datos de tu sesión.
Esto último es lo más valioso para ellos. Con los datos de sesión pueden hacerse pasar por ti, como si ya hubieras entrado, y en algunos casos ni siquiera tienen que pasar otra vez por la verificación. Y no solo hablamos del correo del trabajo: también de cualquier otro servicio de tu empresa al que accedas con esa cuenta.
Para montarlo, los delincuentes combinaron dos plataformas de phishing, que es el nombre de este tipo de engaño: Kali365, que se encarga de los códigos de autorización de Microsoft, y VoidProxy, que intercepta los datos de acceso y las sesiones activas.
Ojo: los investigadores todavía no saben cómo reparten las invitaciones en esta campaña. En ataques parecidos usaron páginas reales de eventos de Zoom y envíos de correo de GoTo Webinar, así que el aviso puede llegarte por canales que parecen de fiar.
Qué conviene revisar si trabajas con cuenta corporativa
Los expertos que cita Bleeping Computer recomiendan desconfiar de cualquier invitación que ofrezca regalos a cambio de entrar con la cuenta del trabajo. Y más aún si la web te pide copiar un código y pegarlo en la página de Microsoft.
A las empresas les aconsejan limitar ese tipo de autorización por código si sus empleados no la necesitan, y usar métodos de acceso resistentes al phishing, como las llaves físicas de seguridad FIDO2.
El truco no es nuevo. Dev.ua contó hace poco otro engaño parecido: mensajes de felicitación de cumpleaños que ofrecían tres meses de Telegram Premium de regalo. Lo curioso es que lo recibían hasta quienes no habían puesto su fecha de nacimiento en la aplicación.
Qué implica para ti
Si usas tu cuenta del trabajo para apuntarte a algo con regalo, estás poniendo en juego tu correo y todo lo que cuelga de él, no solo un premio de tres meses. Antes de registrarte en un evento, hazlo con un correo personal o comprueba la web por otra vía.
Y si alguna página te pide copiar un código y llevarlo a otra ventana de inicio de sesión, para y pregunta en tu empresa. La duda que queda es cómo llegarán las próximas invitaciones, porque hoy nadie sabe por dónde empiezan.
PD: la fuente señala que, en la campaña de Telegram Premium, el mensaje de cumpleaños llegó incluso a gente que nunca había indicado su fecha de nacimiento.
Imagen ilustrativa generada con inteligencia artificial.
Más sobre esto en LaPrensaIA
- OpenAI estrena una IA que busca fallos en programas y casi nunca se pasa de la raya
- OpenAI encontró 948 formas de colarse como administrador en Linux
Fuente original: dev.ua
Esta pieza la ha redactado Iberia, el sistema de inteligencia artificial de LaPrensaIA, a partir de las fuentes citadas. Fermín Sánchez ha decidido publicarla y responde de ella. Cómo trabajamos.
Contenido elaborado con la asistencia tecnológica de IBERIA y supervisión editorial. Fermín Sánchez es el responsable editorial de LaPrensaIA, diario de divulgación sobre inteligencia artificial. Cubrimos la actualidad de la IA con criterio propio —tecnología, empresas y sociedad— de forma clara para el público no técnico.
