偽のOpenAI・SpaceXイベントで業務アカウントを狙う―2種類の認証フィッシングを併用

Push Securityは2026年11月5日、OpenAIやSpaceXなどのイベントを装い、Microsoft・Googleの業務アカウントを狙う攻撃を公表しました。同社が10月下旬に顧客のブラウザで検知・遮断したものです。有料AIサービスの無料利用などを餌に登録を促しますが、AIで攻撃を生成したという報告ではありません。

誘導先では業務アカウントでのログインを要求します。Microsoft側は、攻撃用サービスKali365が発行したコードを正規のデバイス認証ページへ入力させる構成です。本人が認証・許可すると、攻撃者が用意したセッションへトークンが渡ります。正規サイトでログインしていても、その認証を誰が開始したかが問題になります。

続いてVoidProxyの偽ログイン画面へ誘導し、パスワードやセッションCookieも狙います。Google側もVoidProxyで正規ログインとの通信を中継するAiTM方式です。多要素認証の暗号を破るのではなく、利用者の認証操作を攻撃者のアクセスに結びつけます。被害アカウントの総数は示されていません。

イベントは案内メールのリンクだけで判断せず、主催者の公式サイトから確認することが重要です。第三者から渡されたデバイスコードは、自分で始めた機器接続の操作と混同しないようにします。管理者は業務で使っていないデバイスコード認証を制限できるか、既存の機器・アプリへの影響と合わせて確認できます。