假冒ChatGPT與Gemini廣告入口網站竊取憑證與MFA驗證碼
· 資安
研究人員揭露一個由真人操作、假冒AI聊天機器人廣告產品的網釣平台，冒充對象包括OpenAI的ChatGPT、Google的Gemini、Anthropic的Claude與Perplexity。這些假入口網站鎖定廣告帳戶管理者，利用「瀏覽器中的瀏覽器」手法竊取登入憑證與多重要素驗證（MFA）碼，也就是在網頁內繪製假登入視窗，看似正當瀏覽器提示。該行動由真人操控並引導受害者，使自動化防禦更難攔截。由於廣告帳戶握有預算與帳務權限，遭入侵可能導致不當支出，並成為進一步滲透相連業務系統的跳板。
為什麼重要：鎖定AI品牌廣告工具的網釣同時覬覦雲端廣告預算與AI平台存取權，而真人操作、瀏覽器中的瀏覽器手法顯示攻擊者正適應MFA普及，防禦方應預期此模式擴散。
重點
- 假入口網站冒充ChatGPT、Gemini、Claude與Perplexity的廣告產品。
- 攻擊者以瀏覽器中的瀏覽器手法擷取憑證與MFA驗證碼。
- 該平台由真人操作，即時引導受害者完成流程。