Una campaña de phishing detectada a finales de octubre de 2026 suplanta eventos de OpenAI, SpaceX y Anthropic para robar credenciales corporativas mediante dos técnicas que burlan la autenticación multifactor: phishing de código de dispositivo y ataques de intermediario (AiTM).
La campaña, documentada por Push Security, utiliza invitaciones por correo electrónico que dirigen a páginas de registro falsas. Cada página promete una recompensa a cambio de iniciar sesión con una cuenta de trabajo: tres meses de ChatGPT Pro, tres meses de Grok Heavy o una “participación en SpaceX”.
El cebo es eficaz porque los empleados quieren acceso a las herramientas de IA más recientes, y los atacantes lo saben.
¿Cómo son las páginas falsas?
Las páginas imitan el aspecto de sitios reales de eventos. La variante de OpenAI copia el diseño del sitio de OpenAI Academy y anuncia un livestream para el 4 de noviembre titulado “ChatGPT for Social & Digital Marketing Teams”. La de SpaceX promete un briefing privado sobre “SpaceX AI for Marketing” el 12 de noviembre. Una tercera variante suplantaba a Anthropic en AWS re:Invent, aunque ya no estaba activa cuando los investigadores la analizaron.
Todas las páginas comparten la misma estructura. Muestran dos botones de inicio de sesión: “Continue with Microsoft” y “Continue with Google”. También indican que se requiere una cuenta de trabajo y se traducen automáticamente al idioma del visitante. Cada paso que da la víctima se envía a un servidor de recolección controlado por el operador.
La cadena de ataque, paso a paso
La campaña sigue una secuencia diseñada para evadir las defensas habituales.
1. La invitación
El enlace llega por correo electrónico y pasa por un acortador de Google (c.gle o share.google) o por zpr.io de Zapier. En algunos casos, antes del acortador aparece una redirección abierta en x.com, del tipo x.com/logout?redirect_after_logout=. Los enlaces cortos y las redirecciones abiertas en dominios de confianza son técnicas habituales para evitar los controles de reputación de URL.
2. La comprobación antibots
El dominio de la página falsa está protegido por un desafío gestionado de Cloudflare. La página muestra un mensaje personalizado: “Confirma que no eres un robot”. La mayoría de los escáneres públicos se detienen en esta pantalla.
3. La página del evento
Las páginas se alojan en subdominios de eventrsvp[.]app, con una estructura de URL que incluye el nombre de la marca y un identificador numérico. Tanto la página de OpenAI como la de SpaceX ejecutan el mismo código con distintas apariencias.
4. La elección del método de robo
Aquí es donde la campaña se bifurca.
Método A: phishing de código de dispositivo con Microsoft
Si la víctima pulsa “Continue with Microsoft”, la página solicita un código de dispositivo al servicio Kali365 y lo muestra en un diálogo llamado “Confirm access”, con instrucciones para copiarlo.
El botón “Open Microsoft” abre la página real de inicio de sesión por código de dispositivo de Microsoft en una ventana emergente. La víctima pega el código, inicia sesión y aprueba el acceso. Microsoft emite entonces los tokens al operador, que los recibe en su sesión de Kali365.
Después, la página falsa muestra un mensaje de confirmación y redirige a la víctima a una página de inicio de sesión de Microsoft controlada por el atacante, donde se capturan la contraseña y la cookie de sesión. Es una segunda captura sobre la primera.
Método B: ataque de intermediario con Google
Si la víctima pulsa “Continue with Google”, la página abre una ventana titulada “Portal” en un dominio controlado por el atacante. Ese dominio es un proxy inverso de VoidProxy, que retransmite el flujo de inicio de sesión real de Google.
La víctima ve la página auténtica de Google, introduce su contraseña y completa la verificación en dos pasos. El proxy captura la contraseña, la respuesta de MFA y la cookie de sesión. Con esos tres elementos, el atacante puede suplantar la sesión sin necesidad de volver a autenticarse.
Los kits y los servicios
Los investigadores distinguen entre las herramientas propias del operador y los servicios que alquila.
Kits del operador: Push los denomina ZoomMock (páginas de eventos falsos de Zoom, activas entre mayo y octubre de 2026) y MSDRoot (las páginas de eventos más recientes, desde el 22 de octubre). Son los kits que el operador utiliza para construir y desplegar las páginas señuelo.
Servicios alquilados: Kali365 y VoidProxy son plataformas de phishing como servicio (PhaaS) independientes. El operador es cliente de ambas, pero no las desarrolla. Cada una sirve a muchos clientes distintos y se utiliza en campañas no relacionadas entre sí.
Las técnicas de evasión
La campaña está diseñada para superar los controles que la mayoría de las organizaciones utilizan hoy contra el phishing.
Dominios recién creados
El dominio eventrsvp[.]app tenía tres días de vida cuando los investigadores lo analizaron el 2 de noviembre. Los filtros basados en listas de dominios maliciosos conocidos no pueden bloquear lo que aún no está en ninguna lista.
Desafíos de Cloudflare
La página de verificación antibots bloquea a los escáneres automáticos y a los servicios de análisis de URL, que no pueden ver el contenido real de la página.
Proxies que muestran contenido legítimo
Los proxies de VoidProxy muestran a los escáneres sitios reales de noticias empresariales, no la página de phishing. Un análisis automatizado ve contenido inofensivo.
Rotación de dominios
El operador cambia de dominio cada pocas semanas. Los indicadores de compromiso tienen una vida útil limitada.
Payloads que burlan MFA
Tanto el phishing de código de dispositivo como el AiTM están diseñados específicamente para superar la autenticación multifactor. La víctima completa el proceso de MFA correctamente, pero el atacante captura el resultado.
¿Cómo se detecta esta campaña?
Push Security afirma que su sistema de detección conductual identifica la página de código de dispositivo de Kali365 y el proxy inverso de VoidProxy en el momento en que se renderizan, mediante análisis en tiempo real. Eso permite bloquear dominios nuevos sin necesidad de que estén en una lista de bloqueo previa.
El sistema también puede mostrar una advertencia o bloquear cualquier página legítima de inicio de sesión por código de dispositivo, como segunda capa de defensa. En el modo de reconocimiento, un empleado que ignore la advertencia genera una alerta de seguridad.
Los indicadores de compromiso
El informe incluye una lista extensa de dominios, direcciones IP y patrones de URL asociados a la campaña. Entre los más relevantes:
- Dominios señuelo:
eventrsvp[.]app,rsvpconnect-events[.]com - Servidor de recolección:
eventrsvp-217-60-102-48.sslip[.]io/collect.php - Backend de Kali365:
62zr4vcasl.shifts[.]icu - Proxy de Google de VoidProxy:
claudewebinnar[.]comy sus subdominios - Proxy de Microsoft:
continue-to-office-.ggleventapi[.]icu
Los investigadores advierten de que los dominios rotan cada pocas semanas y que los hosts de Kali365 y VoidProxy pueden servir a otros clientes. Por eso los indicadores deben interpretarse como “usados por esta campaña”, no como “propiedad de este operador”.
Un detalle revelador
La página de OpenAI contiene URLs que mencionan a Claude, como el proxy de Google en continue-to-event.claudewebinnar[.]com. También hay un comentario de código que dice “Same as Claude” en una página anterior.
Eso sugiere que el operador construye cada nuevo señuelo a partir de una copia del anterior y no lo rebautiza por completo. Es un descuido que revela el método de trabajo: el operador probablemente ejecuta más señuelos de los que los investigadores han visto.
Lo que no se sabe
Los investigadores no han identificado a los desarrolladores de Kali365 ni de VoidProxy, ni han confirmado si existe una relación entre ambos servicios. Tampoco han determinado cuántas organizaciones han sido comprometidas por esta campaña ni qué datos se han visto afectados.
El informe no especifica si las víctimas que completaron el proceso de inicio de sesión sufrieron acceso a sus cuentas de correo, a sus herramientas corporativas o a otros sistemas. Tampoco detalla si los atacantes utilizaron el acceso para desplegar malware, robar información o realizar fraudes.
Descubre más desde CIBERED
Suscríbete y recibe las últimas entradas en tu correo electrónico.
