OpenAI, SpaceX, dan Anthropic Dipakai untuk Curi Akun Microsoft dan Google

Liputan6.com, Jakarta - Penjahat siber memanfaatkan undangan acara palsu yang mengatasnamakan , , dan untuk mencuri akun Microsoft dan Google.

Mereka menawarkan hadiah berupa akses gratis layanan AI premium agar karyawan perusahaan tertarik mendaftar.

Dikutip dari BleepingComputer, Sabtu (7/11/2026), peneliti Push Security menemukan kampanye phishing ini menggunakan dua layanan pencurian akun, yakni Kali365 dan VoidProxy.

Keduanya dirancang untuk mengambil informasi autentikasi sekaligus melewati perlindungan autentikasi multifaktor.

Serangan ini memanfaatkan situs pendaftaran yang dibuat menyerupai halaman resmi perusahaan teknologi.

Salah satunya menawarkan acara OpenAI bertajuk ChatGPT for Social & Digital Marketing Teams dengan hadiah langganan ChatGPT Pro selama tiga bulan.

Situs yang membawa nama SpaceX menawarkan acara eksklusif Starship Product Briefing pada 12 November 2026. Pengunjung dijanjikan akses Grok Heavy selama tiga bulan atau sebuah "saham SpaceX" jika mendaftar.

Peneliti juga menemukan halaman yang meniru acara Anthropic di AWS re:Invent 2026. Namun, situs ini sudah tidak aktif ketika tim Push Security melakukan pemeriksaan.

Untuk mengklaim hadiah, pengunjung diminta masuk menggunakan akun kerja Microsoft atau Google. Formulir pendaftaran menyediakan dua pilihan, yakni Continue with Microsoft dan Continue with Google.

Pelaku turut memanfaatkan layanan pemendek tautan Google dan Zapier untuk mengarahkan korban ke situs berbahaya.

Sebelum masuk ke halaman pendaftaran, pengunjung harus melewati pemeriksaan Cloudflare CAPTCHA yang dirancang untuk mempersulit pemindaian otomatis oleh sistem keamanan.

Menurut Push Security, aktivitas kunjungan ke situs berbahaya ini terdeteksi dan diblokir pada akhir Oktober 2026. Kampanye tersebut menggunakan dua metode autentikasi berbeda untuk mengambil alih akun perusahaan.

Ketika korban memilih masuk menggunakan Microsoft, sistem Kali365 akan menghasilkan kode autentikasi. Korban kemudian diminta menyalin kode itu dan memasukkannya ke situs autentikasi Microsoft yang asli.

Jika korban menyetujui permintaan tersebut, pelaku bisa memperoleh token autentikasi untuk mengakses akun Microsoft Entra miliknya. Teknik ini dikenal sebagai device code phishing dan tidak mengharuskan korban menyerahkan kata sandi secara langsung.

Sementara itu, opsi masuk menggunakan Google memanfaatkan VoidProxy dengan teknik adversary-in-the-middle (AiTM).

Platform ini bertindak sebagai perantara antara korban dan halaman login Google untuk mencuri kata sandi, respons autentikasi multifaktor, serta session cookie.

Dalam serangan terhadap Microsoft, VoidProxy juga digunakan sebagai tahap lanjutan untuk mengambil kata sandi dan session cookie. Informasi tersebut bisa dimanfaatkan untuk mengambil alih sesi masuk yang sudah terautentikasi.

Push Security menyarankan karyawan tidak memasukkan kode autentikasi perangkat Microsoft melalui situs yang tidak dikenal.

Pengguna juga perlu waspada terhadap undangan acara yang meminta mereka masuk menggunakan akun kantor demi memperoleh hadiah.

Perusahaan bisa membatasi penggunaan autentikasi kode perangkat jika layanan ini tidak diperlukan. Peneliti juga menyarankan penggunaan metode autentikasi multifaktor yang tahan terhadap phishing, seperti kunci keamanan FIDO2.