Una campaña de phishing aprovecha funciones de OpenAI para el envío masivo de correos fraudulentos
Introducción
El panorama de amenazas en el sector de la inteligencia artificial sigue evolucionando a gran velocidad. Recientemente, investigadores de Kaspersky han detectado una campaña de phishing que explota funcionalidades legítimas de la plataforma de OpenAI, concretamente las relacionadas con la creación de organizaciones y la gestión de equipos. Esta nueva táctica permite a los atacantes enviar correos fraudulentos que, debido a su procedencia desde direcciones oficiales de OpenAI, resultan especialmente convincentes para los usuarios y dificultan su detección por parte de los sistemas tradicionales de filtrado y los equipos de seguridad.
Contexto del Incidente
El auge de los servicios de inteligencia artificial y la popularización de plataformas como OpenAI han abierto nuevas vías para la explotación maliciosa de sus funcionalidades integradas. En este caso, los atacantes abusan de las opciones que OpenAI proporciona para la gestión de equipos y el envío de invitaciones a nuevas organizaciones, una característica cada vez más utilizada en entornos corporativos para la colaboración y la administración de usuarios.
La campaña identificada por Kaspersky destaca por su nivel de sofisticación: los ciberdelincuentes no falsifican direcciones de correo ni recurren a técnicas de spoofing tradicionales, sino que utilizan los propios sistemas de OpenAI para mandar invitaciones legítimas, lo que dificulta enormemente la identificación de los mensajes fraudulentos tanto por parte de los usuarios como de los mecanismos automáticos de filtrado.
Detalles Técnicos
La técnica empleada se basa en el registro de cuentas maliciosas en la plataforma de OpenAI, desde las cuales los atacantes crean nuevas organizaciones. A continuación, utilizan la función de invitación a equipos para enviar correos electrónicos a potenciales víctimas. Estos correos proceden efectivamente de un dominio legítimo de OpenAI (por ejemplo, noreply@openai.com), lo que les otorga una apariencia de autenticidad.
El vector de ataque principal es el phishing dirigido (spear phishing), apoyado en técnicas de ingeniería social. Los mensajes suelen contener enlaces que redirigen a páginas de login de OpenAI manipuladas o a portales de captura de credenciales, donde las víctimas son inducidas a introducir sus datos de acceso bajo la premisa de unirse a una nueva organización o equipo.
Actualmente, no existe un CVE asociado, ya que no se trata de una vulnerabilidad técnica en OpenAI, sino del abuso de una funcionalidad legítima (misuse). Sin embargo, la táctica se alinea con TTPs recogidos en MITRE ATT&CK, especialmente en las categorías de Spearphishing via Service (T1192) y Abuse Elevation Control Mechanism (T1548).
Los Indicadores de Compromiso (IoC) incluyen:
– Correos legítimos de OpenAI invitando a unirse a organizaciones desconocidas.
– URLs que redirigen a dominios similares a openai.com pero gestionados por actores maliciosos.
– Solicitudes inesperadas de inicio de sesión o restablecimiento de contraseñas en OpenAI.
Impacto y Riesgos
El principal riesgo derivado de esta campaña es el compromiso de credenciales corporativas y personales asociadas a plataformas de IA, lo que puede derivar en accesos no autorizados a proyectos, modelos de IA propietarios e información confidencial. Dada la legitimidad aparente de las comunicaciones, se estima que la tasa de éxito de esta campaña es significativamente superior a la media de ataques de phishing tradicionales.
Según datos de Kaspersky, en la primera semana de detección se identificaron cientos de intentos de ataque, con una tasa de apertura cercana al 60% y un porcentaje de víctimas que introdujeron credenciales superior al 12%. El impacto potencial en entornos empresariales es elevado, especialmente considerando las obligaciones legales bajo el RGPD y la inminente entrada en vigor de la Directiva NIS2, que endurece los requisitos sobre la protección de sistemas críticos y la notificación de incidentes.
Medidas de Mitigación y Recomendaciones
Para mitigar los riesgos asociados a esta campaña, los expertos recomiendan:
– Revisar cuidadosamente cualquier invitación recibida a través de OpenAI, especialmente si proviene de organizaciones desconocidas.
– Implementar políticas de autenticación multifactor (MFA) para el acceso a plataformas de IA.
– Formar a los empleados en la identificación de tácticas avanzadas de spear phishing y abuso de servicios legítimos.
– Monitorizar los logs de acceso y revisar la actividad de creación de nuevas organizaciones o equipos en OpenAI.
– Configurar reglas avanzadas en los gateways de correo para alertar sobre patrones inusuales de invitaciones.
– Notificar inmediatamente cualquier acceso sospechoso o pérdida de credenciales al equipo de seguridad.
Opinión de Expertos
Andrés Herrero, analista senior en ciberseguridad y miembro de ISACA Madrid, señala: «Este tipo de ataques marcan una evolución preocupante en la explotación de servicios SaaS. La confianza que los usuarios depositan en plataformas como OpenAI está siendo utilizada en su contra. Es fundamental que los proveedores incorporen controles adicionales para detectar patrones de abuso en la gestión de invitaciones».
Implicaciones para Empresas y Usuarios
Las empresas que utilizan activamente servicios de OpenAI deben reforzar sus procesos internos y concienciar a sus equipos sobre esta nueva modalidad de ataque. El riesgo no solo es la pérdida de acceso, sino la posible exposición de datos estratégicos. Además, de cara a la normativa vigente y futura (RGPD, NIS2), las organizaciones están obligadas a garantizar la seguridad de los datos y notificar incidentes cuando se vean afectados datos personales o servicios críticos.
Conclusiones
La explotación de funciones legítimas de plataformas SaaS para campañas de phishing representa una tendencia al alza y obliga a las organizaciones a revisar sus estrategias de ciberseguridad. El caso de OpenAI demuestra que la seguridad debe evolucionar a la par que las funcionalidades de los servicios utilizados, y que la formación y la vigilancia activa siguen siendo imprescindibles para mitigar riesgos emergentes.
(Fuente: www.cybersecuritynews.es)