セキュリティ会社のPush Securityは最近、企業の従業員を標的にした新たなネットワーク詐欺攻撃を暴露する緊急のセキュリティ警告を発表しました。ハッカーはOpenAIの組織招待メカニズムを悪用し、従来のメールセキュリティ対策を回避し、従業員を偽のAI作業環境に誘導しようと試みています。

検証を回避した「合法」な罠

この計画的なソーシャルエンジニアリング攻撃において、ハッカーはまずターゲットとなる企業と同じ名前のOpenAI組織を作成しました。その後、OpenAI公式の通知メールアドレスから特定の従業員に参加招待を送信しました。メールは公式からのものであり、標準的な身分確認を通過しているため、非常に嘘っぽいものです。

さらに混乱を招くのは、ハッカーが事前に組織アカウントに有効なVISAクレジットカードを結びつけ、招待された従業員に対してデフォルトで最高レベルの管理者権限を許可したことです。このような異常な「親切さ」により、従業員が参加時に遭遇する可能性のある支払いのハードルやシステムの異常な表示が完璧に解消されました。

プロセスの脆弱性がセキュリティの盲点を暴露

セキュリティ研究者は実際に参加プロセスをテストした際に、受け入れプロセス全体にほとんど追加の2次認証がなかったことを発見しました。ユーザーはメール内のリンクをクリックするだけでその組織にアクセスでき、アカウントパスワードの再確認も必要ありませんでした。これにより、企業の既存のセキュリティ対策が簡単に破られました。

AIツールが日常業務に完全に統合されるにつれて、このようなプラットフォーム協力メカニズムと共有通知を基盤としたソーシャルエンジニアリングのパターンはますます深刻化しています。専門家は、各企業が従来のメールフィッシングから、AIプラットフォーム協力メカニズムに対するセキュリティレビューへと防御の重点を拡大する必要があると注意を促しています。