Схема опирается на простую человеческую реакцию: приглашение на закрытое мероприятие от известного бренда выглядит как возможность, а не как угроза. Названия вроде «ChatGPT for Social & Digital Marketing Teams» подобраны так, чтобы заинтересовать маркетинг, а не только ИТ.
Дальше — аккуратно сделанные страницы регистрации, которые ведут на настоящий вход Microsoft или Google. Пользователь видит знакомый экран и вводит пароль, но между ним и сервисом стоит прослойка.
Технически используются два инструмента. Kali365 проводит device-code фишинг против аккаунтов Microsoft: жертву просят ввести код на странице, которую контролирует атакующий, и вход завершается уже в его сессии. VoidProxy работает как adversary-in-the-middle для Google: перехватывает и пароль, и cookie сессии, поэтому обход обычной проверки пароля не помогает.
Маскировка — Cloudflare CAPTCHA, сокращатели ссылок и цепочки редиректов, чтобы не светить конечный домен и затруднить блокировку.
Что делать
Технически: отключить device-code вход, если он не используется, требовать устойчивую к фишингу аутентификацию (passkeys, аппаратные ключи), ограничить регистрацию приложений и внимательно смотреть на новые OAuth-разрешения.
Организационно — объяснить сотрудникам, что «приглашение» не является подтверждением личности отправителя. Бренд в письме ничего не доказывает, а переход по ссылке из письма с паролем — плохая идея независимо от того, насколько правдоподобно выглядит страница.
The scheme relies on a simple human reaction: an invitation to an exclusive event from a known brand looks like an opportunity, not a threat. Names like “ChatGPT for Social & Digital Marketing Teams” are chosen to interest marketing, not only IT.
What follows are polished registration pages that lead to a real Microsoft or Google login. The user sees a familiar screen and enters a password, but something sits between them and the service.
Two tools are involved. Kali365 runs device-code phishing against Microsoft accounts: the victim is asked to enter a code on a page controlled by the attacker, and the sign-in completes inside the attacker’s session. VoidProxy works as an adversary-in-the-middle for Google, capturing both the password and the session cookie, so password resets alone do not help.
Cover comes from Cloudflare CAPTCHA, URL shorteners and redirect chains, which hide the final domain and complicate blocking.
What to do
Technically: disable device-code sign-in where it is not used, require phishing-resistant authentication (passkeys, hardware keys), restrict app registration and watch for new OAuth grants.
Organisationally, explain to staff that an invitation is not proof of the sender’s identity. A brand in an email proves nothing, and following a link from an email into a password prompt is a bad idea no matter how convincing the page looks.