Phishing Pakai Nama OpenAI, SpaceX, dan Anthropic: Hadiah ChatGPT Pro Gratis Jadi Umpan Curi Akun Kerja

Penjahat siber memakai nama besar OpenAI, SpaceX, dan Anthropic untuk mencuri akun kerja karyawan. Lewat situs acara palsu dan hadiah langganan AI gratis, mereka mencuri kata sandi dan sesi login Microsoft serta Google — bahkan melewati verifikasi dua langkah.

Jakarta – Karyawan yang menerima undangan acara eksklusif dari OpenAI, SpaceX, atau Anthropic perlu mewaspadai email itu. Peneliti keamanan Push Security menemukan kampanye phishing baru yang memakai nama tiga perusahaan AI terbesar itu sebagai umpan untuk mencuri akun kerja Microsoft dan Google.

Modusnya terbilang meyakinkan. Pelaku membuat situs pendaftaran acara palsu yang menyerupai halaman resmi, lengkap dengan hadiah menggoda: langganan ChatGPT Pro gratis tiga bulan, akses Grok Heavy, bahkan "saham SpaceX" untuk yang mendaftar lebih awal.

Dikutip dari BleepingComputer, salah satu situs menawarkan acara OpenAI bertajuk ChatGPT for Social & Digital Marketing Teams. Situs lain mengatasnamakan SpaceX dan mengundang korban ke Starship Product Briefing pada 12 November 2026. Ada pula halaman yang meniru sesi Anthropic di AWS re:Invent 2026, meski saat diperiksa sudah tidak aktif.

Dua Teknik Pencurian Akun

Untuk mengklaim hadiah, korban diminta masuk memakai akun kerja lewat tombol Continue with Microsoft atau Continue with Google. Di sinilah jebakan bekerja dengan dua metode berbeda.

Jika korban memilih Microsoft, platform pencurian bernama Kali365 akan menghasilkan kode autentikasi perangkat. Korban diminta menyalin kode itu dan memasukkannya ke situs Microsoft yang asli. Begitu disetujui, pelaku memperoleh token untuk mengakses akun Microsoft Entra korban — teknik yang dikenal sebagai device code phishing dan tidak butuh kata sandi sama sekali.

Opsi Google memakai platform bernama VoidProxy dengan teknik adversary-in-the-middle. Platform ini menjadi perantara antara korban dan halaman login Google sehingga bisa mencuri kata sandi, respons verifikasi dua langkah, hingga session cookie yang memungkinkan pelaku membajak sesi yang sudah terautentikasi.

"Karyawan ingin akses ke alat AI terbaru, dan itu menjadikan mereka umpan yang sangat efektif", tulis Push Security dalam laporannya.

Rantai Pengelabuan yang Rapi

Kampanye ini tidak berhenti di situs palsu. Pelaku memanfaatkan layanan pemendek tautan Google dan Zapier untuk mengarahkan korban ke halaman berbahaya, lalu menempatkan pemeriksaan Cloudflare CAPTCHA di depan situs agar alat pemindai keamanan sulit mendeteksinya.

Push Security mencatat aktivitas kunjungan ke situs-situs ini mulai terdeteksi dan diblokir pada akhir Oktober 2026. Namun riset lain yang beredar sepekan ini memperlihatkan pola serupa masih ramai: peneliti Italia melaporkan lebih dari 2.000 komputer terinfeksi malware lewat umpan nama OpenAI, SpaceX, dan GitHub yang serupa.

Push Security menyarankan karyawan untuk tidak pernah memasukkan kode autentikasi perangkat Microsoft di situs yang tidak dikenal, serta berhati-hati terhadap undangan acara yang mensyaratkan login akun kantor demi hadiah. Perusahaan juga bisa menutup celah dengan membatasi penggunaan autentikasi kode perangkat di lingkungan kerja mereka.