假AI广告盗取账户

安全公司Island披露，网络犯罪分子正利用ChatGPT、Gemini和Claude等知名AI品牌的虚假营销工具，专门针对广告代理商和媒体买家发起钓鱼攻击。

攻击者部署了先进的“浏览器内浏览器”（BitB）平台，在受害者点击“连接Google账户”后，伪造出包含地址栏在内的完整浏览器界面，使受害者误以为正在访问合法的accounts.google.com页面。该平台能根据访客操作系统动态调整界面细节，并支持Google、Meta、TikTok和Okta等多种工作流。

更危险的是，攻击过程中有“人工操作员”实时监控受害者的输入，可动态决定显示何种多因素认证（MFA）屏幕或错误提示，从而绕过传统防御。由于这些被窃取的账户通常绑定了信用卡和预算权限，攻击者可直接滥用资金或访问关联的客户账户。截至报道时，该活动仍在进行中，研究人员已观察到数百次受害者提交信息的行为。