Cảnh báo chiến dịch lừa đảo mạo danh OpenAI đánh cắp thông tin thanh toán

• Phương thức tấn công: Kẻ tấn công sử dụng email mạo danh OpenAI với thông báo lỗi thanh toán giả để điều hướng người dùng đến các trang checkout độc hại.
• Cơ chế kỹ thuật: Sử dụng các instance WordPress tạm thời, kết hợp với bảng điều khiển (dashboard) cho phép kẻ tấn công can thiệp thời gian thực để yêu cầu mã OTP.
• Mục tiêu: Đánh cắp thông tin thẻ tín dụng (PAN, CVV, ngày hết hạn) và mã xác thực một lần (OTP) nhằm thực hiện các giao dịch gian lận.
• Khuyến nghị: Người dùng tuyệt đối không truy cập liên kết từ email, hãy kiểm tra trạng thái đăng ký trực tiếp trên trang chủ chính thức của dịch vụ.

Các nhà nghiên cứu bảo mật vừa công bố một chiến dịch tấn công mạng tinh vi, lợi dụng sự phổ biến của ChatGPT để thực hiện hành vi đánh cắp thông tin tài chính. Thay vì triển khai mã độc (malware) truyền thống, chiến dịch này tập trung vào kỹ thuật phishing (lừa đảo) có sự tham gia của con người (human-in-the-loop) để vượt qua các lớp bảo mật thanh toán.

Phân tích cơ chế tấn công và hạ tầng phishing

Chiến dịch bắt đầu bằng việc gửi các email thông báo lỗi thanh toán giả mạo, yêu cầu người dùng cập nhật thông tin thẻ tín dụng để duy trì gói đăng ký ChatGPT Plus. Các liên kết trong email được chuyển hướng qua nhiều dịch vụ trung gian nhằm che giấu đích đến cuối cùng, trước khi dẫn nạn nhân tới các trang web giả mạo được lưu trữ trên các instance WordPress tồn tại trong thời gian ngắn.

Điểm đáng chú ý trong chiến dịch này là sự tinh vi của giao diện thanh toán. Trang web giả mạo có khả năng nhận diện thương hiệu thẻ tín dụng và định dạng dữ liệu ngay khi người dùng nhập thông tin. Sau khi nạn nhân nhấn nút gửi, thay vì hiển thị thông báo xác nhận, trang web sẽ kích hoạt một hiệu ứng tải (loading spinner) vô tận, giữ chân nạn nhân trong khi kẻ tấn công thực hiện các thao tác tiếp theo.

Kỹ thuật can thiệp thời gian thực (Real-time Interception)

Trong quá trình nạn nhân chờ đợi, trình duyệt liên tục gửi các yêu cầu (polling) tới bảng điều khiển của kẻ tấn công. Một nhân viên vận hành (operator) sẽ theo dõi phiên làm việc và quyết định thời điểm hiển thị trang yêu cầu nhập mã OTP. Điều này cho phép kẻ tấn công thực hiện giao dịch gian lận ngay lập tức bằng thông tin thẻ vừa đánh cắp được.

# Cấu trúc polling điển hình được quan sát trong quá trình phân tích: 969 yêu cầu trong 4 phút 3 giây. 

Dữ liệu thu thập được bao gồm số thẻ, ngày hết hạn, mã bảo mật và tên chủ thẻ. Các nhà nghiên cứu đã xác định được mã định danh ứng dụng (Application Identifier) chung là 1834f733528e1a9fc930069fa3763a2809d41769, cho thấy sự đồng nhất trong hạ tầng tấn công dù các trang web được triển khai độc lập.

Bảng tổng hợp các chỉ số IOCs (Indicators of Compromise)

Khuyến nghị phòng thủ và săn tìm mối đe dọa

Đối với các đội ngũ SOC và chuyên gia an ninh mạng, việc phát hiện các chiến dịch này dựa trên hành vi mạng là chìa khóa. Thay vì tập trung vào các địa chỉ IP đơn lẻ (vốn thường xuyên thay đổi), các tổ chức nên thiết lập quy tắc phát hiện dựa trên cấu trúc trang web và lưu lượng truy cập bất thường tới các endpoint như processor.php hoặc token.php.

⚠️ Cảnh báo quan trọng: Các địa chỉ IP và tên miền được liệt kê ở trên đã được làm mờ (defanged) để tránh truy cập nhầm. Chỉ thực hiện phân tích trong môi trường cô lập (sandbox) hoặc các nền tảng Threat Intelligence chuyên dụng như VirusTotal hoặc MISP.

Người dùng cuối cần nâng cao cảnh giác với các email yêu cầu cập nhật thông tin thanh toán. Hãy luôn kiểm tra địa chỉ người gửi và truy cập trực tiếp vào trang web chính thức của dịch vụ thông qua trình duyệt thay vì nhấp vào các liên kết trong email. Việc triển khai xác thực đa yếu tố (MFA) cho các tài khoản ngân hàng là biện pháp bảo vệ quan trọng nhất để ngăn chặn các giao dịch trái phép ngay cả khi thông tin thẻ bị lộ.