Los ciberdelincuentes están aprovechando las funciones legítimas de invitación de plataformas SaaS para crear organizaciones falsas, suplantar a empresas reales y atraer a sus empleados hacia entornos controlados por los atacantes. Una campaña detectada por Push Security utilizó organizaciones fraudulentas de OpenAI para dirigirse específicamente contra trabajadores de la compañía y de algunos de sus clientes.
La técnica, conocida como poisoned tenant o “tenant envenenado”, consiste en registrar una organización falsa dentro de una plataforma legítima, darle el nombre de la empresa objetivo e invitar a sus empleados a unirse. El correo procede de la infraestructura auténtica del proveedor, supera los controles habituales de autenticación y no contiene dominios falsificados ni archivos adjuntos maliciosos.
Precisamente por eso, resulta más difícil de detectar que una campaña de phishing convencional.
Invitaciones legítimas enviadas desde OpenAI
Varios empleados de Push Security comenzaron a recibir correos que les invitaban a unirse a una organización de OpenAI llamada “Push Security Inc”.
Los mensajes procedían de una dirección legítima de notificaciones de OpenAI, utilizaban la imagen oficial de la plataforma y mencionaban expresamente el nombre de la empresa. A simple vista, parecían invitaciones corporativas normales.
OpenAI incluía una advertencia indicando que el dominio del remitente no coincidía con el de la empresa invitada. Sin embargo, este aviso aparecía como una única línea dentro de un correo cuidadosamente diseñado y aparentemente auténtico.
Los atacantes no enviaron invitaciones aleatorias. Seleccionaron direcciones de correo profesionales concretas, lo que apunta a un trabajo previo de reconocimiento sobre los empleados de la compañía.
Un solo clic para entrar en el entorno falso
Los investigadores decidieron aceptar una de las invitaciones para analizar el funcionamiento del ataque.
El acceso se completó con un solo clic, sin necesidad de introducir credenciales adicionales ni realizar otra comprobación de autenticación. Incluso fue posible aceptar la invitación desde un navegador distinto al utilizado habitualmente y sin tener una sesión de ChatGPT abierta.
Una vez dentro, comprobaron que la cuenta del atacante utilizaba el nombre del director ejecutivo de Push Security. Además, los empleados invitados habían recibido el rol de propietario, con permisos administrativos completos sobre la organización.
El entorno también contaba con una tarjeta Visa asociada a la facturación. Los investigadores sospechan que podría tratarse de una tarjeta robada, utilizada para evitar que la ausencia de un método de pago despertara sospechas entre las víctimas.
El objetivo podría ser acceder a información sensible
La campaña requería una preparación considerable. Los atacantes habían creado la organización, utilizado el nombre de la empresa, suplantado al director ejecutivo, buscado empleados concretos y configurado un método de pago.
Este esfuerzo sugiere que el propósito no era simplemente distribuir mensajes fraudulentos, sino conseguir que los empleados aceptaran la invitación y comenzaran a utilizar la plataforma como si se tratara de un espacio corporativo legítimo.
Los trabajadores pueden introducir en herramientas de inteligencia artificial información especialmente sensible, como código fuente, documentos internos, datos de clientes, investigaciones de seguridad, estrategias empresariales o credenciales.
Si un empleado hubiera empezado a trabajar dentro de la falsa organización, el atacante, como administrador, podría haber obtenido visibilidad sobre determinados registros de uso, interacciones con la API o actividad desarrollada dentro del entorno.
El riesgo aumenta si los usuarios conectan aplicaciones externas, autorizan integraciones o utilizan proyectos compartidos preparados por el atacante.
De la falsa organización al robo de credenciales
Push Security describió esta técnica por primera vez en 2023 como un posible método de acceso inicial.
Una vez que el empleado se encuentra dentro de una organización controlada por el atacante y la considera un recurso legítimo de su empresa, puede recibir nuevas instrucciones aparentemente fiables.
El ciberdelincuente podría pedirle que conecte el inicio de sesión corporativo, autorice una aplicación mediante OAuth o configure un proveedor de identidad. En otras plataformas, esta técnica puede combinarse con ataques de SAMLjacking para capturar credenciales.
En el caso concreto de OpenAI, la verificación del dominio dificulta esta variante mediante SAML. Sin embargo, existen otras posibilidades, como compartir proyectos o conversaciones que contengan enlaces maliciosos, instrucciones engañosas o técnicas de prompt injection.
El atacante podría intentar que la víctima ejecutara comandos, accediera a páginas externas o conectara la plataforma con servicios empresariales como correo electrónico, calendario o almacenamiento en la nube.
