Ciberdelincuentes están explotando la función de invitaciones a organizaciones de OpenAI para ejecutar ataques de "inquilino envenenado". Según Push Security, los atacantes crean organizaciones falsas (suplantando nombres de empresas reales) para engañar a los usuarios y así robar prompts sensibles, actividad de la API y datos corporativos.

Los hackers están abusando activamente de la función de invitación de organización de OpenAI para lanzar una nueva forma de ataque de "inquilino envenenado" (poisoned tenant), lo que les permite recolectar prompts sensibles, actividad de la API y, potencialmente, datos corporativos de usuarios desprevenidos.

Según la investigación revelada por Push Security, los atacantes crearon una organización falsa de OpenAI utilizando el nombre de la empresa, “Push Security Inc”, y enviaron invitaciones dirigidas a los empleados.

Estos correos electrónicos no estaban suplantados ni eran maliciosos en el sentido tradicional. Se originaron en el sistema de notificaciones legítimo de OpenAI (noreply@tm.openai.com), superaron los controles de autenticación y parecían idénticos a las invitaciones de colaboración genuinas.

La única señal de advertencia era un pequeño aviso que indicaba que el dominio del remitente no coincidía con el dominio corporativo del destinatario.

Sin embargo, este detalle puede pasarse por alto fácilmente, especialmente cuando el correo electrónico parece totalmente legítimo y hace referencia a información real de la empresa.

Los hackers abusan de las invitaciones de organización de OpenAI

Una vez que el destinatario hace clic en el enlace de invitación, el ataque se vuelve particularmente peligroso. Los investigadores descubrieron que unirse a la organización requería solo un clic, sin pasos adicionales de autenticación o verificación.

Incluso desde una sesión de navegador nueva sin un inicio de sesión previo, la cuenta se vinculaba instantáneamente al inquilino controlado por el atacante.

Según Push Security, los atacantes hicieron que la organización falsa pareciera legítima suplantando a un ejecutivo de la empresa y otorgando a todos los usuarios invitados privilegios de Propietario con acceso administrativo completo.

También se había añadido una tarjeta de crédito a la cuenta, probablemente para eliminar fricciones y evitar levantar sospechas si los usuarios intentaban acceder a funciones de pago.

El objetivo real del ataque no es el robo inmediato de credenciales, sino la recolección de datos a largo plazo. Si un empleado asume que la organización es legítima y comienza a usarla para trabajar, cualquier prompt, dato subido o uso de la API podría ser visible para el atacante.

Esto puede incluir código fuente, documentos internos, investigaciones de seguridad o información de clientes. Esta técnica se basa en el concepto de “inquilino envenenado” descrito por primera vez en 2023, donde los atacantes crean entornos SaaS falsos para engañar a los usuarios y lograr que se unan.

En este caso, el ataque aprovecha el creciente papel de las plataformas de IA como centros de productividad empresarial. A medida que tú y otros empleados dependéis cada vez más de herramientas como ChatGPT para los flujos de trabajo diarios, el valor de los datos de los prompts capturados se vuelve significativamente mayor.

Los investigadores de Push Security advierten que los atacantes podrían escalar el acceso compartiendo chats maliciosos, inyectando prompts dañinos o abusando de integraciones de terceros.

Esto crea oportunidades para la exfiltración de datos, el abuso de OAuth o el movimiento lateral a través de servicios conectados como el correo electrónico, el almacenamiento en la nube y las herramientas de colaboración.

La campaña es parte de una tendencia más amplia donde los actores de amenazas utilizan plataformas SaaS confiables como canales de entrega.

Informes recientes de Kaspersky y Cisco Talos destacan abusos similares en OpenAI, GitHub y Jira, donde los atacantes incrustan contenido malicioso en notificaciones generadas por la plataforma.

Debido a que estos mensajes provienen de dominios legítimos, evaden muchos de los controles de seguridad tradicionales. Defenderte contra esta técnica es difícil porque no hay indicadores obvios, como enlaces maliciosos o dominios suplantados.

La infraestructura utilizada es totalmente legítima. En su lugar, las organizaciones deben centrarse en la visibilidad del uso de SaaS, monitoreando a qué inquilinos externos se unen los empleados y educándote a ti y a los demás usuarios sobre que incluso los correos electrónicos auténticos de la plataforma pueden conllevar riesgos de seguridad.

Este incidente resalta una brecha de seguridad creciente en las empresas modernas. A medida que las plataformas SaaS y de IA continúan expandiéndose, sus funciones de colaboración integradas se están convirtiendo en una superficie de ataque poderosa.

Sin controles más estrictos, como la aplicación de la verificación de dominios o la restricción para unirse a organizaciones, los atacantes seguirán explotando estos sistemas confiables para recopilar datos sensibles silenciosamente.