Se ha detectado un kit de phishing de cuentas de Google que utiliza conexiones WebSocket en vivo para guiar a las víctimas a través de pantallas de inicio de sesión falsas. Esta técnica permite a los atacantes evadir la autenticación de múltiples factores (MFA) al retransmitir las solicitudes de autenticación en tiempo real y robar sesiones ya autenticadas, en lugar de intentar vulnerar los controles de seguridad. La campaña está dirigida principalmente a personas vinculadas a organizaciones de investigación.

La vulnerabilidad ClawJacked permite a una web maliciosa conectarse a un WebSocket en localhost de OpenClaw mediante fuerza bruta, obteniendo acceso de administrador para robar credenciales, ejecutar comandos y comprometer equipos emparejados.