Fałszywe narzędzia AI kradną kody MFA — celem są konta reklamowe

W raporcie Island z 6 października 2026 r. opisano portale reklamowe podszywające się pod ChatGPT, Gemini, Claude, Perplexity, Manus i Muse, które przechwytują hasła oraz kody MFA; badacze zaobserwowali setki przesłań danych. Wśród wskazanych adresów są advertising-chatgpt.com i museads.ai. Przynęty celują w osoby zarządzające kontami reklamowymi, zwłaszcza w agencjach obsługujących wielu klientów.

Po naciśnięciu „Connect” napastnik może obserwować logowanie i na bieżąco wybierać ekran z żądaniem kolejnego hasła albo potwierdzenia MFA. Oleg Zaytsev, badacz Island, wyjaśnił w rozmowie z The Hacker News: „The commands let the operator steer the victim through authentication in real time”. Zaobserwowane przesłania danych nie są liczbą potwierdzonych przejęć kont.

Oferta reklamowa prowadzi do fałszywego logowania

Portale są zbudowane wokół obietnic bliskich codziennej pracy reklamodawcy. Strona pod marką ChatGPT zapowiada poniedziałkowe podsumowanie Google Ads, wariant Gemini obiecuje obsługę kont menedżera i powiązanych klientów, a Claude przedstawia osobny portal reklamowy. Perplexity ma rzekomo planować kampanie i kontrolować wydatki, Manus zaś oferować prywatną integrację z Meta. To treść przynęt przygotowanych przez oszustów, a nie informacja o funkcjach udostępnionych przez właścicieli tych marek.

Tekst stron używa skrótów MCC i ROAS, znanych osobom kupującym reklamy. „Connect” ma więc wyglądać jak zwykły etap integracji z kontem firmowym. Zaproszenia mailowe mogą prowadzić do tych samych portali; znajoma nazwa produktu w wiadomości nie rozstrzyga, kto kontroluje stronę docelową. Dla pracownika mającego dostęp do kont klientów ten szczegół jest ważniejszy niż atrakcyjność obiecanego raportu czy audytu wydatków.

Okno w oknie pozwala przechwycić także MFA

Po kliknięciu „Connect” strona rysuje wewnątrz siebie okno przypominające przeglądarkę. W pozornym pasku adresu widać accounts.google.com albo adres dzierżawy Okta, lecz rzeczywisty pasek przeglądarki nadal wskazuje domenę portalu phishingowego. Ta technika, nazywana Browser-in-the-Browser, przenosi zaufany wygląd ekranu logowania na stronę kontrolowaną przez napastnika. Wpisane dane trafiają do jego systemu, choć użytkownik widzi znajomy formularz.

Zaplecze zapisuje próby podania hasła i informacje o urządzeniu odwiedzającego, między innymi adres IP, lokalizację oraz rozmiar ekranu. Operator widzi kolejne działania i może równolegle próbować zalogować się do prawdziwej usługi. Jeśli ta zażąda drugiego składnika, fałszywy portal pokaże odpowiedni ekran: kod SMS, kod z aplikacji, potwierdzenie Google albo wyzwanie Okta. Obsługuje także odrzucenie wpisanego kodu i ekran oczekiwania, dzięki czemu osoba po drugiej stronie może dostosować przebieg do aktualnej próby logowania.

Jednorazowy kod pozostaje skuteczny tylko wtedy, gdy użytkownik podaje go właściwej usłudze. Tutaj ofiara przekazuje kod napastnikowi w chwili, gdy może on jeszcze użyć go przy swoim logowaniu; samo włączenie SMS lub aplikacji uwierzytelniającej nie usuwa tego ryzyka. Passkey powiązany z prawdziwą domeną albo sprzętowy klucz bezpieczeństwa działa inaczej: fałszywie narysowany pasek adresu nie zmienia domeny, z którą przeglądarka wiąże uwierzytelnienie. To ogranicza użyteczność danych zbieranych przez portal.

Dostęp menedżera rozszerza ryzyko na klientów

Konto reklamowe ma uprawnienia użytkowników, metodę płatności i zatwierdzony budżet. Konto menedżera może obejmować kilka kont klientów, każde z własnymi użytkownikami i rozliczeniami. Jeśli skradziona tożsamość ma szerokie uprawnienia, atakujący może próbować uruchamiać kampanie na cudzy koszt, dodawać nowych administratorów albo sprzedać dostęp. Skala możliwej szkody zależy zatem od praw konkretnego pracownika, a nie tylko od tego, czy podał hasło w fałszywym oknie.

Przesłania danych pokazują, że odwiedzający korzystali z pułapki, ale nie pozwalają ustalić liczby skutecznych logowań ani wydatków przypisanych tej kampanii. Dla agencji praktyczne znaczenie ma ścieżka dostępu: jeden administrator może mieć połączenia z profilami wielu reklamodawców. Po ujawnieniu danych kontrola samego konta głównego nie wystarczy do ustalenia, czy zmieniły się uprawnienia lub kampanie u klientów.

Kontrola przed połączeniem i po podejrzanym logowaniu

W ostrzeżeniu ThaiCERT z 8 października 2026 r. zalecono uwierzytelnianie odporne na phishing, monitorowanie zmian uprawnień reklamowych i ocenę integracji AI przed przyznaniem im dostępu. Dla polskiego zespołu korzystającego z Google Ads, Meta, TikTok lub Okta oznacza to kontrolę prawdziwego adresu logowania oraz zakresu uprawnień przypisanego każdej tożsamości.

• Sprawdź domenę poza narysowanym oknem. Otwórz ofertę integracji przez oficjalną witrynę dostawcy i odczytaj adres w rzeczywistym pasku przeglądarki. Napis accounts.google.com wewnątrz strony może być jedynie częścią obrazu fałszywego okna.
• Chroń osoby z szerokim dostępem. Tam, gdzie usługa to umożliwia, zastosuj passkeys lub sprzętowe klucze bezpieczeństwa. Kod z SMS albo aplikacji można przepisać na stronę oszusta i wykorzystać podczas trwającej próby logowania.
• Oddziel administrację od codziennej pracy. W agencji warto przeznaczyć osobne konta do nadawania uprawnień i ograniczyć osoby mogące dodawać menedżerów oraz partnerów. Zmniejsza to zasięg dostępu, który daje przejęcie konta używanego do rutynowych zadań.
• Przejrzyj konta powiązane. Po podejrzanym logowaniu sprawdź nowych użytkowników i partnerów, zmiany danych odzyskiwania, uruchomione kampanie oraz wydatki na każdym dostępnym koncie klienta. Przy szerokim dostępie menedżera nieautoryzowana zmiana może pojawić się poza jego głównym profilem.

Jeżeli pracownik wpisał hasło lub kod w takim portalu, liczy się zakres uprawnień tej tożsamości w chwili zdarzenia. To on wyznacza konta klientów, których historię zmian i rozliczeń trzeba sprawdzić, oraz możliwy koszt dla reklamodawców.

Przeczytaj także:

• Barter też jest reklamą — samo „współpraca” nie wystarczy
• Detektor tekstu AI to nie dowód: fałszywy alarm może skrzywdzić autora
• Docker Desktop czy Podman? Mniej pamięci może kosztować zgodność narzędzi