Η ομάδα κατασκοπείας TA419, η οποία φέρεται να συνδέεται με την Κίνα, επιχείρησε να αποσπάσει στοιχεία σύνδεσης από ερευνητές και ειδικούς που ασχολούνται με το AI policy. Αντί να στείλει αμέσως έναν εμφανώς κακόβουλο σύνδεσμο, προσέγγισε τους στόχους με προσκλήσεις συνεργασίας και συνέχισε την επίθεση μόνο όταν εκείνοι απάντησαν.
Η Proofpoint ανέφερε ότι οι εκστρατείες του Ιουλίου 2026 στόχευσαν ειδικούς σε αμερικανικά think tanks, πανεπιστήμια και δικηγορικές εταιρείες. Η ίδια εταιρεία παρακολουθεί την TA419 ως κινεζικά ευθυγραμμισμένο παράγοντα με κατασκοπευτικά κίνητρα, χωρίς αυτό να αποτελεί από μόνο του απόδειξη για την ταυτότητα ή τις εντολές των χειριστών της.
Δείτε επίσης: 17.000 URLs αποκαλύπτουν πώς το ClickFix μετατρέπει αξιόπιστες ιστοσελίδες σε παγίδες
Το AI policy ως δόλωμα
Τα πρώτα phishing μηνύματα δεν περιείχαν εμφανή απειλή. Οι αποστολείς προσποιούνταν ότι καλούσαν τους παραλήπτες σε μια ανύπαρκτη «Συμβουλευτική Επιτροπή για την Πολιτική Τεχνητής Νοημοσύνης» ή τους ζητούσαν να συνεισφέρουν σε έκθεση για τους ελέγχους εξαγωγών και τις αλυσίδες εφοδιασμού. Με αυτό το πρόσχημα, άνοιγαν συζήτηση γύρω από θέματα που απασχολούν πραγματικά όσους εργάζονται στον τομέα του AI policy.
Σύμφωνα με την έρευνα της Proofpoint, η TA419 προσποιήθηκε τη Lynne Edwards Parker, πρώην αναπληρώτρια διευθύντρια του Γραφείου Επιστημονικής και Τεχνολογικής Πολιτικής του Λευκού Οίκου, και την οικονομολόγο Heidi Crebo-Rediker. Η εταιρεία είχε καταγράψει και προηγούμενη απόπειρα, τον Φεβρουάριο του 2026, όταν η ομάδα παρίστανε ανώτερο στέλεχος της Anthropic.
Η συγκεκριμένη στόχευση εντάσσεται σε ένα ευρύτερο μοτίβο. Η Proofpoint αναφέρει ότι παρακολουθεί εκστρατείες της TA419 εναντίον ανθρώπων σε think tanks, αμυντικές εταιρείες, πανεπιστήμια και δικηγορικά γραφεία στις ΗΠΑ και την Ιαπωνία τουλάχιστον από τον Απρίλιο του 2025. Εκτιμά ότι το ενδιαφέρον για τη χάραξη σχετικής πολιτικής διευρύνει, αντί να αλλάζει, τα πεδία δραστηριότητας της ομάδας.
Από μια απάντηση σε ψεύτικη σελίδα OneDrive
Η αλυσίδα ενεργοποιούνταν αφού ο στόχος απαντούσε στο αρχικό μήνυμα. Τότε ακολουθούσε shortened URL, που περνούσε από ανακατευθύνσεις και κατέληγε σε πλαστή σελίδα σύνδεσης που παρουσιαζόταν ως OneDrive. Στις καμπάνιες του Ιουλίου, η Proofpoint εντόπισε τα domains driftshare[.]co και globalfileshareplatform[.]com στα διαδοχικά στάδια της διαδρομής.
Η τελική σελίδα σχετιζόταν με επίθεση adversary-in-the-middle: μεσολαβούσε ανάμεσα στον χρήστη και στην πραγματική υπηρεσία σύνδεσης. Το παράθυρο σύνδεσης εμφανιζόταν μέσα σε άλλη σελίδα, ώστε να μοιάζει οικείο. Η τεχνική βασιζόταν σε προσαρμοσμένη έκδοση του ανοικτού εργαλείου Frameless BitB και στόχευε λογαριασμούς Microsoft 365 και Entra ID.
Επειδή η κίνηση προωθούνταν στη γνήσια υποδομή της Microsoft, ο χρήστης μπορούσε να ολοκληρώσει κανονικά τη σύνδεση, ενώ ο επιτιθέμενος υπέκλεπτε διαπιστευτήρια και το cookie της ενεργής συνεδρίας. Η Proofpoint περιγράφει επίσης μηχανισμό που παρακολουθούσε την πρόοδο της σύνδεσης, υπέβαλλε κωδικούς μιας χρήσης και επέλεγε αυτόματα την παραμονή σε σύνδεση. Έτσι, ακόμη και ένας κωδικός πολυπαραγοντικής επαλήθευσης δεν αρκούσε για να σταματήσει την υποκλοπή.
Δείτε επίσης: Η Storm-2561 στοχεύει χρήστες εταιρικών VPN μέσω SEO poisoning
Τι γνωρίζουμε για τις επιτυχημένες παραβιάσεις
Η δημοσιοποίηση της τεχνικής δεν αποδεικνύει ότι οι δράστες απέκτησαν πρόσβαση σε συγκεκριμένους λογαριασμούς. Η Proofpoint περιγράφει πώς μπορούσαν να συλλεχθούν στοιχεία σύνδεσης και συνεδρίας, αλλά δεν δίνει αριθμό επιτυχημένων παραβιάσεων.
Η εκστρατεία αυτή δείχνει γιατί τα μηνύματα που μοιάζουν με συνηθισμένες επαγγελματικές προσκλήσεις χρειάζονται έλεγχο, ειδικά όταν αφορούν το AI policy, τις εξαγωγές ή στρατιωτικές εφαρμογές. Οι ειδικοί που δέχονται τέτοια αιτήματα καλό είναι να επιβεβαιώνουν τον αποστολέα μέσω διαφορετικού, ήδη γνωστού καναλιού και όχι απαντώντας στο ίδιο νήμα.
Πώς να μειωθεί ο κίνδυνος
Η Proofpoint συνιστά τη χρήση μεθόδων ελέγχου ταυτότητας ανθεκτικών στο ηλεκτρονικό ψάρεμα, όπως τα κλειδιά πρόσβασης (passkeys). Οι οργανισμοί μπορούν επίσης να εκπαιδεύουν ομάδες έρευνας και δημόσιας πολιτικής να αντιμετωπίζουν απρόσμενες προσκλήσεις ως πιθανό πρώτο στάδιο επίθεσης. Η απλή εμφάνιση μιας οικείας σελίδας ή η επιτυχής ολοκλήρωση της πολυπαραγοντικής επαλήθευσης δεν εγγυάται ότι μια σύνδεση είναι ασφαλής.
Η συντακτική ομάδα του SecNews επισημαίνει ότι τέτοιες επιθέσεις εκμεταλλεύονται την εμπιστοσύνη σε πραγματικά πρόσωπα και επίκαιρα ζητήματα, όχι μόνο τεχνικά κενά. Όταν μια πρόσκληση για την πολιτική τεχνητής νοημοσύνης ζητά γρήγορη σύνδεση ή ανταλλαγή ευαίσθητων πληροφοριών, οι παραλήπτες πρέπει να επαληθεύουν το αίτημα από ανεξάρτητη οδό. Ούτε ένα οικείο λογότυπο ούτε η επιτυχής επαλήθευση αποδεικνύουν ότι ο ιστότοπος είναι γνήσιος.
🔑 Ασφαλίστε τους κωδικούς σας με Proton Pass
Password manager από την Proton — end-to-end κρυπτογράφηση, passkeys, ενσωματωμένο 2FA και παρακολούθηση για διαρροές των στοιχείων σας.
- ✔ Κρυπτογραφημένη αποθήκευση κωδικών & passkeys
- ✔ Ειδοποίηση αν κάποιος κωδικός σας διέρρευσε (Dark Web Monitoring)
- ✔ Δωρεάν έκδοση — σε όλες τις συσκευές
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Δείτε επίσης: Kimi K3: πώς τα μοντέλα Kimi ξεκλειδώνουν frontier AI στην κυβερνοασφάλεια
Η πλήρης ανάλυση της καμπάνιας και τα τεχνικά ευρήματα είναι διαθέσιμα στην έρευνα της Proofpoint. Για τους πιθανούς στόχους, το βασικό μέτρο είναι να αντιμετωπίζουν τις απρόσμενες προσεγγίσεις ως ανεπιβεβαίωτες μέχρι να ελεγχθούν από ανεξάρτητη οδό.
