とんでもない！OpenAIの公式アカウントが一夜にして暗号通貨マイナーにハッキングされた！

これは、ニュースを公開するために特別に開設されたOpenAI Newsroomアカウントです。

彼は突然、真夜中にこんなツイートを投稿した。

人工知能とブロックチェーン技術を融合させたトークン「💲OPENAI」のローンチを発表できることを大変嬉しく思います。OpenAIのすべてのユーザーは、💲OPENAIの初期供給量の一部を受け取る資格があります。💲OPENAIを保有することで、今後提供されるすべてのテストプログラムにアクセスできるようになります。

その後、フィッシングサイトへのリンクが送信されました。

このツイートはもう表示されなくなり、1文だけが残っています:

悪質なリンクのため、コメントは閉鎖されました。頑張ってください！

この公式アカウントだけでなく、15か月以内に少なくとも4つのOpenAI関連アカウントがハッキングされました。

OpenAI の従業員アカウントでも最近、一連のトラブルが発生しています。

主任科学者のヤクブ・パチョッキ氏、最高技術責任者（CTO）のミラ・ムラティ氏、研究者のジェイソン・ウェイ氏のアカウントがすべて標的となった。

これらの同一の行動から判断すると、それを実行したのは間違いなく同じグループの人々です。

ネットユーザーによれば、ジェイソン・ウェイのアカウントは過去12か月間に少なくとも10回ハッキングされたという。

OpenAI Newsroom アカウントの最近のハッキングは、Jason Wei のアカウントの前回のハッキングから2 日も経たないうちに起こった。

これらのツイートはインターネット上に広まり、大規模なオンライン騒動を引き起こした。

一方、ネットユーザーたちも皆が本当に騙されないことを願いながら心配していた。

ここでターゲットにしている人が誰なのか、よく分かりません。もしこれらの詐欺が機能しないなら、彼らはそんなに多くの時間を費やすことはないはずです。

しかし、1) 暗号通貨に興味があり、2) OpenAI とその上級指導者について知っていて、3) このような単純なウォレット盗難の罠に簡単に陥ることができる人は、いったい誰なのでしょうか?

マスク氏のxAI従業員とGrok開発者は声を上げずにはいられなかった。

皆さん頑張ってください！

一部のネットユーザーもOpenAIへの称賛を表明した。

1 度目は単なる不運、2 度目は問題が明らかに、3 度目はシステム的な問題があることを示します。

ネットユーザーたちは、イリヤのスタートアップ企業 SSI (Safe SuperIntelligence) が OpenAI を USI (Unsafe SuperIntelligence) に変えたと冗談を言った。

では、なぜ 2FA (2 要素認証) を有効にしないのでしょうか?

おそらく... 2FA も機能しなくなるでしょう。

一部のネットユーザーは、この攻撃の操作方法とテクノロジースタックを分析しています。

攻撃手法分析

以下は、Vercel CEO の Guillermo Rauch 氏による分析です。

最初に注意すべきことは、ほとんどのフィッシング Web サイトに共通の欠陥があるということです。それは、Web サイトが安っぽく見えることです。

しかし、このフィッシング サイトは本物のように見えます。本当に本物のサイトのように見えます。

攻撃者はどうやってこれほどリアルなものを作ることができるのでしょうか?

「data-scrapbook-source」属性に注目してください。何らかのWebスクレイピングツールが使用された可能性はありますか？

Google検索で確認すると、多くのフィッシング詐欺サイトにこのコードが出現していることがわかります。これは「WebScrapBook」というChrome拡張機能から派生したもので、ウェブサイトを静的HTMLとして瞬時に複製できます。

ギレルモ・ラウフ氏自身もそれを試し、結果は素晴らしかったと語った。

自分のウェブサイトを複製し、非常に正確にコピーしました。

次に、ギレルモ・ラウフが重要なポイントを発見しました。

HTML ファイルには、攻撃者がスクレイピングした日付「20240619000652144」が公開されていました。

分析してみると、結果は2024-06-19T00:06:52.144Zとなり、 3か月前になります。

これは、彼らがしばらくこの問題に取り組んできたことを示唆しており、複数の OpenAI 従業員を標的にしている可能性がある。

サーバースタックを詳しく見てみましょう。このウェブサイトは@cloudflareによってホストされているため、理論的にはオリジンサーバーの追跡が困難です。

しかし、404 エラー ページがトリガーされたとき、Guillermo Rauch は興味深い情報を受け取りました。

pache/2.4.52 (Ubuntu) distribution-⁠openai⁠.com のサーバー ポート 80

なぜ面白いのでしょうか？

ギレルモ・ラウフは、「ポート 80」には 2 つの意味があると説明しました。

1 つの可能性としては、Cloudflare への暗号化されたリバース トンネルを設定している (これは珍しいことです) か、逆に ${ip}:80 をソースとして直接使用しようとしている可能性があります。

問題は、この送信元 IP アドレスをどうやって見つけるかということです。

一般に考えられているのとは反対に、従来の CDN ではソース IP アドレスが真に保護されず、検索エンジンによって検出される可能性があります。

この手法では、ソースコード内で一意の文字列を見つけます。候補となる文字列がいくつかあります。例えば、CSS IDは次のようになります。

クローン化されたウェブサイトの疑いがあるものがここに見つかりましたが、...