Een kijkje in de OpenAI-factuurzwendel: misbruik van SendGrid en callback-phishing uitgelegd

Cybercriminelen zitten nooit stil en bedenken voortdurend nieuwe tactieken om misbruik te maken van vertrouwen, vertrouwdheid en menselijke instincten. INKY constateert nog steeds dat cybercriminelen gebruikmaken van cloud-e-mailplatforms en op spraak gebaseerde social engineering om beveiligingsmaatregelen te omzeilen. Een recent voorbeeld is een phishingcampagne waarbij honderden e-mails werden verstuurd vanuit een gehackt SendGrid-account dat gekoppeld was aan OpenAI, om frauduleuze facturen te versturen.

Bescherm uzelf tegen kwaadaardige e-mails met Kaseya Inky

Voorkom geavanceerde phishing-aanvallen en e-mailbedreigingen voordat ze gebruikers bereiken met INKY

Aan de slag

Er kwam een e-mail met een factuurthema binnen, zogenaamd afkomstig van OpenAI, van noreply@tm.openai.com via SendGrid. Omdat het bericht via een legitiem OpenAI SendGrid-account was verzonden, doorstond het de SPF-, DKIM- en DMARC-controles voor openai.com. Er werd beweerd dat een abonnementsbedrag van $763,99 was bevestigd en de ontvanger werd aangespoord om een ondersteuningsnummer te bellen om dit te betwisten. Het bericht bevatte geen schadelijke links of bijlagen. De enige oproep tot actie was een telefoonnummer. Door deze opzet kan de zwendel URL-filtergateways omzeilen, terwijl er misbruik wordt gemaakt van het vertrouwen dat gebruikers stellen in bekende merken en telefoongesprekken.

Fig. 1: De phishing-e-mail met een factuurthema## Misbruik van de SendGrid-infrastructuur

Legitieme platforms voor e-mailverzending zijn uitgegroeid tot krachtige hulpmiddelen voor cybercriminelen die zich willen vermommen als normale zakelijke communicatie.

De aantrekkingskracht van SendGrid op aanvallers

SendGrid wordt op grote schaal door bedrijven gebruikt voor het versturen van grote hoeveelheden transactionele en marketing-e-mails. Het biedt een hoge bezorgbaarheid en geavanceerde functies, zoals kliktracking en analyses.   Cybercriminelen maken echter misbruik van SendGrid-accounts om phishingcampagnes te lanceren, waarbij ze zich voordoen als SendGrid zelf en andere vertrouwde merken. De belofte van een bezorgingspercentage van 99% maakt het platform aantrekkelijk voor criminelen. Met een gehackt SendGrid-account kunnen ze vervalste e-mails versturen die de SPF/DKIM-controles doorstaan en voor ontvangers legitiem lijken.

Mogelijke inbreuk op het SendGrid-account van OpenAI

De phishing-e-mails in deze campagne maakten niet alleen misbruik van de naam van OpenAI – ze werden ook verzonden via een echt SendGrid-account dat was geconfigureerd op het domein openai.com. De berichten doorstonden de SPF-, DKIM- en DMARC-controles voor openai.com en bevatten SendGrid-specifieke headers, wat erop wijst dat de afzender geauthenticeerde toegang had tot de SendGrid-tenant van OpenAI.

Er zijn verschillende aannemelijke manieren waarop criminelen dergelijke toegang zouden kunnen hebben verkregen:

• Grootschalig kraken van wachtwoorden en overname van accounts: Twilio, het moederbedrijf van SendGrid, heeft toegegeven dat veel klantaccounts zijn gehackt en misbruikt voor het versturen van spam. KrebsOnSecurity heeft gemeld dat bij een ongewoon groot aantal klantaccounts van SendGrid de wachtwoorden zijn gekraakt en aan spammers zijn verkocht, waardoor criminelen phishing- en malwarecampagnes konden versturen via vertrouwde klantdomeinen. Zodra een SendGrid-account is gehackt, glippen de daaruit voortvloeiende e-mails ongemerkt door eenvoudige spamfilters heen, omdat ontvangers vertrouwen hebben in de infrastructuur van SendGrid.
• Zwarte markt voor SendGrid-inloggegevens: cybercriminelen verhandelen actief toegang tot gekaapte SendGrid-accounts. De Chief Security Officer van Twilio erkende dat het bedrijf een toename had gezien van gehackte accounts en dat meervoudige authenticatie (MFA) niet verplicht was. Onderzoekers merken op dat de markt voor deze accounts wordt aangewakkerd door het hergebruik van wachtwoorden: aanvallers richten zich op gebruikers die inloggegevens op verschillende websites hergebruiken en verkopen vervolgens werkende inloggegevens. Eén verkoper, opererend onder de naam „Kromatix“, adverteerde met meer dan 400 gehackte SendGrid-accounts, waarbij de prijs werd bepaald op basis van het maandelijkse e-mailvolume dat ze konden versturen. Deze gestolen accounts kunnen worden gebruikt om API-sleutels te genereren en phishing-e-mails met een hoge bezorgbaarheid massaal te versturen.
• Phishing en het verzamelen van inloggegevens: Aanvallers kunnen SendGrid-gebruikers rechtstreeks via phishing benaderen om hun inloggegevens te stelen. Omdat criminelen het gehackte account kunnen gebruiken om geauthenticeerde e-mails te versturen, worden de domeinen van de slachtoffers ongewild betrokken bij toekomstige aanvallen. Als een medewerker of zzp’er van OpenAI zijn of haar SendGrid-wachtwoord elders heeft hergebruikt, of als zijn of haar inloggegevens bij een ander beveiligingsincident zijn gestolen, kunnen aanvallers inloggen op het SendGrid-dashboard en een frauduleuze factuurcampagne opzetten.
• Gebrekkige of ontbrekende meervoudige authenticatie: Het management van Twilio gaf aan dat MFA optioneel was voor SendGrid-accounts en dat het bedrijf van plan was dit verplicht te stellen. Zonder MFA kunnen aanvallers accounts overnemen door simpelweg wachtwoorden te raden of te achterhalen. Het ontbreken van aanvullende verificatie vergroot het risico dat legitieme domeinen zoals openai.com worden misbruikt voor phishing.

Het is belangrijk om te benadrukken dat er geen officiële bevestiging is dat OpenAI zelf het slachtoffer is geworden van een inbreuk. Het feit dat het domein openai.com in deze phishing-e-mails voorkomt, betekent dat de aanvallers toegang hadden tot bepaalde SendGrid-inloggegevens die aan OpenAI waren gekoppeld. Of deze toegang het gevolg was van gestolen inloggegevens, hergebruik van wachtwoorden, een phishing-aanval op een medewerker of een gehackte externe leverancier, blijft onbekend.

Niettemin wijzen de wijdverbreide verkoop van gehackte SendGrid-accounts en de onzekerheid over de vraag of de inloggegevens via phishing zijn verkregen of dat SendGrid zelf is gehackt erop dat de OpenAI-factuurzwendel waarschijnlijk het gevolg was van account-overname in plaats van louter spoofing. Organisaties die SendGrid gebruiken, moeten dit incident beschouwen als een waarschuwing om MFA af te dwingen, API-sleutels regelmatig te vernieuwen en te letten op ongebruikelijke verzendpatronen.

Analyse van de koptekst van de factuur-e-mail van OpenAI

De malafide e-mail is verzonden vanaf noreply@tm.openai.com via SendGrid. Uit analyse van de header bleek dat de e-mail meerdere tussenstappen door de e-mailinfrastructuur van Microsoft had gemaakt voordat deze de ontvanger bereikte. Belangrijke bevindingen zijn onder meer:

• Verificatieresultaten: Het bericht is geslaagd voor de SPF-, DKIM- en DMARC-controles, omdat tm.openai.com het IP-adres van SendGrid (159.183.120.121) heeft geautoriseerd. Aanvallers maken gebruik van gehackte SendGrid-accounts om ervoor te zorgen dat deze gegevens overeenkomen.
• Received-headers: In één hop staat „Received: from MjAyMTY3MDY (onbekend) by geopod-ismtpd-15 (SG) with HTTP id …”, wat aangeeft dat de geopod-ismtpd-servers van SendGrid het bericht hebben gegenereerd. De aanwezigheid van „geopod‑ismtpd” en „(onbekend)” in de „Received”-headers is een veelvoorkomende aanwijzing dat de e-mail afkomstig is van SendGrid.
• X‑SG-velden: Het bericht bevat de headers X‑SG‑EID en X‑SG‑ID, die uniek zijn voor SendGrid. Hieruit blijkt dat het bericht via de API van SendGrid is verzonden en niet via een persoonlijke e-mailclient.
• Onderwerp en tekst: In het onderwerp stond „Abonnementsbedrag bevestigd: $763,99” en de tekst bevatte slechts één oproep tot actie: „Neem contact op via +1 (701) 638‑0848.” Er waren geen links opgenomen, waardoor URL-filters geen schadelijke domeinen konden identificeren. In de tekst werd gebruikgemaakt van OpenAI-branding en dringende bewoordingen om een gevoel van paniek en geloofwaardigheid op te wekken.

Door de combinatie van de bezorgbaarheid van SendGrid, cryptografische afstemming en het zich voordoen als een ander merk zijn dergelijke e-mails moeilijk te blokkeren door standaard e-mailbeveiligingsgateways.

Fig. 2: Analyse van de e-mailheader van de phishing-e-mail

Aanvalsketen: Callback-phishing/vishing

Callback-phishing, ook wel bekend als ‘telephone-oriented attack delivery’ (TOAD), is een zwendel die begint met een valse factuur of een valse kennisgeving over een abonnement. In deze e-mails wordt vaak beweerd dat het om kosten van bekende bedrijven gaat, en er staat een telefoonnummer in dat het slachtoffer moet bellen als de kosten niet zijn goedgekeurd. Het doel is om het slachtoffer het nummer te laten bellen in plaats van op een link te klikken. Eenmaal aan de telefoon doet de aanvaller zich voor als een medewerker van de klantenservice, vraagt hij om persoonlijke gegevens of geeft hij het slachtoffer de instructie om software voor ondersteuning op afstand te installeren. Omdat er geen schadelijke links of bijlagen bij zitten, kunnen dergelijke berichten traditionele e-mailfilters omzeilen.

Bij ‘callback’-oplichting wordt ingespeeld op een gevoel van urgentie: in de e-mail wordt de ontvanger aangespoord om te bellen om een hoge afschrijving te annuleren, waarna de oplichter om persoonlijke gegevens of toegang op afstand vraagt. Bij ‘callback’-phishing worden gebruikers misleid om een opgegeven nummer te bellen. De oplichter maakt vervolgens gebruik van social engineering om inloggegevens, financiële gegevens of toegang op afstand te verkrijgen. Deze methode verschilt van traditionele phishing doordat het gesprek via een telefoongesprek verloopt, waardoor het voor beveiligingstools moeilijker is om dit te monitoren.

Fig. 3: Phishingbericht met terugbelverzoek

Stapsgewijze toelichting in de zaak rond de factuur van OpenAI

• Eerste e-mail: Het slachtoffer ontvangt via SendGrid een bericht in de vorm van een factuur van noreply@tm.openai.com. Daarin wordt beweerd dat er een hoog bedrag ($763,99) in rekening is gebracht en wordt een telefoonnummer van de klantenservice vermeld. Omdat het bericht de SPF-, DKIM- en DMARC-controles doorstaat, lijkt het authentiek en ontwijkt het de e-mailfilters.
• Telefoongesprek: Omdat het slachtoffer denkt dat de afschrijving echt is, belt hij of zij het ondersteuningsnummer. Een oplichter die zich voordoet als een medewerker van OpenAI neemt de telefoon op. Hij of zij kan vragen naar de naam, het e-mailadres of andere identificatiegegevens van het slachtoffer om „het account op te zoeken“.
• Hulp op afstand: De oplichter beweert dat hij de afschrijving moet terugdraaien of een terugbetaling moet uitvoeren, en geeft het slachtoffer de instructie om software voor hulp op afstand te installeren, waardoor hij toegang krijgt tot het apparaat van het slachtoffer.
• Compromis: Via toegang op afstand kan de aanvaller gevoelige gegevens verzamelen (bankgegevens, persoonlijke identificatienummers) of het slachtoffer door valse terugbetalingsprocedures leiden die tot daadwerkelijk financieel verlies leiden. In eerdere campagnes werd deze techniek gebruikt om malware te installeren, waardoor toegang op afstand werd verkregen en dit soms leidde tot ransomware-aanvallen. Aanvallers kunnen het slachtoffer ook opdragen om in te loggen bij zijn of haar bank om het saldo te „controleren”, waarna ze stilletjes geld overmaken.
• Acties na de inbreuk: Aanvallers kunnen zich op de computer van het slachtoffer nestelen, extra malware installeren, gegevens stelen of doordringen tot andere systemen. Omdat het slachtoffer zelf het gesprek heeft geïnitieerd, blijft hij of zij mogelijk onbewust van het feit dat er iets kwaadaardigs is gebeurd.

Gevolgen van callback-phishing

Callback-phishing kan ernstige gevolgen hebben. Zodra er op afstand toegang is verleend, kunnen aanvallers het volgende doen:

• Identiteitsdiefstal en financiële fraude: Met hulpmiddelen voor ondersteuning op afstand kunnen criminelen bankgegevens inzien en stelen, overschrijvingen initiëren of leningen aanvragen. Netcraft merkt op dat criminelen gehackte SendGrid-accounts hebben gebruikt om phishingaanvallen uit te voeren waarbij ze zich voordeden als verschillende bedrijven, wat de omvang van dergelijk misbruik onderstreept. Nadat er toegang op afstand is verkregen, kunnen aanvallers het financiële dashboard van het slachtoffer manipuleren en gegevens stelen.
• Installatie van malware en ransomware: Slachtoffers worden misleid om trojans voor toegang op afstand te downloaden, die vervolgens worden gebruikt om ransomware te installeren. Aanvallers kunnen ook keyloggers of andere spyware installeren.
• Inbreuk op het netwerk en laterale bewegingen: Zodra criminelen toegang hebben tot een eindpunt, kunnen ze zich lateraal binnen een organisatie verplaatsen, bedrijfsgegevens stelen of nog meer phishing-e-mails versturen (laterale phishing).

Beste praktijken en aanbevelingen

Om het risico op phishing-aanvallen via misbruikte SendGrid-callbacks te beperken:

• Controleer via officiële kanalen: bel geen telefoonnummers die in ongevraagde e-mails worden vermeld. Als u een factuur of een bericht over een abonnement ontvangt dat verdacht lijkt, neem dan rechtstreeks contact op met het bedrijf via een nummer dat op hun officiële website of in uw accountportaal staat vermeld.
• Verleen nooit toegang op afstand aan onbekende bellers: Betrouwbare bedrijven zullen nooit om toegang op afstand vragen om terugbetalingen te verwerken of abonnementen op te zeggen. Installeer nooit software voor ondersteuning op afstand, tenzij u zelf een ondersteuningsverzoek hebt ingediend bij een betrouwbare aanbieder.
• Gebruikers voorlichten: Train medewerkers om factuurfraude te herkennen.
• Meld en isoleer: Als u vermoedt dat er sprake is van een phishingpoging via een terugbelverzoek, meld de e-mail dan aan uw beveiligingsteam en isoleer alle apparaten waarop software voor ondersteuning op afstand is geïnstalleerd. Controleer uw accounts op ongeautoriseerde transacties en wijzig uw wachtwoorden.
• Beveilig SendGrid-accounts: Organisaties die SendGrid gebruiken, moeten meervoudige authenticatie inschakelen, de verzendactiviteiten in de gaten houden en gecompromitteerde API-sleutels intrekken. Netcraft waarschuwt dat criminelen gecompromitteerde SendGrid-accounts gebruiken om geauthenticeerde phishing-e-mails te versturen.

Afsluitende gedachten

De OpenAI-factuurzwendel laat zien hoe aanvallers gebruikmaken van legitieme cloud-e-maildiensten en op spraak gebaseerde social engineering om beveiligingsmaatregelen te omzeilen. Door via SendGrid een e-mail met een factuurthema te versturen, zorgden de criminelen ervoor dat het bericht de SPF/DKIM/DMARC-controles doorstond en betrouwbaar overkwam. Doordat er geen schadelijke links in de e-mail stonden, kon deze de URL-filters omzeilen, terwijl de dringende oproep tot actie de ontvanger ertoe aanzette contact op te nemen met een oplichter, die vervolgens toegang op afstand probeerde te verkrijgen.

Callback-phishing maakt deel uit van een bredere trend waarbij aanvallers vertrouwde platforms en tools voor ondersteuning op afstand misbruiken. Geavanceerde e-mailbeveiliging, waakzaamheid, voorlichting van gebruikers en grondige verificatie via officiële kanalen blijven de meest effectieve verdedigingsmiddelen tegen deze steeds veranderende dreiging.