{"id":27717,"date":"2026-06-28T14:06:31","date_gmt":"2026-06-28T12:06:31","guid":{"rendered":"https:\/\/itbranschen.com\/?p=27717"},"modified":"2026-06-28T14:55:24","modified_gmt":"2026-06-28T12:55:24","slug":"cybersikkerhedsfirmaer-falske-openai-invitationer","status":"publish","type":"post","link":"https:\/\/itbranschen.com\/da\/cybersakerhetsforetag-bedragliga-openai-inbjudningar\/","title":{"rendered":"Cybersikkerhedsfirmaer ramt af falske OpenAI-invitationer"},"content":{"rendered":"

Cybersikkerhedsfirmaer er blevet m\u00e5l for en ny type social engineering-angreb, hvor angribere opretter falske OpenAI-organisationer, der foregiver at repr\u00e6sentere velkendte virksomheder. Ved at sende legitime invitationer via OpenAIs egen e-mailinfrastruktur fors\u00f8ger angriberne at narre medarbejdere til at deltage i falske ChatGPT-arbejdsomr\u00e5der, hvor f\u00f8lsomme virksomhedsoplysninger senere kan indsamles.<\/strong><\/p>\n\n\n\n

Sikkerhedsfirmaet Push Security opdagede kampagnen, som har f\u00e5et navnet Forgiftet lejer<\/strong>, efter at flere medarbejdere modtog invitationer til at blive en del af en OpenAI-organisation kaldet \u201c"Push Security Inc."\u201d<\/strong>. Invitationerne blev sendt fra OpenAIs officielle afsenderadresse. noreply@tm.openai.com<\/strong><\/a>, hvilket gjorde dem stort set umulige at skelne fra rigtige organisatoriske invitationer.<\/p>\n\n\n\n

\"Invitationsmail<\/figure>\n\n\n\n

Det viste sig imidlertid, at organisationen ikke var blevet oprettet af Push Security, men af en angriber, der havde registreret ChatGPT-arbejdsomr\u00e5det med private Gmail-adresser.<\/p>\n\n\n\n

OpenAIs egne e-mails bliver udnyttet<\/h2>\n\n\n\n

Et af de mest bem\u00e6rkelsesv\u00e6rdige aspekter ved kampagnen er, at invitationerne sendes fra OpenAIs egne servere. Fordi e-mailsene best\u00e5r standardgodkendelsestjek som SPF, DKIM og DMARC, fremst\u00e5r de fuldst\u00e6ndig legitime og ligner de invitationer, som virksomheder typisk sender, n\u00e5r de inviterer medarbejdere til et delt ChatGPT-arbejdsomr\u00e5de.<\/p>\n\n\n\n

OpenAI<\/a> viser en advarsel om, at afsenderens e-mailadresse ikke matcher modtagerens firmas dom\u00e6ne, men beskeden vises kun som en kort linje i invitationen og er derfor i risiko for at blive overset.<\/p>\n\n\n\n

Push Security oplyser ogs\u00e5, at flere andre kunder inden for cybersikkerheds- og teknologisektoren har rapporteret, at deres medarbejdere har modtaget lignende invitationer, hvilket indikerer, at kampagnen er bredere end et enkelt angreb.<\/p>\n\n\n\n

M\u00e5lrettede angreb mod udvalgte medarbejdere<\/h2>\n\n\n\n

If\u00f8lge Push Security<\/a><\/strong> Invitationerne var m\u00e5lrettet mod specifikke personer ved hj\u00e6lp af deres arbejdsrelaterede e-mailadresser, hvilket tyder p\u00e5, at angriberne f\u00f8rst havde kortlagt organisationerne og identificeret relevante medarbejdere, inden de lancerede kampagnen.<\/p>\n\n\n\n

\""Bekr\u00e6ftelsessiden<\/figure>\n\n\n\n

At efterforske angrebet, accepterede Lukas Jennings<\/a>, Vicedirekt\u00f8r for forskning og udvikling hos Push Security<\/strong>, en af invitationerne.<\/p>\n\n\n\n

Da han tiltr\u00e5dte organisationen, opdagede han, at den indeholdt en enkelt angriberkontrolleret konto med en Gmail-adresse, der angiveligt tilh\u00f8rte virksomhedens administrerende direkt\u00f8r, Adam Bateman<\/strong>.<\/p>\n\n\n\n

\"Indstillingssk\u00e6rmen<\/figure>\n\n\n\n

Derudover havde alle inviterede brugere f\u00e5et administratorrettigheder i organisationen, hvilket gav dem fuld indsigt i det falske arbejdsomr\u00e5de, hvor de kunne se andre ventende invitationer og bekr\u00e6fte, at ingen af de ber\u00f8rte medarbejdere endnu var tilmeldt.<\/p>\n\n\n\n

\"Medlemsside,<\/figure>\n\n\n\n

Forskerne opdagede ogs\u00e5, at angriberne allerede havde knyttet et Visa-kreditkort til organisationens faktureringskonto. If\u00f8lge Push Security kan dette v\u00e6re gjort for at \u00f8ge trov\u00e6rdigheden og give inviterede brugere adgang til premium-funktioner uden at v\u00e6kke mistanke.<\/p>\n\n\n\n

M\u00e5let menes at v\u00e6re at indsamle f\u00f8lsomme virksomhedsoplysninger<\/h2>\n\n\n\n

Den falske ChatGPT<\/a><\/strong>Organisationen indeholdt ingen tidligere projekter eller samtaler. Push Security mener derfor, at angribernes m\u00e5l var at f\u00e5 medarbejdere til at begynde at bruge det falske arbejdsomr\u00e5de som virksomhedens officielle ChatGPT-milj\u00f8.<\/p>\n\n\n\n

Hvis brugerne begynder at arbejde for den svigagtige organisation, kan angribere f\u00e5 adgang til store m\u00e6ngder f\u00f8lsomme oplysninger, der f\u00f8res ind i AI-tjenesten, s\u00e5som:<\/p>\n\n\n\n