Nhóm gián điệp nghi liên quan Trung Quốc giả mạo lãnh đạo AI để lừa đảo phishing
"Proofpoint reported that the China-aligned TA419 espionage group ran credential-phishing campaigns in July 2026 by impersonating AI policy figures, including a senior Anthropic employee and former White House officials, to target AI policy experts at US universities, think tanks, and law firms. The phishing chain used attacker-controlled domains, a Cloudflare Turnstile check, and an attacker-in-the-middle page to steal Microsoft 365/Entra ID credentials and session cookies; the recommended mitigation is phishing-resistant, origin-bound authentication such as passkeys."
Rủi ro cao đối với tài khoản Microsoft 365/Entra ID, có thể dẫn đến chiếm đoạt phiên đăng nhập và truy cập trái phép vào dữ liệu nhạy cảm. Mô hình AitM làm tăng khả năng vượt qua bảo vệ mật khẩu truyền thống.
Có thể gây gián đoạn cho nhóm nghiên cứu/chính sách, làm lộ trao đổi nội bộ và ảnh hưởng đến uy tín tổ chức. Việc xử lý sự cố và rà soát tài khoản có thể tạo thêm chi phí vận hành.
Theo Proofpoint, nhóm đe dọa TA419 được cho là liên kết với Trung Quốc đã triển khai các chiến dịch credential phishing trong tháng 7/2026, nhắm vào chuyên gia chính sách AI tại đại học, think tank và hãng luật ở Mỹ. Kẻ tấn công giả mạo nhiều nhân vật có ảnh hưởng, gồm một nhân sự cấp cao của Anthropic và cựu quan chức Nhà Trắng, để gửi thư mời tham gia một ủy ban cố vấn AI hoặc đóng góp cho báo cáo về kiểm soát xuất khẩu AI và chuỗi cung ứng.
Chuỗi tấn công sử dụng các miền do kẻ tấn công kiểm soát, qua bước kiểm tra Cloudflare Turnstile, sau đó chuyển hướng nạn nhân đến trang attacker-in-the-middle (AitM) nhằm đánh cắp thông tin đăng nhập Microsoft 365/Entra ID và session cookie. Proofpoint cho biết chiến dịch này dùng các miền như driftshare[.]co và globalfileshareplatform[.]com.
Khuyến nghị kỹ thuật là ưu tiên xác thực chống phishing và origin-bound authentication như passkeys, đồng thời rà soát cảnh báo đăng nhập, miền giả mạo và chính sách truy cập với các tài khoản có quyền cao. Các tổ chức trong phạm vi mục tiêu nên tăng cường đào tạo nhận diện email mạo danh và giám sát dấu hiệu chiếm đoạt phiên đăng nhập.