TL;DR: een betaalde Google-advertentie op het echte chatgpt.com leidt naar een gedeelde ChatGPT-chat met installatie-instructies. Wie het commando in Terminal plakt, installeert MacSync Stealer: keychain, browserwachtwoorden, ssh-sleutels en cloud-tokens weg. Elke controle die je je mensen hebt aangeleerd — domein, slotje, officiële site — slaagt hier gewoon. Je verdediging zit dus niet in herkennen, maar in één afspraak over plakken.
De keten is op 9 augustus met screenshots vastgelegd door onderzoeker Hussein Daher, en Zscaler ThreatLabz beschreef in juli dezelfde aanval via gedeelde Claude-chats. Zoekterm “codex macbook download”, advertentie bovenaan, weergegeven domein chatgpt.com, landingspagina een gedeelde chat van het type chatgpt.com/s/t_…. Daarin: open Terminal, plak dit. Het commando verbergt zijn doeladres in een base64-string die naar een bekend distributiedomein voor MacSync Stealer wijst.
Waarom dit jouw awarenessprogramma raakt
Loop je eigen lesmateriaal er even langs. Bij vrijwel elke organisatie staat er een variant van deze vier regels in:
- Controleer het domein van de afzender of de link.
- Let op het slotje en het certificaat.
- Download software alleen van de officiële website van de leverancier.
- Let op taalfouten en rare opmaak.
Alle vier slagen hier. Het domein is chatgpt.com. Het certificaat is geldig, want het ís OpenAI. De pagina staat op de officiële website. De tekst is door een taalmodel geschreven en leest vlekkeloos.
Dat is geen detail. Dat betekent dat een medewerker die jouw training met een 10 heeft afgesloten, precies volgens instructie handelt en tóch besmet raakt. Als je verdediging leunt op herkennen, heb je hier niets. En dat is een ander gesprek dan “we moeten meer trainen”.
Wie dit binnenhaalt is niet je gebruikelijke risicogroep
Bij factuurfraude en CEO-fraude kijk je naar finance en directiesecretariaat. Bij deze aanval is dat anders, en dat maakt hem duurder.
De zoekterm is “codex macbook download”. Wie zoekt daarop? Ontwikkelaars. Mensen met een Terminal die ze dagelijks openen, voor wie een installatiecommando plakken volstrekt normaal werk is. En precies op die machines staat wat de malware zoekt: ~/.ssh, ~/.aws, ~/.kube, tokens, shell-geschiedenis, .gitconfig.
Eén ontwikkelaarslaptop levert dus geen enkele buitgemaakte inbox op, maar toegang tot je productieomgeving. Dat is dezelfde ongelijkheid als bij adminrechten: het aantal mensen dat het kan overkomen is klein, de schade per geval is enorm.
Bijkomend probleem: dit is de groep die awarenesstraining doorgaans het minst serieus neemt, omdat de voorbeelden gaan over nepfacturen en WhatsApp-oplichting. “Dat is voor de rest van het bedrijf.” Deze aanval is voor hen gemaakt.
De afspraak die je vandaag kunt maken
Herkennen werkt hier niet, dus verplaats de verdediging naar gedrag. Eén regel, kort genoeg om te onthouden en hard genoeg om op terug te vallen:
We plakken geen commando in een terminal dat we niet zelf uit de officiële documentatie hebben gehaald.
Niet uit een advertentie. Niet uit een gedeelde AI-chat. Niet uit een supportpagina die bovenaan Google stond. Niet uit een Slack-bericht van een collega die het “ergens vond”. Wel: van de documentatiepagina van de leverancier, waar je zelf naartoe genavigeerd bent.
Daar horen twee praktische dingen bij.
Leer mensen wat ze in dat commando moeten zien. Een base64-blok betekent dat het doeladres met opzet onleesbaar is gemaakt. Een | zsh of | bash aan het eind betekent dat wat er ook binnenkomt, direct wordt uitgevoerd. Beide zijn op zichzelf al reden om te stoppen. En een geruststellende URL vooraan in een echo doet helemaal niets — die staat er voor het oog.
Zorg dat melden makkelijker is dan zwijgen. Iemand die dit plakt, weet binnen een minuut dat het fout zat. Wat er dan gebeurt bepaalt de schade: meldt hij het meteen, dan trek je sleutels in voordat ze gebruikt worden. Schaamt hij zich een middag, dan niet. Waarom dat het cijfer is waar je op moet sturen, staat in wat klikratio écht zegt over je medewerkers.
Wat je in je eigen omgeving kunt nakijken
Vier dingen die geen project vragen:
- Zoek in je logs naar uitgaand verkeer vanaf Macs naar onbekende domeinen met een
/curl/-pad. Dat is de vorm van de eerste stap. - Laat mensen hun
~/.zshrccontroleren op een toegevoegde curl-regel. Zo nestelt deze malware zich: hij draait opnieuw bij elke nieuwe Terminal. - Kijk of je ontwikkelaars langlopende cloud-tokens op hun laptop hebben staan. Kortlevende tokens verkleinen het raam waarin een gestolen sleutel nog iets waard is.
- Neem één regel op in je onboarding voor technische rollen. Juist daar is “plakken uit een gevonden pagina” ingesleten gewoonte.
En als iemand het al geplakt heeft: apparaat van het netwerk, wachtwoorden wijzigen vanaf een schoon toestel, en alle sleutels en tokens intrekken die op die machine stonden. Niet alleen de wachtwoorden — juist de sleutels.
Waarom dit niet bij dit ene geval blijft
Zet de Claude-variant van juni en de ChatGPT-variant van augustus naast elkaar en je ziet geen incident maar een werkwijze. De ingrediënten zijn een AI-platform met een deelfunctie, een populaire desktop-app om als lokaas te gebruiken, en een advertentiebudget. Die drie zijn overal beschikbaar.
Wat er structureel verschuift is dit: een domein zei vroeger iets over wie de tekst geschreven had. Bij een platform dat gebruikerscontent op zijn eigen domein serveert, zegt het domein alleen nog waar de tekst staat. Dat is dezelfde verschuiving die we eerder zagen bij de nep-browserupdate, alleen nu met een merk dat je mensen dagelijks vertrouwen.
Praktisch betekent dat: de vraag “is dit de echte site” is uitgewerkt als eerste controle. De vraag die overblijft is “heb ik zelf de weg hiernaartoe gekozen”. Een advertentie hebben je mensen niet gekozen — die is aan ze verkocht.
Bronnen: Hussein Daher (WebImmunify), 9 augustus 2026 en Zscaler ThreatLabz, 15 juli 2026.
Rik Hoogland
Rik begeleidde jarenlang phishing-simulaties en awareness-programma's bij Nederlandse organisaties. Op Humanfirewall.nl legt hij uit hoe oplichters mensen bespelen en hoe je daar als team tegen bestand raakt. Stel Rik je vraag.
Zelf een situatie die niet vertrouwd voelt?
Beschrijf wat er gebeurde of waar je over twijfelt, dan denkt Rik mee over de juiste reactie.