if ( !emtpy($headline_subheadline ) ) : ?>
Une nouvelle campagne de phishing déguise le vol d’identifiants en invitation à un événement privé d’IA, en utilisant la marque GoTo Webinar, une page d’inscription de style Zoom et des usurpations de connexion convaincantes de Google et Microsoft.
endif; ?>
Tout le monde veut savoir ce que fait Anthropic, et les pirates informatiques exploitent allègrement ce fait.
Une nouvelle étude de la société de cybersécurité Cofense décrit une campagne de phishing qui attire les utilisateurs professionnels trop enthousiastes en leur faisant croire qu’ils reçoivent une invitation à un aperçu Anthropic privé sur invitation uniquement.
En réalité, des acteurs malveillants tentent de voler les identifiants de connexion de Google et de Microsoft, en exploitant pour ce faire la marque du logiciel de visioconférence GoTo Webinar.
« Cela vend de l’exclusivité », a déclaré Frank Dickson de Dickson Research. « La peur de rater quelque chose est le plus vieux leurre du livre. »
Chaque organisation essaie de déterminer la place de l’IA, a-t-il noté, et un aperçu privé de la dernière technologie d’Anthropic est exactement l’invitation qu’un employé ambitieux voudrait accepter. « Les attaquants n’ont pas choisi Anthropic au hasard », a-t-il déclaré. « Ils ont choisi ce qui est le plus en vogue dans le cycle de l’actualité. Le mois prochain, ce sera peut-être un autre nom. »
Comment les attaquants attirent les utilisateurs avec des invitations Anthropic usurpées
GoTo Webinar est une plate-forme largement utilisée et ses e-mails d’invitation à des réunions ne sont généralement pas bloqués par les outils de sécurité. Les chercheurs de Cofense ont découvert que les attaquants exploitaient ce fait en envoyant ce qui semble être un e-mail d’invitation provenant d’un expéditeur légitime ; lorsque les utilisateurs cliquent sur le lien pour s’inscrire au faux webinaire, ils sont plutôt envoyés vers une URL compromise.
L’e-mail propose ce que les chercheurs appellent une offre « alléchante » : « Cette session virtuelle privée, sur invitation uniquement, rassemble un groupe sélectionné de participants pour une conversation ciblée sur les systèmes d’IA, la recherche et l’avenir des modèles pionniers », peut-on lire.
Un raccourcisseur d’URL contourne les outils de sécurité de messagerie et les attaquants utilisent des sous-domaines et des tirets (-) pour masquer l’URL malveillante. Le lien lui-même semble avoir été généré par Zapier, une entreprise légitime dont les outils sont conçus pour fonctionner avec Claude, ChatGPT et d’autres IA compatibles avec Model Context Protocol (MCP).
L’adresse de l’expéditeur de l’e-mail semble être customercare@gotowebinar(.)com (le site Web de GoTo Webinar est en fait www.goto.com). Le texte ne contient aucune faute d’orthographe évidente et l’e-mail contient la marque GoTo Webinar. Cependant, ont noté les chercheurs, le nom de l’expéditeur de l’e-mail est « Austin de nthropic », le « A » étant manquant.
« Même s’il s’agit d’une petite faute d’orthographe, cela reste un signe d’avertissement utile », ont-ils souligné.
Si vous cliquez sur le lien de phishing, une page Cloudflare CAPTCHA apparaît et doit être complétée avant que l’invite de connexion ne soit présentée. Il s’agit du premier des deux points de contrôle permettant d’empêcher les outils de sécurité d’analyser les sites Web des attaquants.
« Étant donné que les CAPTCHA sont courants sur les sites Web légitimes, les destinataires du phishing peuvent croire que tout va bien et que tout est sécurisé », ont expliqué les chercheurs.
Une fois le CAPTCHA terminé, les victimes sont dirigées vers une page d’invitation d’usurpation d’identité Zoom. S’ils souhaitent « assister » au faux événement, ils doivent s’inscrire et sont invités à saisir leur adresse e-mail professionnelle. Lorsqu’ils cliquent sur « Continuer avec Google » ou « Continuer avec Microsoft », une autre page CAPTCHA apparaît.
Les deux pages CAPTCHA semblent efficaces pour détecter et bloquer l’analyse effectuée par les services VPN, les scanners, les navigateurs Tor et d’autres outils de sécurité, ont noté les chercheurs. De plus, comme il existe deux pages CAPTCHA distinctes, ces outils risquent de ne pas être en mesure de suivre chaque étape de l’attaque.
« Un CAPTCHA a été conçu pour empêcher les robots d’entrer », a souligné Dickson. « Ici, cela empêche les scanners de sécurité d’entrer et laisse entrer les victimes. »
Les fausses pages de connexion de Google et Microsoft diffèrent cependant un peu. La page Google usurpée ne capture pas les mots de passe, mais uniquement les noms d’utilisateur, ce qui, selon les chercheurs, est dû à une mauvaise configuration ; la page Microsoft usurpée collecte à la fois les noms d’utilisateur et les mots de passe.
Mais les deux sont « remarquablement similaires » à leurs pages légitimes respectives, et leurs sous-domaines sont « délicats ». La fausse URL de Google est goo(.)gle-access-eventregister(.)icu, tandis que l’URL de Microsoft imite fidèlement les vrais domaines Office et Sharepoint, en utilisant office(.)com-access-sharepoint(.)com.
Une fois les informations d’identification soumises, aucune connexion ne propose de message de confirmation et ne redirige pas vers les pages des fournisseurs légitimes. Mais à ce stade, les attaquants ont déjà réussi à exfiltrer les informations d’identification. Cela signifie qu’ils pourraient compromettre un compte, accéder aux documents sensibles de ce compte ou l’utiliser comme vecteur d’attaque initial pour infiltrer davantage l’entreprise, ont expliqué les chercheurs.
Ils ont conseillé de vérifier si la marque d’un message reste cohérente depuis l’e-mail jusqu’à une page de connexion, de rechercher de petites incohérences telles que des fautes d’orthographe mineures et de rappeler aux employés que l’URL et le domaine déterminent si une page de connexion est légitime.
« Même si les logos et la conception de la page peuvent sembler corrects, les acteurs de la menace sont doués pour le mimétisme, surtout maintenant avec l’utilisation de l’IA », ont noté les chercheurs.
Ce n’est pas la faute des employés
L’habitude de l’industrie de l’IA de procéder à des avant-premières fermées et à des listes d’attente n’aide pas dans ces situations, a noté Dickson ; cela entraîne les gens à s’attendre exactement à ce genre d’invitation.
« Commencez par les fissures laissées visibles par les attaquants », a-t-il conseillé : l’expéditeur provenait soi-disant de « nthropic », l’e-mail portait la marque GoTo Webinar, l’inscription usurpait une page de réunion Zoom et les pages de connexion provenaient de Google ou de Microsoft. Cela fait trois marques en trois clics, a-t-il noté.
Les faux domaines de connexion, comme office(.)com-access-sharepoint(.)com, sont conçus pour être survolés et non lus, a-t-il souligné. Et même si la page Google n’a collecté que les noms d’utilisateur, ce qui peut être une erreur de configuration, les acteurs malveillants à l’origine de cette campagne corrigeront probablement ce problème.
« La formation aide, mais je ne pencherais pas la défense contre un employé qui louche sur une URL à 16 h 45 un vendredi », a déclaré Dickson ; la valeur d’un mot de passe volé est une décision de la direction et non un test auquel l’employé échoue.
L’authentification multifacteur (MFA) résistante au phishing, telle que les mots de passe, rend un mot de passe volé beaucoup moins précieux, a-t-il noté. Mais les entreprises ont en fin de compte une courte liste de choses à faire pour leur permettre de se défendre contre ce type d’arnaque, a déclaré Dickson :
- Vérifiez toute invitation à un aperçu de l’IA via une équipe de compte ou un contact connu.
- Considérez l’image de marque qui passe de l’e-mail à la page de réunion en passant par la page de connexion comme un signal d’alarme.
- Déployez une MFA résistante au phishing. Si quelqu’un a saisi ses informations d’identification sur l’une de ces pages de connexion de phishing, réinitialisez-les et examinez l’activité de ce compte.
« En résumé : cette campagne utilise des outils fiables pour vaincre les défenses fondées sur la confiance », a déclaré Dickson. « L’employé ne doit pas être la dernière ligne de défense. »
