Un nouveau rapport de cybersécurité de Cofense détaille une campagne de hameçonnage sophistiquée ciblant les utilisateurs d'entreprise en exploitant leur intérêt pour l'intelligence artificielle. Les attaquants envoient des courriels qui semblent être des invitations exclusives à une prévisualisation privée de la dernière technologie d'Anthropic, capitalisant sur la forte demande d'accès aux modèles d'IA de pointe. Bien que les courriels promettent une conversation ciblée sur les systèmes et la recherche en IA, l'objectif réel est de récolter les identifiants de connexion pour les comptes Google et Microsoft.
La campagne exploite le branding de GoTo Webinar, une plateforme de téléconférence vidéo largement utilisée dont les invitations de réunion légitimes ne sont souvent pas bloquées par les outils de sécurité. Les courriels frauduleux semblent provenir d'une adresse ressemblant à customercare@gotowebinar[.]com et comportent des logos officiels de GoTo Webinar. Cependant, les chercheurs ont noté une incohérence subtile mais critique : le nom de l'expéditeur est indiqué comme « Austin from nthropic », avec la lettre initiale « A » manquante dans Anthropic. Malgré cette faute d'orthographe, le texte ne contient aucune autre erreur évidente, rendant la tromperie plus convaincante.
Lorsque les destinataires cliquent sur le lien pour s'inscrire au faux webinaire, ils sont dirigés à travers une série d'étapes trompeuses conçues pour échapper aux scanners de sécurité. Les attaquants utilisent des raccourcisseurs d'URL et des sous-domaines avec des tirets pour masquer les adresses malveillantes, telles que goo[.]gle-access-eventregister[.]icu pour Google et office[.]com-access-sharepoint[.]com pour Microsoft. Ces liens mènent initialement à une page CAPTCHA de Cloudflare, qui sert de point de contrôle pour bloquer les outils de sécurité automatisés tout en apparaissant légitime aux utilisateurs humains. Après avoir complété le premier CAPTCHA, les victimes sont dirigées vers une page contrefaisant une invitation de réunion Zoom, où elles doivent entrer leur adresse e-mail professionnelle.
Après avoir sélectionné des options comme « Continuer avec Google » ou « Continuer avec Microsoft », un deuxième CAPTCHA apparaît avant de présenter la demande de connexion finale. Ce mécanisme à double CAPTCHA empêche efficacement l'analyse par les services VPN, les navigateurs Tor et d'autres scanners de sécurité. La page Microsoft contrefaite capture avec succès à la fois les noms d'utilisateur et les mots de passe, tandis que la page Google factice ne collecte actuellement que les noms d'utilisateur, probablement en raison d'une mauvaise configuration que les attaquants pourraient corriger dans des itérations futures. Une fois les identifiants soumis, aucun message de confirmation ni redirection vers les pages légitimes des fournisseurs n'apparaît ; à la place, les données sont immédiatement exfiltrées par les acteurs malveillants.
Frank Dickson de Dickson Research a souligné que les attaquants n'ont pas choisi Anthropic au hasard, mais ont sélectionné le sujet le plus brûlant du cycle d'actualité actuel pour exploiter la « peur de rater quelque chose ». Il a noté que la dépendance de l'industrie de l'IA envers les prévisualisations à accès restreint et les listes d'attente entraîne involontairement les employés à s'attendre à de telles invitations exclusives. La campagne démontre comment les acteurs malveillants utilisent des outils de confiance et le mimétisme pour vaincre les défenses basées sur la confiance, combinant souvent trois marques différentes – GoTo Webinar, Zoom, et Google ou Microsoft – au sein d'une seule chaîne d'attaque.
Les experts conseillent que se fier uniquement à la vigilance des employés est insuffisant, surtout lorsque les attaquants utilisent l'IA pour créer des répliques très convaincantes de pages légitimes. Les organisations sont exhortées à vérifier toute invitation de prévisualisation d'IA auprès de contacts connus ou d'équipes de comptes et à considérer un branding incohérent entre les courriels, les pages de réunion et les écrans de connexion comme un signal d'alarme majeur. De plus, le déploiement d'une authentification multifacteur résistante au hameçonnage, telle que les clés de passage (passkeys), est recommandé pour rendre les mots de passe volés moins précieux. Si des identifiants sont compromis, la réinitialisation immédiate des mots de passe et l'examen des activités pour les comptes affectés sont des étapes essentielles pour atténuer toute infiltration supplémentaire.
Sources: Computerworld.