De fausses pages d’événements OpenAI et SpaceX volent des comptes Microsoft et Google

Push Security indique que les attaquants utilisent des pages d’inscription à des événements convaincantes, offrant un accès gratuit à des services d’IA premium et d’autres récompenses. Les visiteurs sont informés qu’ils doivent se connecter avec leurs comptes professionnels pour s’inscrire et réclamer les récompenses. Les pages intègrent deux plateformes de phishing-as-a-service, Kali365 et VoidProxy. Kali365 exécute un phishing par code d’appareil Microsoft, tandis que VoidProxy agit comme un proxy inverse de type adversary-in-the-middle qui intercepte les connexions Google et vole les cookies de session d’authentification. L’attaque visant Microsoft utilise aussi VoidProxy comme seconde étape.

Les pages de phishing usurpent l’identité d’événements organisés par OpenAI, SpaceX et Anthropic. L’une annonce un événement OpenAI offrant trois mois de ChatGPT Pro, une autre un événement privé SpaceX le 12 novembre offrant soit trois mois de Grok Heavy, soit une « action SpaceX ». Push Security affirme avoir détecté et bloqué des visites vers ces pages malveillantes fin octobre 2026. Les chercheurs estiment que les mêmes acteurs de la menace exploitent les deux kits de phishing sur mesure, ZoomMock et MSDRoot, qui utilisent une infrastructure partagée et le même ciblage.

Pourquoi c’est important Les employés peuvent considérer comme banales des invitations à des événements qui demandent une connexion avec des identifiants d’entreprise ; ces leurres peuvent donc atteindre des comptes qui donnent accès à la messagerie et aux ressources cloud. Les demandes de code d’appareil devraient être considérées comme suspectes lorsqu’elles proviennent de sites web inconnus, et les organisations qui n’ont pas besoin de l’authentification par code d’appareil peuvent la restreindre. Une MFA résistante au phishing, comme les clés de sécurité FIDO2, réduit le risque de détournement de session. Les enquêteurs devraient rechercher des autorisations par code d’appareil et des cookies de session inhabituels liés à des comptes Microsoft et Google.