Des chercheurs de Kaspersky ont découvert une campagne d’arnaque sophistiquée qui profite des fonctionnalités de collaboration d’OpenAI pour tromper des victimes et les inciter à interagir avec des emails frauduleux ou des liens malveillants.
La technique consiste à exploiter la fonction d’invitation d’équipe (Team Invitation) d’OpenAI. Les cybercriminels créent un compte OpenAI en mettant un texte trompeur dans l’identifiant de l’organisation lors de l’inscription, puis ils utilisent la fonction d’invitation pour envoyer des faux messages ciblés avec des liens ou des numéros de téléphone qui semblent légitimes.
En utilisant cette approche, les attaquants peuvent atteindre des adresses email spécifiques et présenter leur message comme si une organisation ou un contact légitime avait sollicité une interaction. Cela peut encourager des utilisateurs à cliquer sur un lien, fournir des informations sensibles ou effectuer des actions qui compromettent leur sécurité.
Pourquoi cette arnaque est dangereuse
Les cybercriminels tirent parti de la confiance associée aux outils de collaboration et au nom de grandes plateformes pour masquer leurs intentions malveillantes. De telles campagnes peuvent permettre de voler des identifiants, accéder à des comptes professionnels, déclencher des attaques de phishing ou installer des logiciels malveillants ultérieurement.
Ces techniques d’ingénierie sociale exploitent la familiarité des utilisateurs avec des services numériques populaires, ce qui peut rendre les attaques plus difficiles à détecter. C’est particulièrement vrai lorsque les messages frauduleux sont bien rédigés et semblent provenir d’une source officielle.
Comment se protéger contre ce type d’attaque
Pour éviter de tomber dans ce type d’arnaque, voici les recommandations essentielles :
- Vérifier l’émetteur du message avant de cliquer sur un lien ou de répondre à une invitation, même si le nom semble familier.
- Ne jamais fournir d’informations sensibles ou de mots de passe en réponse à une sollicitation non attendue.
- Activer l’authentification à deux facteurs sur les comptes en ligne les plus sensibles pour ajouter une couche de protection.
- Utiliser des solutions de cybersécurité à jour sur tous les appareils pour bloquer ou signaler les liens suspects.
- En cas de doute, contacter directement l’organisation concernée via un canal officiel pour vérifier la véracité du message.
Ce type d’arnaque montre clairement que même les plateformes réputées et fiables peuvent être détournées par des acteurs malveillants pour piéger des utilisateurs. La prudence, la vigilance et des pratiques de cybersécurité de base restent les meilleures défenses.
Source : IT News Africa
