Une nouvelle campagne de phishing, identifiée par la société Push Security, utilise une méthode d’usurpation particulièrement ingénieuse : des cybercriminels créent de fausses organisations affiliées à ChatGPT sur la plateforme d’OpenAI pour intercepter les données saisies par les employés, d’après Numerama.

Ce qu'il faut retenir

  • Des pirates exploitent des organisations frauduleuses liées à ChatGPT sur OpenAI pour collecter des données sensibles.
  • La technique repose sur une usurpation d’identité via la création de comptes malveillants.
  • Les employés sont incités à saisir des informations dans des formulaires contrôlés par les attaquants.
  • Cette campagne a été détectée par Push Security, spécialiste de la cybersécurité.
  • OpenAI, via sa plateforme d’organisations, permet théoriquement cette pratique, mais les risques sont désormais sous les projecteurs.

Une technique d’attaque qui mise sur la confiance envers ChatGPT

Selon Push Security, les cybercriminels exploitent la fonctionnalité d’organisations proposée par OpenAI. Celle-ci permet à des entreprises ou des groupes de collaborateurs de créer un espace dédié pour utiliser ChatGPT avec des paramètres personnalisés. Les attaquants y voient une opportunité : en créant une fausse organisation affichant un nom proche d’une entreprise légitime, ils parviennent à tromper les employés. Ces derniers, pensant interagir avec un outil interne ou partenaire, saisissent des données sensibles dans des formulaires contrôlés par les pirates, explique Numerama.

Cette méthode, bien que simple, repose sur un élément clé : la crédulité des utilisateurs face à des interfaces familières. Les organisations frauduleuses sont conçues pour imiter l’apparence des interfaces officielles de ChatGPT, rendant la tromperie d’autant plus efficace. Les données récupérées peuvent inclure des identifiants, des informations clients ou des documents internes, souligne la source.

OpenAI en ligne de mire : une faille dans la gestion des organisations ?

La plateforme d’OpenAI, qui permet la création d’organisations, offre aux entreprises un moyen de centraliser l’accès à ChatGPT tout en personnalisant les interactions. Pourtant, cette fonctionnalité, bien que pratique, peut aussi être détournée. Les attaquants profitent de l’absence de vérification stricte des noms d’organisations pour créer des entités aux appellations trompeuses, comme « [Nom de l’entreprise] Support » ou « [Nom de l’entreprise] – Assistance technique ».

D’après Numerama, OpenAI n’a pas encore réagi publiquement à cette révélation. Les experts en cybersécurité s’interrogent sur les mesures de sécurité supplémentaires qui pourraient être mises en place, comme une validation manuelle des noms d’organisations ou un système d’alerte en cas de tentative d’accès suspecte. Pour l’heure, la plateforme ne semble pas avoir restreint cette fonctionnalité, laissant la porte ouverte à de nouvelles attaques similaires.

Des conséquences potentielles graves pour les entreprises

Les risques associés à cette campagne de phishing ne sont pas négligeables. Une fois les données interceptées, les pirates peuvent les exploiter pour usurper des identités, lancer des attaques ciblées ou revendre les informations sur le dark web. Les secteurs les plus exposés sont ceux où les employés manipulent régulièrement des données sensibles, comme la finance, la santé ou les services juridiques.

Push Security rappelle que les employés doivent rester vigilants face aux demandes inhabituelles, même si elles semblent provenir d’outils internes. Une vérification systématique des URL et des expéditeurs reste essentielle pour éviter ce type de piège. Les entreprises, quant à elles, sont invitées à renforcer leurs protocoles de sécurité et à sensibiliser leurs équipes aux nouvelles techniques de phishing.

Et maintenant ?

Cette découverte pourrait inciter OpenAI à revoir sa politique de gestion des organisations, notamment en instaurant des contrôles plus stricts ou en mettant en place des alertes automatiques en cas d’usurpation détectée. Les entreprises pourraient, elles aussi, durcir leurs procédures d’accès aux outils externes et privilégier des solutions de sécurité complémentaires, comme l’authentification multifactorielle ou l’analyse en temps réel des connexions suspectes. Reste à voir si ces mesures seront suffisantes pour endiguer ce type d’attaques à l’avenir.

Cette affaire rappelle une fois de plus que la cybersécurité est un enjeu constant, où la vigilance des utilisateurs et la réactivité des plateformes jouent un rôle déterminant. Face à l’évolution des techniques de phishing, les organisations doivent adapter leurs défenses pour protéger leurs données les plus sensibles.

Les signes d’alerte incluent un nom d’organisation inhabituel, une URL non officielle ou une demande de saisie de données dans un contexte non attendu. Il est conseillé de vérifier systématiquement l’authenticité de la page via les canaux officiels de l’entreprise ou de contacter le service informatique.