De fausses pages d’événements OpenAI et SpaceX hameçonnent des comptes Microsoft et Google

Une page qui ressemble à une invitation à un événement OpenAI ou SpaceX demande aux gens de se connecter avec un compte de travail, et la connexion est le but de la page. Push Security a publié l’analyse le 5 novembre 2026 : des fausses pages d’inscription (en anglais) pour des événements OpenAI, SpaceX et Anthropic, vues sur les navigateurs de clients à la fin d’octobre. Un bouton vole une connexion Microsoft en abusant d’une vraie page Microsoft. L’autre relaie la connexion Google et prend le mot de passe, la réponse multifacteur et le témoin de session.

Ce que les pages offrent

Push dit que les pages annoncent une diffusion en direct de l’OpenAI Academy, un breffage privé de SpaceX appelé « SpaceX AI for Marketing », et Anthropic à AWS re:Invent. Chacune dit au visiteur de se connecter avec un compte de travail pour réclamer une récompense : trois mois de ChatGPT Pro, trois mois de Grok Heavy, ou une « part SpaceX ».

La page OpenAI copie l’allure du site d’événements d’OpenAI. La diffusion qu’elle annonçait, « ChatGPT for Social & Digital Marketing Teams », était datée du 4 novembre. La page SpaceX offrait un « Starship Product Briefing » sur invitation seulement, le 12 novembre. Une page Anthropic était déjà retirée lorsque Push a regardé. Les deux pages encore en ligne que Push a examinées tournaient sur des sous-domaines de eventrsvp.app, se traduisaient dans la langue du visiteur et exigeaient un compte de travail. Ce ne sont pas OpenAI, SpaceX ni Anthropic. Ces entreprises sont les marques copiées.

Comment la connexion est volée

Push sépare l’attaque entre les pages de l’opérateur et deux services d’hameçonnage loués, Kali365 et VoidProxy. Les noms que Push donne aux trousses de l’opérateur sont ZoomMock, utilisé pour de fausses pages d’événements Zoom de mai à octobre 2026, et MSDRoot, les pages plus récentes, vues d’abord le 22 octobre. Push cote le lien entre ces deux trousses comme moyen à élevé : elles ne partagent pas de code, mais Push a vu les deux sur le même domaine, rsvpconnect-events.com, avec la même page de contrôle anti-robot et le même type de cible, du personnel marketing invité à un événement sur l’IA. Push ne pense pas que les auteurs de Kali365 et de VoidProxy sont les mêmes personnes. Il pense que cet opérateur est client des deux.

Le chemin que décrit Push :

1. L’invitation arrive par un lien court sur un service de confiance, comme un lien court de Google ou zpr.io de Zapier. Des vagues plus anciennes utilisaient le système de courriel de GoTo Webinar ou de vraies pages d’événements Zoom. Dans un lien que Push a suivi, une redirection de déconnexion X se trouvait devant le lien court de Google. Le lien court est là pour qu’un contrôle de réputation voie d’abord un domaine connu.
2. Un contrôle Cloudflare demande au visiteur de confirmer qu’il n’est pas un robot. Push dit que la plupart des analyses automatiques s’arrêtent là, de sorte que la page leurre elle-même est rarement classée.
3. La page d’événement offre « Continue with Microsoft » et « Continue with Google ».
4. Microsoft lance une connexion par code d’appareil via Kali365. La page montre un code et un bouton qui ouvre la vraie page de connexion d’appareil de Microsoft, login.microsoftonline.com. La personne colle le code sur le site de Microsoft et l’approuve. Microsoft émet alors des jetons vers la session de l’attaquant. Le leurre envoie ensuite la personne vers une deuxième connexion Microsoft, cette fois via VoidProxy, qui capture aussi le mot de passe et le témoin de session.
5. Google ouvre une fenêtre qui est un relais inverse VoidProxy de la vraie connexion Google. Le mot de passe, l’invite multifacteur et le témoin de session qui en résulte sont capturés au milieu.

La connexion par code d’appareil est un vrai parcours Microsoft pour les appareils qui ne peuvent pas afficher une connexion normale dans un navigateur. Ici, elle sert à ce que la personne s’authentifie sur une vraie page Microsoft pendant que l’attaquant reçoit le jeton. Le parcours Google n’a pas besoin de cette ruse : le relais se place au milieu de la connexion normale. Dans les deux cas, un second facteur sur le compte ne suffit pas, parce que l’attaquant se retrouve avec une session qui l’a déjà franchi.

Push dit que l’opérateur a fait passer le thème de Zoom à Anthropic, puis à OpenAI, SpaceX et Claude entre le 20 et le 30 octobre, et que eventrsvp.app avait trois jours lorsque l’enquête a eu lieu le 2 novembre. Les domaines tournent toutes les quelques semaines. Push a aussi remarqué des restes bâclés : la page OpenAI contenait encore des adresses qui mentionnent Claude, ce qu’il lit comme chaque nouveau leurre copié à partir d’un plus ancien.

Cela s’ajoute à des signalements plus anciens que Push cite. ANY.RUN, le 15 juillet, a décrit de vraies pages d’événements Zoom portant des leurres de sommet partenaire pour Meta, OpenAI et Anthropic, qui bifurquaient vers l’hameçonnage par code d’appareil et par relais. Cofense, le 29 octobre, a décrit des invitations « from Austin at nthropic », sans le A, envoyées par GoTo Webinar.

Ce que vous pouvez faire

1. N’entrez pas un code d’appareil qu’un site Web vient de vous montrer. La page de connexion d’appareil de Microsoft est réelle. La ruse, c’est qu’un inconnu a choisi le code. Si vous n’avez pas lancé vous-même une connexion depuis un téléviseur, un téléphone ou une ligne de commande, fermez la page.
2. Un événement qui exige une connexion de travail en échange d’un accès gratuit à l’IA, c’est l’appât. Une vraie inscription n’a pas besoin que vous approuviez un code d’appareil Microsoft, et elle n’a pas besoin que vous tapiez un mot de passe Google dans une fenêtre surgie de l’invitation.
3. Si vous avez déjà approuvé un code ou vous êtes connecté sur l’une de ces pages, traitez le compte comme compromis. Depuis un appareil de confiance, déconnectez ce compte de toutes les sessions, changez le mot de passe et passez en revue les règles de courriel, les adresses de transfert et les autorisations d’applis. Un nouveau mot de passe seul laisse la session volée en vie. Le même ordre de reprise est dans comment les voleurs d’informations dérobent les sessions.
4. Si vous administrez Microsoft 365, désactivez la connexion par code d’appareil là où personne ne s’en sert, et préférez un facteur résistant à l’hameçonnage, comme une clé d’accès ou une clé de sécurité. Notre guide pour verrouiller un compte Google ou Apple couvre les sessions et la récupération sur ces deux-là. Le compte de travail de cette campagne est celui à vérifier en premier.
5. Un lien court de Google ou d’un outil d’infolettre ne prouve pas que la destination est sûre. Ouvrez l’événement depuis le site de l’entreprise si vous vouliez vraiment vous inscrire.

Comment Frame peut aider

Frame ne voit pas une invite de code d’appareil dans un navigateur et ne bloque pas ces pages. Si vous pensez qu’un mot de passe de travail ou personnel a été tapé dans une fausse connexion, changez-le depuis un appareil sain et déconnectez les autres sessions. Frame peut aussi chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned. Les alias de courriel de Frame vous permettent aussi de donner à chaque service sa propre adresse, pour qu’un leurre arrivé à la mauvaise adresse soit plus facile à écarter. Frame ne recueille ni ne conserve jamais les données divulguées elles-mêmes.

À lire aussi

• Comment les fraudeurs utilisent les données divulguées pour personnaliser l’hameçonnage, et comment le repérer : la même idée, un message qui a l’air précis, appliquée ici à un faux événement professionnel.
• Comment les voleurs d’informations dérobent vos sessions, et pourquoi un nouveau mot de passe ne suffit pas : pourquoi se déconnecter partout compte après une connexion volée, même lorsqu’aucun logiciel malveillant n’a été installé.

Sources

• Push Security, Analyzing a fake event campaign combining AiTM and device code phishing payloads (en anglais), 5 novembre 2026
• BleepingComputer, Fake OpenAI, SpaceX events used to steal Microsoft, Google accounts (en anglais), 5 novembre 2026