Une campagne d'hameçonnage se faisant passer pour une invitation à découvrir en avant-première une technologie d'Anthropic a atteint des boîtes de réception protégées par Proofpoint Secure Email Gateway et Microsoft Defender for Office 365, selon les constats de Cofense rapportés par Dark Reading. Les messages visent les identifiants des comptes Google et Microsoft. Pour échapper à l'examen, ils s'appuient sur une infrastructure de webinaire légitime, des liens raccourcis et des vérifications CAPTCHA.
L'attaquant, non identifié, envoie ces courriels dans le monde entier depuis septembre. Les destinataires se voient proposer un aperçu soi-disant exclusif d'un « nouvel outil d'IA pour les réseaux sociaux » signé Anthropic. Les éléments décrits ne permettent pas d'établir combien de comptes, le cas échéant, ont été compromis.
Malgré leur arrivée dans des boîtes protégées, les messages présentent des incohérences flagrantes. Le nom de l'expéditeur est « Austin from nthropic », les objets contiennent une faute de grammaire et les courriels ne portent aucun élément de l'identité visuelle d'Anthropic. Ils proviennent de customercare@gotowebinar[.]com, une adresse partagée légitime, mise à la disposition des utilisateurs de GoTo Webinar pour diffuser des informations sur les webinaires.
Le lien d'inscription menait d'abord à une fausse page de réunion Zoom, ce qui créait un nouveau décalage entre l'invitation et sa destination. Cette page proposait des options de connexion unique avec Google ou Microsoft. Dark Reading a rapporté que la voie Google ne demandait pas de mot de passe, ce qui limitait ce que cette partie du processus de collecte d'identifiants pouvait récupérer.
Le chercheur de Cofense Jacob Malimban a déclaré à Dark Reading qu'à partir du 28 octobre, l'attaquant est passé de l'usurpation de Zoom à celle du site web d'Anthropic.
Comment le parcours d'hameçonnage gêne l'inspection
Cofense a relevé plusieurs éléments susceptibles d'expliquer le passage de ces courriels à travers les produits de sécurité. L'adresse d'expédition partagée de GoTo Webinar donne aux messages une source de livraison légitime, tandis qu'une URL d'inscription raccourcie via Zapier masque le domaine de destination à une inspection immédiate.
Deux vérifications CAPTCHA compliquent la tâche des défenseurs. Un CAPTCHA Cloudflare apparaît avant la fausse page Zoom ou Anthropic et vise à freiner les scanners automatisés. Une seconde vérification se place entre cette page et la fausse page de connexion unique.
Selon Malimban, cette seconde vérification est un mécanisme déjà utilisé dans certains kits d'hameçonnage pour détecter les outils d'analyse automatisés et humains, repérer les adresses IP relayées et bloquer l'accès via les services VPN et les navigateurs Tor. Ces barrières peuvent rendre plus difficile l'accès à la page de collecte d'identifiants pour les outils de sécurité et les enquêteurs.
Cofense n'a pas pu confirmer si l'IA générative a contribué à produire la campagne. Selon Malimban, les variations entre les fausses pages Zoom et l'apparition, plus tardive, de l'imitation d'Anthropic laissaient supposer son utilisation. Il s'agit toutefois d'une appréciation, et non d'une explication établie de la manière dont les pages ont été créées.
Pour les organisations, la conséquence documentée est que ces messages ont franchi les protections de messagerie citées ; un vol réussi d'identifiants n'a pas été établi dans le cas étudié. Le RSSI de Keeper Security, Shane Barney, a déclaré à Dark Reading que les organisations devraient s'attendre à ce que des messages d'hameçonnage atteignent leurs employés et compléter le filtrage du courrier par des protections d'identité, notamment un accès selon le principe du moindre privilège, une authentification multifacteur résistante à l'hameçonnage et la gestion des accès privilégiés. Malimban recommande également de former les employés à reconnaître et signaler l'hameçonnage, et de surveiller les comptes pour détecter les accès suspects.
