Une campagne d'hameçonnage ciblé, suivie sous le nom UAT-11985, utilise de faux invitations à des événements et des pages de connexion Google contrefaites pour tenter de prendre le contrôle de comptes Google appartenant à des personnes affiliées à des organisations de recherche à Taïwan.
Cette activité a été observée pour la première fois à mi-2026, selon le rapport de The Hacker News sur les conclusions de Cisco Talos. Les attaquants combinent des contenus crédibles tirés d'événements publics avec un proxy de type adversaire au milieu (adversary-in-the-middle, ou AitM), conçu pour capturer les identifiants et les demandes d'authentification multifacteur tout en communiquant avec le service d'authentification légitime de Google.
Le rapport ne chiffre pas le nombre de cibles et n'établit pas combien de comptes, le cas échéant, ont été compromis avec succès.
Les invitations usurpent des institutions taïwanaises de recherche et de politique publique
Les e-mails se présentent comme des invitations à des événements de géopolitique ou de politique publique. Les identités des expéditeurs sont fabriquées pour ressembler à trois institutions :
- Taiwan European Union Centre
- NCCU Institute of International Relations
- Taiwan Research Institute
Certains messages intègrent des informations d'événement authentiques ou plausibles. Le lien d'inscription intégré mène à une infrastructure contrôlée par les attaquants, même si Talos a signalé qu'un survol de ce lien peut afficher une adresse qui semble être celle d'un Google Forms légitime.
Une partie de la campagne recourt à l'hameçonnage par QR code, souvent appelé quishing. Dans ces cas, les attaquants prennent des affiches d'événements authentiques sur des sites légitimes et remplacent le QR code d'origine par un code qui renvoie les lecteurs vers le site malveillant. Talos a averti que cette technique pourrait aussi toucher les personnes qui voient des exemplaires imprimés de ce document modifié, ce qui étend le risque au-delà des premiers destinataires des e-mails.
Cisco Talos estime que l'IA a probablement contribué à la rédaction des contenus de leurre. Cette conclusion repose sur des similitudes structurelles entre des messages portant sur des sujets géopolitiques différents, et non sur un accès confirmé au processus de production des attaquants.
Selon les informations rapportées, les e-mails suivraient un schéma récurrent en trois parties : une longue présentation du contexte politique de l'événement, des éloges personnalisés destinés à inciter le destinataire à répondre, et des détails pratiques comme le thème, le lieu et la procédure d'inscription. Talos interprète la répétition de ces schémas narratifs et rhétoriques comme la preuve d'une campagne coordonnée utilisant un modèle réutilisable.
Le proxy relaie les identifiants et les demandes MFA en temps réel
Après avoir suivi le lien d'inscription, le destinataire voit une page qui reprend le style d'un Google Form. Une fenêtre contextuelle lui demande alors de s'authentifier avec un compte Google avant de remplir le formulaire.
La page suivante reproduit fidèlement le panneau de connexion de Google. Selon l'analyse de Talos rapportée, un code JavaScript obfusqué collecte des informations sur le visiteur avant d'ouvrir une connexion WebSocket, notamment :
- la langue du navigateur
- l'agent utilisateur
- les dimensions de l'écran
- le fait que le visiteur utilise ou non un appareil mobile
La page envoie ce profil au serveur de commande et contrôle au moyen d'une requête nommée google_login_start.
Lorsque l'utilisateur soumet un mot de passe, la page émet une autre requête, google_login_check, contenant le mot de passe, l'identifiant du compte et l'agent utilisateur du navigateur. Le serveur C2 HTTP de l'attaquant transmet les données d'authentification à Google, tandis que la page malveillante utilise sa connexion WebSocket pour reproduire les changements du processus de connexion légitime.
Ce dispositif permet à la victime de voir des étapes d'authentification qui semblent se dérouler normalement. Dans le même temps, les attaquants peuvent recevoir les identifiants et relayer les demandes MFA au moment où elles surviennent. Talos décrit l'objectif comme l'obtention d'éléments d'authentification suffisants pour une prise de contrôle complète du compte, sans interrompre visiblement le processus de connexion.
Parce que l'attaque fonctionne comme un relais en direct, un code MFA n'est pas nécessairement protecteur si l'utilisateur le saisit dans le faux panneau. Ce code peut être transmis au service légitime pendant la même session.
La prise en charge linguistique suggère un ciblage plus large des locuteurs du chinois
Les pages usurpées prennent en charge le chinois simplifié (zh-CN), le chinois traditionnel (zh-TW) et l'anglais. Talos affirme que cela « suggère fortement » un intérêt pour les utilisateurs sinophones, mais ces options linguistiques indiquent une portée visée et non la confirmation de l'identité ou de la localisation de chaque victime.
Le ciblage documenté reste centré sur des personnes liées à des organisations de recherche taïwanaises et intéressées par les questions géopolitiques ou politiques. L'image institutionnelle, les éloges adressés à chaque destinataire et les événements publics reconnaissables fournissent le contexte social destiné à faire paraître une demande d'authentification inattendue comme une procédure habituelle.
Comment les destinataires peuvent réduire le risque
Les destinataires devraient considérer toute demande de connexion reçue par l'intermédiaire d'une invitation non sollicitée ou d'un QR code comme potentiellement hostile, même lorsque les détails de l'événement et l'affiche qui l'accompagne sont authentiques. Plutôt que de s'authentifier depuis l'invitation, les utilisateurs peuvent accéder à l'institution ou à l'organisateur de l'événement via une adresse obtenue séparément, et vérifier la procédure d'inscription à partir de là.
Il faut porter une attention particulière à la barre d'adresse réelle du navigateur au moment où des identifiants ou une demande MFA sont demandés. La fidélité visuelle d'une page n'est pas une preuve qu'elle appartient à Google, et cette campagne est précisément conçue pour reproduire l'expérience d'authentification légitime.
Toute personne ayant saisi des identifiants Google ou une réponse MFA après avoir ouvert l'une de ces invitations doit prévenir rapidement le responsable de la sécurité ou l'administrateur du compte concerné. Les administrateurs peuvent alors examiner l'activité du compte et les sessions actives dans le cadre de leur processus habituel de réponse aux incidents, plutôt que de se contenter d'un changement de mot de passe.
La variante par QR code malveillant implique aussi la même prudence pour les affiches et les invitations imprimées : un document d'événement d'apparence authentique ne garantit pas que la destination de son QR code soit légitime.
