Fausses invitations OpenAI et SpaceX : l’hameçonnage par faux événement qui contourne la MFA
L’invitation a l’air sérieuse : un événement en ligne d’OpenAI sur ChatGPT pour les équipes marketing, ou une rencontre privée de SpaceX sur l’IA, avec trois mois d’abonnement premium offerts aux inscrits. Il suffit de vous inscrire avec votre compte de travail. C’est exactement le piège décrit le 5 novembre 2026 par la firme Push Security : une campagne d’hameçonnage par faux événement qui vole des comptes Microsoft 365 et Google Workspace, même protégés par la MFA.
Voici la page piégée annotée, les deux chemins de l’attaque, les signes à repérer et les réglages à faire.
Hameçonnage par faux événement : la page annotée
Ce qui cloche
- 1L’adresse n’appartient pas à OpenAI. Les pirates changent de domaine aux quelques semaines, donc une adresse « propre » ne prouve rien.
- 2Une récompense trop belle, liée à un compte de travail. Un vrai événement n’a pas besoin de vos accès d’entreprise pour vous donner une place.
- 3Le bouton Microsoft vous montre un code à taper sur la vraie page de Microsoft. En le tapant, vous autorisez l’appareil du pirate.
- 4Le bouton Google ouvre une fenêtre qui relaie la vraie connexion Google et en garde une copie : mot de passe, code MFA et session.
Maquette reconstituée à partir des descriptions publiques de Push Security et BleepingComputer; aucun lien actif. Avant d’arriver sur cette page, la victime passe souvent par un raccourcisseur de lien connu (Google, Zapier) et une fausse vérification « Je ne suis pas un robot » qui empêche les outils de sécurité de l’analyser.
Deux boutons, deux façons de voler votre compte
Les deux chemins contournent la MFA classique (texto, code ou notification). C’est le même principe que dans notre article sur l’hameçonnage « comité IA » de TA419 : le pirate ne vole pas seulement un mot de passe, il vole une session déjà ouverte.
Les signes à repérer en 10 secondes
🎟️
Inscription avec votre compte de travail
Un webinaire n’a pas besoin d’accéder à votre Microsoft 365 pour vous inscrire.
🔢
Un code à taper ailleurs
Si un site vous donne un code à entrer sur microsoft.com/devicelogin, arrêtez. Vous n’avez jamais à faire ça pour un événement.
🎁
Une récompense premium gratuite
Abonnement offert, « action SpaceX », accès exclusif : c’est l’appât.
🤖
Une vérification robot avant la page
Elle sert ici à cacher la page aux outils de sécurité, pas à vous protéger.
🔗
Un lien raccourci
Le vrai lien est caché derrière un raccourcisseur. Passez par le site officiel de l’organisateur.
⏳
Places limitées, date proche
L’urgence vous pousse à vous connecter sans réfléchir.
Les réglages à faire côté entreprise
| Réglage | Avant | Après |
|---|---|---|
| Connexion par code d’appareil (Microsoft Entra ID) | Permise pour tout le monde | Bloquée par accès conditionnel, sauf pour les appareils qui en ont vraiment besoin (salles de réunion, par exemple) |
| MFA | Texto ou notification | Clés de sécurité FIDO2 ou clés d’accès (passkeys), qui résistent à l’hameçonnage |
| Applications tierces | Les employés peuvent tout autoriser | Approbation d’un administrateur pour les nouvelles applications |
| Sessions après un clic douteux | On change seulement le mot de passe | On révoque aussi toutes les sessions et jetons du compte |
| Alertes | Personne ne regarde les connexions | Surveillance automatisée 24/7 avec intervention du technicien de garde sur les connexions inhabituelles |
Vous avez cliqué? Quoi faire tout de suite
Dans l’ordre, sans attendre
- ☐ Prévenez votre responsable TI tout de suite, même si vous n’êtes pas sûr d’avoir tapé le code.
- ☐ Changez le mot de passe du compte depuis un appareil sûr.
- ☐ Révoquez toutes les sessions (Microsoft Entra ID ou console Google Workspace) : changer le mot de passe ne suffit pas à chasser un jeton volé.
- ☐ Vérifiez les règles de boîte courriel : transferts automatiques ou règles qui cachent des messages.
- ☐ Regardez les applications autorisées et les appareils inscrits au compte, et retirez ce que vous ne reconnaissez pas.
- ☐ Avertissez vos collègues : la même invitation a probablement été envoyée à d’autres.
Comment NeoTech peut vous aider
Nous bloquons la connexion par code d’appareil là où elle n’est pas utile, déployons une MFA résistante à l’hameçonnage, formons vos employés à reconnaître ces invitations et réagissons vite quand un compte est touché. Voyez nos services de cybersécurité.
Réservez votre Bilan cyber gratuit
En 30 minutes, nous vérifions avec vous si la connexion par code d’appareil est ouverte dans votre Microsoft 365, quel type de MFA vos employés utilisent et ce qui se passerait si un compte était volé demain.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Nos bureaux : 2572, boul. Daniel-Johnson, bureau 237, Laval.
Sources
- Push Security — analyse de la campagne de faux événements IA (Kali365 + VoidProxy) (en anglais)
- BleepingComputer — faux événements OpenAI et SpaceX pour voler des comptes Microsoft et Google, 5 nov. 2026 (en anglais)
- TechRadar — fausses invitations OpenAI, SpaceX et Anthropic (en anglais)
Photo : Christina Morillo, Pexels (licence Pexels).
One thought on “Fausses invitations OpenAI et SpaceX : l’hameçonnage par faux événement qui contourne la MFA”