L’usurpation d’identité s’invite dans l’écosystème OpenAI. Des acteurs malveillants créent de faux tenants OpenAI au nom de sociétés légitimes puis invitent des salariés à les rejoindre, selon une alerte publiée le 26 juin 2026 par BleepingComputer. Objectif apparent : amener les cibles à déposer des informations sensibles dans des chats et des projets hébergés dans ces espaces frauduleux.
Points clés
- De faux tenants OpenAI sont créés au nom de sociétés légitimes pour inviter leurs employés et collecter des données sensibles.
- Mimecast a documenté en juin 2026 une campagne liée avec plus de 35 000 messages usurpant Gemini et ChatGPT.
- Les parades : vérifier l’origine de l’invitation par un canal indépendant et contrôler domaine et métadonnées du tenant.
Des invitations qui ressemblent à des accès de travail légitimes
Le procédé repose sur un levier simple. Un tenant OpenAI peut être présenté comme une organisation interne crédible, avec un nom d’entreprise connu et des invitations envoyées aux employés de la société imitée. Une fois acceptée, l’invitation ouvre un espace où les victimes sont censées échanger des messages et collaborer sur des projets.
La supercherie vise à faire croire à une collaboration normale. Les attaquants espèrent obtenir des informations confidentielles au moment où les employés partagent du contexte métier, des documents ou des échanges supposés internes. BleepingComputer ne précise ni quels groupes ou entreprises ont été visés, ni combien de victimes ont accepté ces invitations.
Le signalement intervient alors qu’OpenAI multiplie les usages professionnels de sa plateforme : espaces d’organisation, outils de collaboration et fonctionnalités partagées entre équipes. Cette surface d’attaque élargit les possibilités d’imitation de marques et de faux accès sur invitation, un ressort déjà exploité dans d’autres campagnes liées aux services d’IA.
Un angle déjà vu dans les campagnes d’usurpation liées à l’IA
Le même mois, d’autres opérations ont utilisé des noms de grandes plateformes d’IA pour attirer des victimes. Mimecast a documenté en juin 2026 une campagne de phishing bâtie autour de faux services Google Gemini et OpenAI/ChatGPT, avec plus de 35 000 messages coordonnés et des appâts censés pousser des utilisateurs professionnels à installer de fausses applications.
En mai 2026, des chercheurs ont rapporté des abus de fonctions de partage et de résumé de contenus autour de ChatGPT, ainsi que des pages se faisant passer pour des portails OpenAI. Le point commun reste le même : exploiter la confiance accordée à une marque d’IA pour court-circuiter les réflexes habituels de vérification.
Les contrôles à appliquer côté entreprise
Les vérifications doivent porter sur l’identité réelle de l’expéditeur, le domaine utilisé, le canal de contact initial et la légitimité de la collaboration proposée. Une invitation reçue au nom d’une entreprise connue ne prouve pas qu’elle émane bien de cette entreprise.
- Vérifier l’origine de l’invitation par un canal indépendant.
- Contrôler le domaine de l’organisation, les adresses d’envoi et les métadonnées du tenant.
- Limiter les données déposées dans les espaces de collaboration externes.
- Former les équipes aux faux espaces de travail liés aux outils d’IA.
Les équipes sécurité peuvent aussi surveiller la création d’organisations fantômes et les invitations anormales envoyées à des employés, surtout lorsque le nom affiché correspond à une marque ou à un partenaire connu. À mesure que les outils d’IA deviennent des surfaces de travail ordinaires, l’invitation elle-même devient un point de contrôle.
