Hameçonnage : de fausses invitations à une avant-première Anthropic servent à voler des identifiants Microsoft et Google

Le 29 octobre, la société de sécurité Cofense a décrit une campagne d’hameçonnage (e-mails frauduleux imitant un expéditeur de confiance) active depuis septembre 2026 : des salariés reçoivent une invitation « exclusive » à une présentation privée du nouvel outil d’IA d’Anthropic, envoyée via le service légitime GoTo Webinar, sous le nom « Austin from nthropic », sans le A. Le lien passe par un raccourcisseur d’URL et deux CAPTCHA (tests « je ne suis pas un robot ») pour échapper aux filtres de messagerie, puis mène à une fausse page d’inscription imitant Zoom qui propose de « continuer avec Google » ou « continuer avec Microsoft ». La page Microsoft, hébergée sur un domaine qui se fait passer pour office.com, enregistre identifiant et mot de passe ; un compte ainsi compromis donne accès aux documents de l’entreprise et sert de porte d’entrée vers le reste du système. L’appât n’est plus la facture impayée ou le colis en attente, mais la curiosité pour l’IA, exactement le type d’invitation qu’un dirigeant ou un salarié motivé a envie d’accepter. Ce que cela change pour vous : rappelez à vos équipes de vérifier toute invitation de ce genre auprès d’un contact connu avant de cliquer, de contrôler le nom de domaine de la page de connexion avant de saisir un mot de passe, et activez sur Microsoft 365 et Google Workspace une authentification multifacteur résistante à l’hameçonnage (clés de sécurité ou passkeys), qui rend un mot de passe volé à peu près inutile.