Arnaque aux factures d'OpenAI liée à une utilisation abusive de SendGrid et au « vishing »

Les cybercriminels ne restent jamais inactifs ; ils réinventent sans cesse leurs tactiques pour exploiter la confiance, la familiarité et les instincts humains. INKY continue d’observer des acteurs malveillants qui utilisent les plateformes de messagerie cloud et l’ingénierie sociale vocale pour contourner les contrôles de sécurité. Un exemple récent est celui d’une campagne de hameçonnage qui a envoyé des centaines d’e-mails depuis un compte SendGrid compromis, lié à OpenAI, afin d’émettre des factures frauduleuses.

Protégez-vous contre les e-mails malveillants grâce à Kaseya Inky

Bloquez les attaques de hameçonnage sophistiquées et les menaces par e-mail avant qu’elles n’atteignent les utilisateurs grâce à INKY

Commencer

Un e-mail présentant l'apparence d'une facture, prétendument envoyé par OpenAI, provenait de noreply@tm.openai.com via SendGrid. Comme le message avait été envoyé depuis un compte SendGrid légitime d’OpenAI, il a passé avec succès les contrôles SPF, DKIM et DMARC pour openai.com. Il indiquait qu’un prélèvement de 763,99 $ avait été confirmé et invitait le destinataire à appeler un numéro d’assistance pour le contester. Le message ne contenait ni lien malveillant ni pièce jointe. Son seul appel à l’action était un numéro de téléphone. Cette conception permet à l’arnaque de contourner les passerelles de filtrage d’URL tout en exploitant la confiance que les utilisateurs accordent aux marques connues et aux conversations téléphoniques.

Fig. 1 : E-mail de hameçonnage simulant une facture## Utilisation abusive de l'infrastructure SendGrid

Les plateformes légitimes d'envoi d'e-mails sont devenues des outils puissants pour les cybercriminels qui cherchent à se fondre dans les communications professionnelles habituelles.

L'attrait de SendGrid pour les pirates

SendGrid est largement utilisé par les entreprises pour envoyer des e-mails transactionnels et marketing en grand nombre. Il offre un taux de délivrabilité élevé et des fonctionnalités avancées, telles que le suivi des clics et l'analyse des données. Cependant, des cybercriminels exploitent abusivement des comptes SendGrid pour lancer des campagnes de phishing, en se faisant passer pour SendGrid lui-même et d’autres marques de confiance. La promesse d’un taux de délivrabilité de 99 % rend la plateforme particulièrement attrayante pour les criminels. Un compte SendGrid piraté leur permet d’envoyer des e-mails usurpés qui passent les contrôles SPF/DKIM et semblent légitimes aux yeux des destinataires.

Compromission potentielle du compte SendGrid d'OpenAI

Les e-mails de hameçonnage de cette campagne ne se contentaient pas d’usurper le nom d’OpenAI : ils étaient envoyés via un véritable compte SendGrid configuré sur le domaine openai.com. Les messages ont passé avec succès les contrôles SPF, DKIM et DMARC pour openai.com et contenaient des en-têtes spécifiques à SendGrid, ce qui indique que l’expéditeur disposait d’un accès authentifié au tenant SendGrid d’OpenAI.

Il existe plusieurs scénarios plausibles par lesquels les criminels auraient pu obtenir un tel accès :

Crackage massif de mots de passe et prise de contrôle de comptes: Twilio, la société mère de SendGrid, a admis que de nombreux comptes clients avaient été compromis et utilisés à des fins de spam. KrebsOnSecurity a rapporté qu’un nombre inhabituellement élevé de comptes clients de SendGrid avaient vu leurs mots de passe piratés et vendus à des spammeurs, permettant ainsi à des cybercriminels de lancer des campagnes de phishing et de diffusion de logiciels malveillants via les domaines de clients de confiance. Une fois qu’un compte SendGrid est piraté, les e-mails qui en résultent contournent les filtres anti-spam rudimentaires, car les destinataires font confiance à l’infrastructure de SendGrid.
Marché noir des identifiants SendGrid: les cybercriminels échangent activement l’accès à des comptes SendGrid piratés. Le responsable de la sécurité de Twilio a reconnu que l’entreprise avait constaté une augmentation du nombre de comptes compromis et que l’authentification multifactorielle (MFA) n’était pas obligatoire. Les chercheurs soulignent que ce marché est alimenté par la réutilisation des mots de passe : les attaquants ciblent les utilisateurs qui réutilisent les mêmes identifiants sur plusieurs sites, puis revendent les identifiants valides. Un vendeur, opérant sous le pseudonyme « Kromatix », proposait plus de 400 comptes SendGrid piratés, dont le prix était fixé en fonction du volume mensuel d’e-mails qu’ils permettaient d’envoyer. Ces comptes volés peuvent être utilisés pour générer des clés API et envoyer en masse des e-mails de hameçonnage à haut taux de délivrabilité.
Hameçonnage et vol d’identifiants: les pirates peuvent cibler directement les utilisateurs de SendGrid par hameçonnage afin de voler leurs identifiants. Comme les cybercriminels peuvent utiliser le compte compromis pour envoyer des e-mails authentifiés, les domaines des victimes se retrouvent ainsi impliqués à leur insu dans de futures attaques. Si un employé ou un prestataire d’OpenAI a réutilisé son mot de passe SendGrid, ou si ses identifiants ont été compromis lors d’une autre violation de données, les pirates peuvent se connecter au tableau de bord SendGrid et lancer une campagne de factures frauduleuses.
Authentification multifactorielle(MFA) insuffisante ou inexistante: la direction de Twilio a indiqué que la MFA était facultative pour les comptes SendGrid et que l’entreprise prévoyait de la rendre obligatoire. Sans MFA, les pirates peuvent prendre le contrôle des comptes en devinant ou en obtenant simplement les mots de passe. L’absence de vérification supplémentaire augmente le risque que des domaines légitimes, tels que openai.com, soient utilisés à des fins d’hameçonnage.

Il est important de souligner qu'il n'existe aucune confirmation officielle indiquant qu'OpenAI ait lui-même été victime d'une intrusion. La présence du domaine openai.com dans ces e-mails de hameçonnage signifie que les pirates avaient accès à certains identifiants SendGrid liés à OpenAI. On ignore encore si cet accès résulte du vol d'identifiants, de la réutilisation de mots de passe, d'une attaque par hameçonnage visant un employé ou de la compromission d'un fournisseur tiers.

Néanmoins, la vente généralisée de comptes SendGrid piratés et l’incertitude quant à savoir si les identifiants ont été obtenus par hameçonnage ou si SendGrid a lui-même été piraté laissent penser que l’arnaque aux factures d’OpenAI résulte probablement d’une prise de contrôle de compte plutôt que d’une simple usurpation d’identité. Les organisations utilisant SendGrid devraient considérer cet incident comme un avertissement et veiller à mettre en place l’authentification multifactorielle (MFA), à renouveler régulièrement leurs clés API et à surveiller tout comportement inhabituel dans l’envoi de messages.

Analyse des en-têtes de l'e-mail contenant la facture d'OpenAI

L'e-mail malveillant a été envoyé depuis noreply@tm.openai.com via SendGrid. L'analyse des en-têtes a révélé plusieurs relais via l'infrastructure de messagerie de Microsoft avant que le message n'atteigne son destinataire. Voici les principales observations :

Résultats de l'authentification: le message a passé avec succès les vérifications SPF, DKIM et DMARC, car tm.openai.com a autorisé l'adresse IP de SendGrid (159.183.120.121). Les pirates s'appuient sur des comptes SendGrid compromis pour garantir cette conformité.
En-têtes « Received » : un en-tête « Received: » indique « de MjAyMTY3MDY (inconnu) par geopod-ismtpd-15 (SG) avec l'identifiant HTTP … », ce qui signifie que les serveurs geopod-ismtpd de SendGrid ont généré le message. La présence de « geopod‑ismtpd » et de « (inconnu) » dans les en-têtes « Received » est un indicateur courant que l'e-mail provient de SendGrid.
Champs X-SG: le message contient les en-têtes X-SG-EID et X-SG-ID, propres à SendGrid. Ceux-ci indiquent que le message a été envoyé via l'API de SendGrid et non via un client de messagerie personnel.
Objet et corps du message: L’objet indiquait « Frais d’abonnement confirmés : 763,99 $ » et le corps du message ne contenait qu’un seul appel à l’action : « Assistance +1 (701) 638‑0848 ». Aucun lien n’était inclus, ce qui a empêché les filtres d’URL d’identifier des domaines malveillants. Le corps du message reprenait l’identité visuelle d’OpenAI et utilisait un langage urgent afin de susciter un sentiment de panique et de légitimité.

La combinaison de la fiabilité de livraison de SendGrid, de l'alignement cryptographique et de l'usurpation d'identité de marque rend ces e-mails difficiles à bloquer par les passerelles de sécurité de messagerie standard.

Fig. 2 : Analyse de l'en-tête de l'e-mail de hameçonnage

Chaîne d'attaque : hameçonnage par rappel téléphonique / hameçonnage vocal

Le « callback phishing », également appelé « Telephone-Oriented Attack Delivery » (TOAD), est une arnaque qui commence par une fausse facture ou un faux avis d’abonnement. Ces e-mails prétendent souvent provenir d’entreprises connues et indiquent un numéro de téléphone à appeler si le prélèvement n’est pas autorisé. Leur objectif est d’inciter la victime à appeler ce numéro plutôt que de cliquer sur un lien. Une fois au téléphone, le pirate se fait passer pour un conseiller du service client et demande des informations personnelles ou demande à la victime d’installer un logiciel d’assistance à distance. Comme ils ne contiennent ni lien ni pièce jointe malveillante, ces messages peuvent contourner les filtres de messagerie traditionnels.

Les escroqueries par rappel téléphonique jouent sur le sentiment d'urgence : l'e-mail incite le destinataire à appeler pour annuler un prélèvement important, puis l'escroc lui demande des informations personnelles ou un accès à distance. Le hameçonnage par rappel téléphonique incite les utilisateurs à appeler un numéro qui leur est fourni. L'escroc utilise ensuite des techniques d'ingénierie sociale pour obtenir des identifiants de connexion, des informations financières ou un accès à distance. Cette méthode diffère du hameçonnage traditionnel, car la conversation se déroule lors d'un appel vocal, ce qui la rend plus difficile à surveiller pour les outils de sécurité.

Fig. 3 : Message de phishing incitant à rappeler

Déroulement étape par étape de l'affaire relative à la facture d'OpenAI

E-mail initial: la victime reçoit un message ressemblant à une facture provenant de l'adresse noreply@tm.openai.com via SendGrid. Ce message indique qu'un prélèvement d'un montant élevé (763,99 $) a été effectué et fournit un numéro d'assistance à appeler. Comme le message passe les vérifications SPF, DKIM et DMARC, il semble authentique et contourne les filtres anti-spam.
Appel téléphonique: convaincue que la facturation est réelle, la victime appelle le numéro d'assistance. Un escroc se faisant passer pour un représentant d'OpenAI lui répond. Il peut lui demander son nom, son adresse e-mail ou d'autres informations d'identification afin de « consulter son compte ».
Assistance à distance: l'escroc prétend qu'il doit annuler le prélèvement ou procéder à un remboursement et demande à la victime d'installer un logiciel d'assistance à distance, ce qui lui permet d'accéder à l'appareil de la victime.
Compromission: grâce à l'accès à distance, le pirate peut récupérer des données sensibles (identifiants bancaires, numéros d'identification personnels) ou guider la victime à travers de fausses procédures de remboursement entraînant une perte financière réelle. Les premières campagnes utilisaient cette technique pour installer des logiciels malveillants, s'octroyer un accès à distance et mener parfois à des attaques par ransomware. Les pirates peuvent également demander à la victime de se connecter à son compte bancaire pour « vérifier » ses fonds, puis transférer discrètement de l'argent.
Actions postérieures à la compromission: les pirates peuvent maintenir leur présence sur l'ordinateur de la victime, installer d'autres logiciels malveillants, voler des données ou se propager vers d'autres systèmes. Comme c'est la victime qui a lancé l'appel, elle peut ne pas se rendre compte qu'un acte malveillant a eu lieu.

Conséquences du « callback phishing »

Le « callback phishing » peut avoir de graves conséquences. Une fois l'accès à distance obtenu, les pirates peuvent :

Usurpation d'identité et fraude financière: les outils d'assistance à distance permettent aux cybercriminels de consulter et de voler des informations bancaires, d'effectuer des virements bancaires ou de souscrire des prêts. Netcraft souligne que des cybercriminels ont utilisé des comptes SendGrid piratés pour lancer des attaques de hameçonnage en se faisant passer pour diverses entreprises, ce qui met en évidence l'ampleur de ces abus. Une fois l'accès à distance établi, les attaquants peuvent manipuler le tableau de bord financier de la victime et exfiltrer des données.
Installation de logiciels malveillants et rançongiciels: les victimes sont amenées à télécharger des chevaux de Troie d'accès à distance, qui sont ensuite utilisés pour déployer des rançongiciels. Les pirates peuvent également installer des enregistreurs de frappe ou d'autres logiciels espions.
Compromission du réseau et déplacement latéral: une fois qu'ils ont accédé à un terminal, les cybercriminels peuvent se déplacer latéralement au sein d'une organisation, voler des données d'entreprise ou envoyer d'autres e-mails de hameçonnage (hameçonnage latéral).

Bonnes pratiques et recommandations

Pour limiter le risque d'escroqueries par hameçonnage via des rappels abusifs de SendGrid :

Vérifiez auprès des sources officielles: n'appelez pas les numéros de téléphone indiqués dans les e-mails non sollicités. Si vous recevez une facture ou un avis d'abonnement qui vous semble suspect, contactez directement l'entreprise en utilisant un numéro figurant sur son site web officiel ou sur le portail de votre compte.
N'accordez jamais d'accès à distance à des interlocuteurs inconnus: les entreprises sérieuses ne vous demanderont jamais un accès à distance pour procéder à un remboursement ou résilier un abonnement. N'installez jamais de logiciel d'assistance à distance, sauf si vous avez vous-même lancé une demande d'assistance auprès d'un prestataire de confiance.
Sensibiliser les utilisateurs: former les employés à repérer les escroqueries liées aux factures.
Signaler et isoler: si vous soupçonnez une tentative d'hameçonnage par rappel téléphonique, signalez l'e-mail à votre équipe de sécurité et isolez tous les appareils sur lesquels un logiciel d'assistance à distance est installé. Surveillez vos comptes pour détecter d'éventuelles transactions non autorisées et modifiez vos mots de passe.
Sécuriser les comptes SendGrid: les organisations qui utilisent SendGrid doivent activer l'authentification multifactorielle, surveiller l'activité d'envoi et révoquer toute clé API compromise. Netcraft met en garde contre le fait que des cybercriminels utilisent des comptes SendGrid compromis pour envoyer des e-mails de hameçonnage authentifiés.

Conclusion

L'arnaque aux factures d'OpenAI montre comment les cybercriminels exploitent des services de messagerie cloud légitimes et des techniques d'ingénierie sociale par voix pour contourner les contrôles de sécurité. En envoyant un e-mail sous couvert de facture via SendGrid, les cybercriminels se sont assurés que le message passait les vérifications SPF/DKIM/DMARC et semblait fiable. L'absence de liens malveillants a permis à l'e-mail de contourner les filtres d'URL, tandis que l'appel à l'action urgent a incité le destinataire à contacter un escroc qui a ensuite cherché à obtenir un accès à distance.

Le « callback phishing » s'inscrit dans une tendance plus large où les cybercriminels exploitent à des fins malveillantes des plateformes de confiance et des outils d'assistance à distance. Une sécurité avancée des e-mails, la vigilance, la sensibilisation des utilisateurs et une vérification rigoureuse via les canaux officiels restent les moyens de défense les plus efficaces contre cette menace en constante évolution.