Une organisation frauduleuse dans ChatGPT usurpe l’identité de Push Security

La société de cybersécurité Push Security a révélé, le 26 juin 2026, avoir été victime d’une organisation frauduleuse créée dans ChatGPT, ayant usurpé son identité pour inviter ses employés à la rejoindre. N’importe quel utilisateur peut créer dans l’interface du LLM un espace de travail partagé avec le nom de son choix, ici « Push Security Inc. ».

Les cybercriminels ont ensuite collecté des adresses électroniques d’employés afin de les inviter à intégrer l’organisation. La démarche reposant sur les outils légitimes d’OpenAI, le seul moyen de détecter la supercherie était de vérifier l’adresse électronique associée à l’espace de travail. Cette dernière n’était rattachée à aucun nom de domaine contrôlé par Push Security.

Selon la société, l’objectif des attaquants était d’inciter les utilisateurs à partager des informations sensibles : code source, documents internes, données clients ou notes stratégiques. « L’attaquant avait accès en temps réel, en tant qu’administrateur de l’organisation, à cette activité, aux journaux d’utilisation et aux interactions API », lit-on dans la note de blog de l’entreprise.

Depuis quelques mois, plusieurs entreprises ont signalé des détournements similaires d’outils collaboratifs basés sur des LLM. Push Security avait d’ailleurs théorisé cette technique d’attaque en 2023 et l’avait baptisée « poisoned tenant ». L’entreprise a fini par en être elle-même victime.