Le groupe cyberespion TA419 vise des experts américains de la politique de l’IA avec un hameçonnage avancé

Un groupe de cyberespionnage aligné sur la Chine et suivi sous le nom de TA419 s'en prend à des experts en politiques d'intelligence artificielle au sein de groupes de réflexion, d'universités et d'organisations juridiques américaines, rapporte l'entreprise de sécurité Proofpoint. Ces campagnes de hameçonnage visent à capturer des accès sensibles, très probablement pour soutenir des opérations plus vastes de renseignement sur la réglementation américaine de l'IA, la politique commerciale et la sécurité des modèles.

Tactiques d'usurpation d'identité et cibles

Proofpoint souligne que TA419 mène des attaques ciblées depuis au moins avril 2025, se concentrant historiquement sur des entités de la défense, de l'énergie, de la politique étrangère et de la sécurité nationale aux États-Unis et au Japon. En février 2026, le groupe a ciblé un expert en politiques d'IA au sein d'un think tank américain via des e-mails usurpant l'identité d'économistes, de décideurs politiques influents et d'un employé d'Anthropic, sous l'objet « Request for Feedback on Military Integration of Claude ».

Dès juillet 2026, l'adversaire a étendu ses tactiques d'usurpation pour inclure un ancien membre de la direction du Bureau de la politique scientifique et technologique de la Maison-Blanche. Les opérations débutent par des prises de contact anodines destinées à instaurer la confiance avant d'envoyer des liens malveillants aux victimes qui répondent.

Fonctionnement technique du Frameless BitB et de l'AitM

Lorsqu'une cible interagit, TA419 transmet une URL raccourcie qui déclenche une séquence de redirections à plusieurs étapes. Après avoir franchi une vérification Cloudflare Turnstile, le lien charge une page de hameçonnage de type Adversary-in-the-Middle (AitM) hébergée sur OneDrive.

Pour tromper ses victimes, l'infrastructure s'appuie sur une technique appelée Frameless Browser-in-the-Browser (BitB). Contrairement aux attaques BitB classiques basées sur des iframes HTML, le Frameless BitB utilise des scripts personnalisés et des injections HTML et CSS pour simuler une interface de connexion légitime directement dans la session du navigateur. TA419 a intégré un module d'automatisation et de télémétrie sur mesure dans un outil open source, lui permettant d'intercepter les flux d'authentification Microsoft en temps réel. Ce proxy capture les identifiants et les cookies de session tout en menant à bien l'authentification auprès des serveurs réels de Microsoft, laissant la victime inconsciente du piratage.

Recommandations de sécurité

Selon Proofpoint, le ciblage des spécialistes de l'IA s'inscrit dans la continuité des priorités stratégiques de TA419 en matière de sécurité nationale et de technologie, plutôt que dans une réorientation de ses activités. Pour parer à cette menace, les chercheurs recommandent aux organisations de déployer des méthodes d'authentification multifacteur résistantes au hameçonnage, telles que les clés d'accès (passkeys), et incitent les experts à vérifier de manière indépendante toute sollicitation non demandée avant d'ouvrir un lien.

Illustration éditoriale générée par IA ; ce n’est pas une photographie documentaire.

Source: China-Aligned TA419 Targets U.S. AI Policy Experts With Microsoft AitM Phishing