C
月内に
OpenAIの公式組織招待機能を悪用した新しいフィッシング攻撃
📌 一言でいうと
OpenAIの公式組織招待機能を悪用した新しいフィッシング攻撃が確認されました。攻撃者は正規の送信元（[email protected]）から招待メールを送信するため、従来のセキュリティソリューションでは検知が困難です。偽の組織に誘導して参加させることで、業務上の機密情報やソースコードなどの機密データを収集することを目的としています。
🔍該当判定
- ChatGPTの法人向けプラン（TeamプランやEnterpriseプラン）を導入している
- 社員が業務でChatGPTを利用しており、組織（ワークスペース）への招待メールを受け取る可能性がある
- OpenAIからの公式メール（[email protected]）を信頼して、リンクを安易にクリックする運用になっている
- 社内でChatGPTを利用する際のルール（どの組織に加入して良いか）が明確に決まっていない
上記いずれにも該当しない → 静観でOK
✅該当時の対応
予期しないChatGPT組織への招待を受けた際は、招待者のメールアドレスと社内ドメインが一致しているか必ず確認してください。また、生成AIへの機密情報入力に関するセキュリティ教育を強化することを推奨します。
📧 メール案を見る (社員向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【注意喚起】OpenAI (ChatGPT) の偽招待メールにご注意ください
お疲れさまです。情報システム担当です。
OpenAIの公式機能を悪用し、正規のメールアドレスから届く「偽の組織招待メール」による攻撃が確認されています。
ご協力をお願いしたいこと:
1. 心当たりのないChatGPT組織への招待メールが届いた場合、絶対に承諾しないでください。
2. 招待者のメールアドレスが、社内の正しいドメインであるかを確認してください。
3. 万が一、不審な組織に参加してしまった場合は、すぐに情報システム担当までご連絡ください。
対応期限: 本日中
お疲れさまです。情報システム担当です。
OpenAIの公式機能を悪用し、正規のメールアドレスから届く「偽の組織招待メール」による攻撃が確認されています。
ご協力をお願いしたいこと:
1. 心当たりのないChatGPT組織への招待メールが届いた場合、絶対に承諾しないでください。
2. 招待者のメールアドレスが、社内の正しいドメインであるかを確認してください。
3. 万が一、不審な組織に参加してしまった場合は、すぐに情報システム担当までご連絡ください。
対応期限: 本日中
Subject: [Security Alert] Beware of Fake OpenAI (ChatGPT) Organization Invitations
Dear employees,
We have been alerted to a new phishing attack that uses official OpenAI invitation features to trick users into joining fake organizations.
What you need to do:
1. Do not accept any ChatGPT organization invitations that you were not expecting.
2. Carefully verify that the inviter's email address matches our official company domain.
3. If you have already joined a suspicious organization, please notify the IT security team immediately.
Deadline: Immediate
Dear employees,
We have been alerted to a new phishing attack that uses official OpenAI invitation features to trick users into joining fake organizations.
What you need to do:
1. Do not accept any ChatGPT organization invitations that you were not expecting.
2. Carefully verify that the inviter's email address matches our official company domain.
3. If you have already joined a suspicious organization, please notify the IT security team immediately.
Deadline: Immediate