公布日期：2026-06-30 發布單位： 資訊科  
資安公司Push Security近期遭遇一起OpenAI組織邀請功能濫用事件。攻擊者建立名為「Push Security Inc」的OpenAI組織，透過OpenAI合法通知信邀請該公司特定員工加入，試圖讓受害者誤認這是公司正式租戶，進而在攻擊者控制的AI工作環境中使用ChatGPT或API。

Push Security表示，相關邀請信來自OpenAI正式通知地址noreply@tm.openai.com，通過標準電子郵件驗證，內容也使用OpenAI品牌與組織邀請格式。OpenAI信件中雖然顯示提醒，指出邀請者的gmail.com網域與收件者所屬的pushsecurity.com不相符，但該提醒只出現在信件中的一行文字，容易被使用者忽略。

該公司調查後發現，攻擊者使用與Push Security無關的電子郵件帳號建立組織，並在組織中使用Push Security執行長姓名。受邀員工被設定為Owner角色，具有組織管理權限，帳務設定中也已綁定Visa信用卡。Push Security認為，這顯示攻擊者投入一定準備，包括偵察特定員工、建立看似可信的企業租戶，以及移除使用過程中可能引起懷疑的付費障礙。

資料來源：itHome