Pour une fois, les hackers vont là où se trouvent les utilisateurs. Les pirates utilisent l’excitation autour de ChatGPT pour détourner des comptes, créer des campagnes de phishing et vous décharger de quelques euros dans le processus.
La fausse extension Chrome ChatGPT
ChatGPT ne cesse de faire parler de lui. Après la vague de curiosité qu’il a créée lors de son lancement à la fin de l’année dernière, le chatbot d’OpenAI a de nouveau fait l’actualité cette semaine en lançant GPT-4. Une version plus puissante du moteur de l’outil qui a incité de nombreux curieux à revenir tester ses nouvelles capacités.
Lire : Comment utiliser le nouveau Bing alimenté par l’IA sur n’importe quel navigateur
Avec plus de 100 millions d’utilisateurs, il n’est pas surprenant de voir de nombreux outils tels que des extensions pour utiliser ChatGPT sur différents navigateurs Web. Les hackers ont saisi l’opportunité en proposant une fausse extension Chrome favorisant “l’accès rapide à ChatGPT”. L’extension malveillante n’est en fait qu’un moyen de détourner des comptes Facebook et de créer de faux comptes d’administrateur, comme le souligne Nati Tal, chercheur chez Guardio Labs :
“ En détournant des comptes professionnels importants sur Facebook, le pirate peut créer une armée d’élite de robots Facebook et un appareil multimédia payant malveillant. […] Cela lui permet de diffuser des publicités payantes sur Facebook aux dépens de ses victimes. »
L’extension nommée “Accès rapide au chat GPT” a été installé 2000 fois par jour depuis le 3 mars 2023, avant d’être supprimé par Google de son app store Chrome le 9 mars 2023. Ironiquement, le malware a été promu par des pirates utilisant des publications sponsorisées sur Facebook…
L’extension peut se connecter à ChatGPT, mais elle a également été conçue pour collecter des cookies et d’autres données de compte Facebook à l’aide d’une session authentifiée déjà active de l’utilisateur. Après avoir pris le contrôle du compte publicitaire Facebook, et donc des moyens de paiement associés, les pirates n’ont plus qu’à lancer des campagnes publicitaires aux dépens de leurs victimes.
Campagnes de phishing basées sur ChatGPT
Selon l’Antispam Lab de Bitdefender, ChatGPT est également utilisé dans les campagnes de phishing qui commencent par de simples e-mails avec des titres accrocheurs, dont voici quelques exemples :
- ChatGPT : le nouveau bot IA rend tout le monde fou
- ChatGPT : le nouveau bot IA choque tout le monde
- Le nouveau chatbot ChatGPT rend tout le monde fou maintenant – mais très bientôt, ce sera un outil aussi banal que Google
- Pourquoi tout le monde panique-t-il à propos du bot ChatGPT ?
L’e-mail contient alors relativement peu de contenu et incite les lecteurs à cliquer sur un lien. Les utilisateurs sont ensuite redirigés vers une fausse version de ChatGPT qui attire les utilisateurs avec des opportunités financières, promettant jusqu’à 10 000 euros par mois via la “plate-forme unique qu’est ChatGPT”.
---Le faux chatbot explique ensuite comment il peut analyser les marchés financiers et permettre à quiconque de devenir un investisseur prospère en investissant dans des actions. L’outil se présente même comme un “robot automatique créé par OpenAI (Elon Musk) pour travailler sur les marchés financiers”…
Après analyse de votre (insuffisant) niveau de revenus, le faux ChatGPT vous demande votre adresse mail pour vérifier que vous êtes « réel ». Ensuite, le chatbot va encore plus loin en vous demandant un numéro de téléphone pour vous aider à activer un compte WhatsApp dédié à augmenter vos revenus, qui pourraient s’élever à 420 $ par jour (selon ChatGepetto).
Au fur et à mesure que le processus progressait, le chercheur de Bitdefender a reçu un appel d’une jeune femme roumaine (et probablement anglophone), qui semblait provenir d’un centre d’appels. Ce dernier lui a expliqué comment gagner de l’argent très rapidement en investissant dans » crypto, pétrole et actions internationales », tout en précisant que la mise de départ était de 250 € minimum.
Sur le même sujet : ChatGPT Plus est disponible en France : prix, avantages… tout ce qu’il faut savoir
L’appelant lui a alors demandé les six derniers chiffres d’une carte d’identité valide. Le chercheur a préféré sauter cette étape en demandant un lien contenant ce dont il avait besoin pour transférer l’argent. Un formulaire lui demandant de nombreuses coordonnées personnelles ainsi que le mode de paiement lui a ensuite été partagé. Pouvez-vous imaginer le reste…
Ce type d’escroquerie n’est pas nouveau et ChatGPT n’est qu’une passerelle pour les pirates qui utilisent des sujets d’actualité pour attirer leurs victimes avec des promesses de gains rapides. Soyez donc vigilant, et comme le dit l’expression populaire : “Quand c’est flou, il y a un loup”.
