Les fausses adresses de ChatGPT, Claude ou Gemini ne cherchent pas seulement à attirer des visites. Certaines tentent de faire exécuter une commande, d’installer une application ou d’ajouter une extension. Une analyse d’Island décrit ces passages entre la navigation et des actions sur l’ordinateur.
Des adresses proches, des parcours différents
En cherchant un assistant d’intelligence artificielle, une lettre inversée ou oubliée peut conduire vers un nom de domaine imitant celui du service attendu. Cette pratique, appelée typosquatting, consiste à enregistrer des adresses proches de marques ou de noms connus. Dans son analyse, la société de cybersécurité Island dit avoir repéré 186 domaines ressemblants associés à 27 marques d’IA, dont ChatGPT, Claude et Gemini.
Ces chiffres décrivent un ensemble de domaines observés, pas 186 victimes ni 186 sites conduisant tous au même piège. La destination peut varier selon le pays, le système d’exploitation et le navigateur. Certains visiteurs peuvent ne voir qu’une page de stationnement, dont le propriétaire peut revendre le trafic. D’autres peuvent être redirigés vers une fausse vérification de sécurité ou une proposition d’extension.
ClickFix transforme une fausse vérification en action volontaire
Dans le scénario ClickFix rapporté par Clubic, une page imite une vérification humaine ou un écran de sécurité. Elle cherche à faire croire qu’une action est nécessaire pour continuer. Sur Windows, la personne est incitée à ouvrir la fenêtre « Exécuter » et à y coller un texte ; sur Mac, le prétexte peut prendre la forme d’une fausse mise à jour invitant à utiliser le Terminal.
Le nom ClickFix souligne le ressort de la méthode : le visiteur est amené à lancer lui-même une commande présentée comme une réparation ou une vérification. C’est très différent d’une simple faute de frappe. Une fois la commande exécutée, elle peut déclencher le téléchargement ou le lancement d’un programme malveillant. L’avis de la Cyber Security Agency de Singapour décrit aussi cette logique générale : l’attaquant mise sur la copie et l’exécution d’un contenu présenté comme une solution rapide, plutôt que sur une pièce jointe ouverte par inadvertance.
Une demande inattendue d’ouvrir une fenêtre système et d’y coller du texte est donc un signal d’arrêt. Une véritable vérification Cloudflare, par exemple, ne demande pas de lancer une commande dans « Exécuter » ou dans le Terminal. Ne poursuivez pas une procédure de ce type parce que la page reprend les couleurs d’un service connu ou affiche un logo familier.
Installer une application ou une extension crée un autre risque
Toutes les fausses adresses ne conduisent pas à ClickFix. Island rapporte également des pages qui proposent une application présentée comme un outil d’analyse du Wi-Fi. Selon son analyse, un paquet signé au nom du Microsoft Store correspond à l’application qui y est publiée, mais il contient un comportement de détournement du navigateur. La signature renseigne sur la provenance du paquet ; l’analyse de son comportement constitue une autre vérification.
L’installation peut notamment modifier le moteur de recherche par défaut ou ajouter des extensions au navigateur. Une autre variante décrite par Clubic propose une extension qui fait transiter les recherches par un serveur tiers. Dans un contexte professionnel, une barre d’adresse peut contenir des noms de serveurs, de clients ou de projets : ce qui est saisi n’est alors pas forcément une recherche publique anodine.
Les bons réflexes avant et après un clic
Pour accéder à un assistant utilisé régulièrement, le plus simple est de passer par un favori enregistré après vérification de l’adresse, ou par l’application officielle téléchargée depuis le site de son éditeur. En cas de doute sur une adresse, ne poursuivez pas la page et revenez à un point d’accès connu. Méfiez-vous particulièrement des instructions qui demandent de copier du texte dans un outil système ou d’installer une extension pour « vérifier » votre appareil.
Si le navigateur change de moteur de recherche sans raison, examinez ses réglages et la liste des extensions installées. Sur un appareil géré par une organisation, signalez le changement au service informatique avant de modifier la configuration. Garder les systèmes et les protections à jour, et limiter les droits accordés aux logiciels, font aussi partie des mesures recommandées par la CSA. Elles réduisent certains risques, sans garantir qu’aucune attaque ne puisse réussir.
Si une commande a été exécutée ou qu’un logiciel inconnu a été installé, évitez de poursuivre les instructions de la page. Sur un appareil professionnel, contactez rapidement le service informatique. Pour un appareil personnel, utilisez les outils de sécurité déjà installés ou demandez conseil à un professionnel compétent.
Références
- Clubic, « Une faute de frappe en cherchant ChatGPT ou Gemini peut vous mener sur un site piégé »
- Island, « TypoPrompting: From AI Typos to Malware »
- Cyber Security Agency of Singapore, « Ongoing ClickFix Campaign »
Saisie sur un clavier d’ordinateur. Photo d’illustration.
