Arnaque ChatGPT : comment un résultat sponsorisé mène à un faux GPT
Le piège commence par une recherche banale : une personne tape « ChatGPT » dans Google et clique sur un résultat placé tout en haut de la page. Cette première position ne signifie pas que le lien est officiel. Il peut s’agir d’une publicité achetée par un annonceur malveillant, affichée au-dessus des résultats naturels et conçue pour reprendre les codes visuels de la marque.
Dans la campagne signalée, le lien semble mener vers ChatGPT, mais ouvre en réalité un GPT personnalisé, c’est-à-dire un assistant créé par un utilisateur à partir des fonctions disponibles sur la plateforme. Le domaine peut être authentique et le compte déjà connecté, ce qui rend la scène particulièrement crédible. Un GPT personnalisé n’est toutefois pas une page officielle d’assistance et son contenu ne constitue pas une consigne de sécurité émise par OpenAI.
Le GPT en question affiche un prétendu avis de disponibilité limitée. Il affirme que le service principal connaît une panne et propose de souscrire à une offre Plus ou de suivre un lien vers un domaine de secours. Quel que soit le message envoyé, la réponse reste la même : cette répétition est un indice utile, car un assistant qui ne tient pas compte des questions tout en poussant vers une seule sortie ressemble davantage à un scénario automatisé qu’à un support fiable.
Le nom « Plus 5.6 » peut également attirer l’attention. Les noms de modèles et d’offres évoluent, et une personne qui ne suit pas ces changements peut ne pas trouver ce libellé suspect. Il faut donc éviter de se fier au seul nom affiché : vérifier où mène le lien, qui l’a publié et pourquoi une prétendue panne impose une action urgente est bien plus efficace.
Cette méthode exploite une faiblesse très humaine : la confiance accordée à un environnement familier. Voir le domaine officiel dans la barre d’adresse ne rend pas automatiquement fiable chaque GPT accessible depuis celui-ci. Une page ou un assistant hébergé sur un service légitime peut être détourné de son usage normal, puis servir de relais vers un faux site externe.
Ce procédé n’est pas isolé. Les imitations d’applications, de pages de connexion et de services d’assistance profitent toutes d’un même réflexe : cliquer rapidement sur le premier résultat. Des ressources consacrées aux applications qui imitent ChatGPT montrent pourquoi il faut vérifier l’éditeur et la provenance avant toute installation. Une autre analyse décrit le cas d’un faux GPT accessible depuis le vrai service, rappelant qu’un domaine légitime ne valide pas automatiquement les contenus publiés par des tiers.
La règle pratique est simple : pour accéder au service, saisir directement chatgpt.com dans la barre d’adresse ou utiliser un favori créé après vérification. Ce détour de quelques secondes supprime le risque lié au résultat sponsorisé et évite de confondre publicité, assistant personnalisé et support officiel. Le premier signe d’alerte est donc souvent la manière dont on arrive sur la page.
Faux site et téléchargement frauduleux : reconnaître le scénario avant l’installation
Après le message de prétendue panne, le GPT pousse l’utilisateur vers un site externe présenté comme une solution de secours. Dans la campagne décrite, cette page est hébergée sur Google Sites, mais elle n’appartient pas à ChatGPT. Le nom d’une plateforme connue dans l’adresse ou dans la mise en page ne prouve pas que le contenu soit officiel : les services d’hébergement permettent à des utilisateurs de publier leurs propres pages.
La page affiche ensuite une vérification qui ressemble à un contrôle Cloudflare. Elle peut prétendre qu’une étape supplémentaire est nécessaire pour confirmer que le visiteur n’est pas un robot. La différence importante se trouve dans l’action demandée : un contrôle légitime peut demander de cocher une case ou d’appuyer sur un bouton, mais il ne devrait pas exiger que la personne ouvre PowerShell, copie une commande puis l’exécute.
Cette demande transforme la victime en opérateur du piège. Au lieu de télécharger un fichier de façon classique, elle lance elle-même une commande qui récupère ou exécute un contenu malveillant. C’est un téléchargement frauduleux particulièrement dangereux, car les protections habituelles peuvent être contournées lorsque l’utilisateur autorise volontairement une action dans un terminal. La consigne peut être formulée comme une simple vérification, ce qui réduit la méfiance.
Un faux installateur peut ensuite déposer un logiciel malveillant sur l’ordinateur. Selon sa nature et les autorisations obtenues, le programme peut tenter de récupérer des identifiants, d’accéder aux fichiers, d’installer d’autres composants ou de maintenir un accès à distance. Le risque de vol de données concerne aussi les comptes ouverts dans le navigateur, les informations enregistrées et les documents présents sur la machine. Il ne faut pas supposer que toutes les campagnes produisent exactement les mêmes effets : le comportement dépend du programme installé.
Voici les signes d’alerte à repérer avant de cliquer ou d’exécuter quoi que ce soit :
- Une urgence artificielle : le service serait en panne et la seule solution consisterait à agir immédiatement.
- Une demande de paiement inattendue : une page de dépannage pousse vers une offre sans expliquer clairement son origine.
- Un domaine distinct : le lien quitte chatgpt.com pour une adresse inconnue ou un hébergeur de pages.
- Une vérification qui demande d’ouvrir un terminal : aucune validation anti-robot ordinaire ne justifie de coller une commande dans PowerShell.
- Une consigne de copier-coller opaque : une commande difficile à comprendre ne doit jamais être exécutée sur la seule demande d’une page web.
Ces indices sont plus parlants lorsqu’ils apparaissent ensemble. Un visiteur peut, par exemple, croire qu’il résout un problème de connexion alors qu’il suit une chaîne de redirections conçue pour lui faire exécuter un programme. Des articles sur les faux sites ChatGPT capables d’infecter un ordinateur illustrent ce type de risque, tandis que les conseils pour reconnaître les arnaques liées à ChatGPT rappellent l’importance de vérifier le contexte avant de suivre un lien.
Face à une page qui réclame une commande, il ne faut pas chercher à la tester « pour voir ». Fermer l’onglet et rejoindre le service en saisissant son adresse officielle reste le bon réflexe. Un contrôle de sécurité qui réclame de désactiver son jugement n’est pas un contrôle de sécurité.
Cybersécurité : pourquoi cette arnaque ChatGPT paraît crédible
Cette arnaque fonctionne parce qu’elle assemble plusieurs éléments familiers dans un ordre cohérent. La publicité apparaît sur un moteur de recherche connu, le GPT s’ouvre dans l’environnement réel de ChatGPT, puis une page d’apparence professionnelle promet une solution à une panne. Chaque étape emprunte un signe de légitimité au service précédent, même si le parcours global n’a rien d’officiel.
La publicité payante joue un rôle déterminant. Les internautes ont l’habitude de voir des annonces au-dessus des résultats classiques et peuvent les confondre avec des liens recommandés. Or, une annonce reste une publicité, pas une validation éditoriale de la destination. Les moteurs de recherche renforcent leurs contrôles et peuvent supprimer des comptes liés à une campagne, mais les attaquants peuvent tenter de créer de nouvelles annonces ou de modifier leur présentation.
Le fait que l’utilisateur soit déjà connecté au vrai service constitue un autre levier. Il voit son compte et reconnaît l’interface, puis baisse naturellement sa garde. Pourtant, un GPT personnalisé peut diffuser un texte trompeur sans que cela signifie que la plateforme rencontre réellement une panne. Un utilisateur peut vérifier en ouvrant un nouvel onglet et en consultant directement le site officiel ou les canaux de statut du service, plutôt que de suivre la recommandation de l’assistant suspect.
Le scénario exploite aussi l’autorité technique. Le mot « Cloudflare » rassure, car il est associé à la protection de nombreux sites. Mais une page qui affiche un logo ne prouve pas qu’elle est gérée par l’entreprise concernée. La vérification doit porter sur l’action proposée : demander une commande Windows n’est pas une étape normale de validation humaine. Dans une organisation, ce seul critère peut devenir une règle facile à mémoriser et à transmettre.
Le hameçonnage classique demande souvent un mot de passe sur une fausse page de connexion. Ici, la manipulation va plus loin : elle incite la personne à lancer elle-même un code. Cette évolution rend le piège plus difficile à détecter pour ceux qui pensent qu’un danger se limite aux pièces jointes ou aux téléchargements visibles. Le clic n’est pas toujours l’étape la plus risquée ; c’est parfois l’action exécutée après le clic qui déclenche l’infection.
Pour illustrer la situation, imaginons Lina, qui utilise ChatGPT pour préparer des documents professionnels. En cherchant le service sur Google, elle clique sur une annonce, voit un message de panne crédible, puis accepte une vérification proposée sur un autre site. Si la page lui demande de coller une commande, le bon choix n’est pas de l’exécuter pour retrouver l’accès : c’est de fermer l’onglet, vérifier l’adresse et prévenir le support informatique si l’appareil appartient à son entreprise.
La vigilance ne consiste donc pas à soupçonner chaque outil numérique. Elle consiste à séparer les étapes : la recherche n’authentifie pas une publicité, un domaine connu n’authentifie pas un GPT tiers et un logo ne certifie pas une consigne. Pour approfondir les mécanismes de manipulation, un guide sur les escrocs qui se font passer pour ChatGPT aide à replacer ce type d’attaque dans un ensemble plus large d’imitations en ligne.
La crédibilité du piège ne vient pas d’une technologie magique, mais de l’enchaînement de détails ordinaires. Rompre cette chaîne en vérifiant l’adresse avant d’agir suffit souvent à empêcher l’infection.
Que faire si une commande PowerShell ou un faux installateur a été exécuté
Si une commande a déjà été copiée dans PowerShell, il faut considérer l’ordinateur comme potentiellement compromis. La première priorité est d’interrompre les activités sensibles sur cet appareil : éviter de se connecter à sa banque, à sa messagerie ou à un portefeuille de cryptomonnaies tant que la situation n’a pas été vérifiée. En entreprise, prévenir rapidement l’équipe informatique permet d’appliquer une réponse coordonnée au lieu de laisser chacun improviser.
Il est préférable de couper la connexion réseau si l’activité suspecte semble se poursuivre, sans éteindre précipitamment une machine gérée par un service informatique. L’isolement peut limiter les échanges avec un serveur distant, mais une équipe de sécurité doit pouvoir préserver des éléments utiles à l’analyse. Pour un particulier, déconnecter le Wi-Fi ou le câble Ethernet constitue une mesure raisonnable en cas de comportement anormal après l’exécution.
Ensuite, lancer une analyse avec un outil de sécurité reconnu et à jour, idéalement depuis un autre appareil propre pour consulter les instructions officielles. Supprimer au hasard des fichiers ou installer un prétendu outil de nettoyage recommandé par la page suspecte peut aggraver la situation. Si la détection confirme une infection, le recours à un professionnel est prudent, surtout lorsque l’ordinateur contient des données de travail ou des informations financières.
Les mots de passe doivent être modifiés depuis un appareil sain, en commençant par la messagerie principale, car elle permet souvent de réinitialiser l’accès à d’autres comptes. Il faut activer l’authentification à plusieurs facteurs lorsque c’est possible et fermer les sessions inconnues dans les paramètres des services utilisés. Si des informations bancaires ou des clés d’accès à des actifs numériques ont été exposées, contacter immédiatement les organismes concernés et suivre leurs consignes.
Pour une entreprise, conserver l’heure de l’incident, l’adresse de la page, le texte affiché et le nom de l’appareil peut aider au diagnostic. Il ne faut pas renvoyer la commande malveillante à ses collègues pour leur montrer le piège : transmettre une capture d’écran sans lien cliquable ou demander à l’équipe sécurité de collecter les informations est plus sûr. Le signalement au moteur de recherche et à la plateforme concernée contribue aussi à faire retirer l’annonce ou la page.
Le tableau ci-dessous aide à choisir une réaction sans confondre une simple visite et une exécution de code :
| Situation observée | Risque immédiat | Action conseillée |
|---|---|---|
| Annonce suspecte affichée, sans clic | Pas d’exécution liée au seul affichage | Ne pas ouvrir le lien et signaler l’annonce si l’option existe |
| Page externe ouverte, sans téléchargement ni commande | Exposition limitée, mais prudence nécessaire | Fermer la page et vérifier les téléchargements récents |
| Fichier téléchargé mais non lancé | Le fichier peut être dangereux s’il est exécuté | Ne pas l’ouvrir et le faire analyser par un outil de sécurité reconnu |
| Commande collée ou installateur lancé | Compromission possible de l’appareil ou des comptes | Isoler l’appareil, prévenir le support et changer les mots de passe depuis un appareil sain |
Un incident n’implique pas nécessairement que toutes les données ont été volées, mais l’absence de symptôme visible ne suffit pas à écarter le risque. La réponse la plus sûre combine isolement, analyse et sécurisation des comptes, sans se fier aux promesses de la page qui a déclenché l’incident.
Protection informatique : les réflexes pour éviter le piège au quotidien
Pour éviter cette arnaque ChatGPT, le réflexe le plus simple consiste à saisir directement chatgpt.com dans la barre d’adresse, plutôt qu’à passer par une annonce de recherche. Un favori créé après vérification réduit encore le risque d’erreur. Cette habitude est facile à appliquer au bureau comme à la maison et protège aussi contre d’autres publicités imitant des banques, des services cloud ou des logiciels connus.
Si une recherche reste nécessaire, il faut distinguer clairement les résultats sponsorisés des résultats ordinaires. Une annonce n’est pas automatiquement malveillante, mais elle doit être traitée comme un contenu commercial dont la destination mérite vérification. Survoler le lien sur ordinateur ou consulter l’adresse avant de l’ouvrir sur mobile peut révéler une redirection vers un domaine inattendu.
Il est également utile d’adopter une règle ferme : ne jamais coller une commande dans PowerShell, Terminal ou l’invite de commandes simplement parce qu’un site le demande. Une commande peut modifier des paramètres, télécharger des fichiers ou lancer un programme avec les droits de l’utilisateur. Si une tâche technique est réellement nécessaire, elle doit provenir d’une documentation officielle ou être validée par une personne compétente, avec une explication compréhensible de son effet.
Dans une petite entreprise, cette règle peut être intégrée à une procédure courte : vérifier l’adresse, interrompre toute demande de commande, faire une capture non interactive et avertir la personne chargée de l’informatique. Une simulation régulière aide les équipes à reconnaître les demandes inhabituelles sans transformer chaque clic en source d’angoisse. La sensibilisation fonctionne mieux quand les consignes sont concrètes et répétées, plutôt que noyées dans un long document technique.
La protection informatique passe aussi par des mises à jour régulières du système, un navigateur récent, une solution de sécurité active et des sauvegardes testées. Ces mesures ne remplacent pas la prudence, mais elles réduisent les conséquences si un fichier dangereux parvient jusqu’à l’ordinateur. Les sauvegardes doivent être séparées de la machine principale ou protégées contre les modifications non autorisées pour rester utiles en cas d’attaque.
Les utilisateurs de Mac ne doivent pas considérer cette méthode comme un problème réservé à Windows. La campagne décrite vise notamment une commande exécutée dans PowerShell, mais d’autres escroqueries peuvent cibler macOS avec de faux logiciels ou des instructions pour le Terminal. Un article consacré aux malwares associés à de fausses instructions autour de ChatGPT sur Mac rappelle que le système utilisé ne dispense jamais de vérifier l’origine d’un outil.
Pour garder des repères simples, chaque lecteur peut appliquer cette liste avant toute installation :
- Vérifier le domaine et rejoindre le service depuis son adresse officielle.
- Se méfier de l’urgence et chercher une confirmation indépendante de la panne annoncée.
- Refuser toute commande opaque demandée par une publicité, un chatbot ou une page de vérification.
- Contrôler l’éditeur avant de télécharger une application et éviter les installateurs proposés par des sites inconnus.
- Signaler le piège à son équipe informatique ou à la plateforme qui héberge l’annonce.
Des conseils supplémentaires sur les fausses publicités ChatGPT dans les résultats Google peuvent compléter ces habitudes. L’objectif n’est pas de bannir les assistants IA, mais de garder le contrôle sur les liens et les actions qu’ils suggèrent. Une adresse vérifiée et un refus systématique des commandes inconnues forment une défense simple, efficace et applicable immédiatement.
