Fausse application d'IA

Définition

Une fausse application d'IA est un logiciel, une extension de navigateur ou une application mobile qui se présente comme un outil d'intelligence artificielle connu, ou comme un accès privilégié à celui-ci, afin de collecter des identifiants ou des données.

Comment ça fonctionne

La notoriété rapide de ces outils crée un écart durable entre ce que les gens ont entendu nommer et ce qu'ils savent situer : peu de personnes connaissent l'adresse officielle d'un service dont elles ont entendu parler la semaine précédente. Le faux exploite cet écart, en proposant une version gratuite, sans attente, avec des fonctions supplémentaires, ou disponible dans un pays où l'officielle ne l'est pas. Deux récoltes suivent. La première est classique : identifiants demandés à l'inscription, souvent via une connexion avec un compte existant, et les autorisations larges d'une extension de navigateur. La seconde est propre à ces outils : ce que l'utilisateur y saisit — documents professionnels, données personnelles, textes confidentiels — parce que l'usage même consiste à confier du contenu.

Sur quoi cette attaque s'appuie

Comprendre ces ressorts vaut mieux que retenir cent fiches : c'est ce qui permet de reconnaître une arnaque que personne n'a encore décrite.

Signaux d'alerte

• Application promettant l'accès gratuit à un outil habituellement payant
• Éditeur différent de celui de l'outil annoncé
• Extension de navigateur demandant l'accès à tous les sites pour une fonction de rédaction
• Connexion proposée avec un compte existant sur un site que vous n'avez pas atteint vous-même
• Application relayée par une publicité ou un résultat sponsorisé
• Absence de politique de confidentialité, ou politique se réservant tout usage du contenu soumis

Comment vérifier

Partez de l'éditeur officiel plutôt que du nom de l'outil : ouvrez son site, et suivez le lien qu'il donne vers son application. C'est le seul chemin qui ne passe pas par une recherche, laquelle est précisément le terrain de cette attaque. Vérifiez le nom du développeur dans le magasin d'applications, et les autorisations demandées.

Que faire

N'utilisez que les applications de l'éditeur, et refusez les extensions réclamant l'accès à tous les sites pour une fonction accessoire. Indépendamment de la fraude, ne confiez à aucun outil de ce type des documents que vous ne publieriez pas : le contenu soumis quitte votre machine.

Si c'est déjà arrivé

Retirez l'application ou l'extension, changez les mots de passe des comptes utilisés pour vous y connecter et révoquez les sessions ainsi que les autorisations d'applications tierces. Faites l'inventaire de ce qui a été soumis à l'outil : si des documents professionnels ou des données personnelles y figurent, prévenez qui de droit.

Questions fréquentes

L'application fonctionne et me donne bien des réponses.

C'est attendu : elle peut relayer les requêtes vers un service réel tout en conservant une copie de ce qui transite et des identifiants saisis. Le fonctionnement apparent ne dit rien de ce qui se passe autour.

Que risque-t-on avec ce que l'on a écrit dedans ?

Tout ce qui a été soumis doit être considéré comme sorti de votre contrôle : documents, coordonnées, textes internes. Faites-en la liste, et signalez-le si des informations professionnelles ou des données concernant des tiers sont en jeu.

Attaques liées

• Application malveillante
• Extension de navigateur malveillante
• Agent conversationnel malveillant
• Faux téléchargement

Sources officielles

• Cybermalveillance.gouv.fr — Assistance et signalement