À six semaines de sa sortie, GTA 6 attire plus que jamais les escrocs. Avast dit avoir recensé plus de 200 noms de domaine liés au jeu en 24 heures, dont une vingtaine jugés à risque, avec de fausses précommandes et arnaques crypto.
Les faux sites de précommande de GTA 6 poussent plus vite que les palmiers de Vice City. En une seule journée, les chercheurs d'Avast, dont l'enquête relayée cette semaine fut pilotée par Luis Corrons, ont repéré plus de 200 adresses liées au jeu de Rockstar, dont l'une copie sans gêne le PlayStation Store pour siphonner identifiants et paiements. Qu'il s'agisse de faux téléchargements PC, d'APK Android fantaisistes ou de jetons crypto maison, l'éditeur cyber fait état d'un vrai écosystème de l'arnaque, installé bien avant le 19 novembre, date prévue de sortie du jeu très, très attendu.
Une précommande GTA 6 qui ne livrera jamais rien
Le cas le plus « propre » rapporté par Avast s'appelle order-gta6[.]com. Le site se fait passer pour une boutique qui vend « Grand Theft Auto VI: Ultimate Edition », avec un habillage calqué sur celui du PlayStation Store. Sous le vernis officiel, l'objectif des arnaqueurs est évidemment de récupérer les identifiants des visiteurs et d'encaisser leur argent. Avast y a même déniché un code fonctionnel de connexion à un portefeuille de cryptomonnaies.
Le piège est trompeur, car l'édition imitée existe bel et bien. Rockstar commercialise une Édition Ultime à 99,99 euros, vingt de plus que la version standard, avec une Grotti Cheetah de 1995 et des revolvers façon Vice City. Il faut aussi savoir que même en boîte, le jeu sera livré sous forme de code de téléchargement. Acheter un simple « code » à un vendeur inconnu peut donc sembler parfaitement normal ici.
D'autres sites jouent la carte de l'appât du gain, plutôt que celle de l'impatience. Sur fangta6[.]com, on vante par exemple un faux jeton baptisé ViceFuel (VFUEL), encore en développement, avec des cadeaux à la clé. La plateforme gta6casinoslots[.]online cumule de son côté la collecte d'identifiants, les demandes de paiement, les références crypto et les offres promotionnelles, sous une identité visuelle empruntée au jeu. Avast signale aussi gta6-radar[.]com, gta6-mods[.]com ou gta6[.]my parmi les pages les plus dangereuses.
GTA 6 sur PC ou Android ? Le meilleur signal d'alarme
Une partie de la liste vise les joueurs sans PS5 ni Xbox Series, avec les sites gta6pcgame[.]com, gta6mobile[.]net ou gta6modapk[.]com.in, qui promettent le jeu sur ordinateur ou en APK. Parmi les exemples transmis par Avast, une page assure que Rockstar a lancé une bêta Android. Une autre affiche 150 Go, un bouton de téléchargement direct et 27 494 téléchargements au compteur, pour un jeu qui n'existe pas encore. Or GTA 6 sortira uniquement sur ces deux consoles, sans version PC ni mobile annoncée. Quant à la piste du Xbox Cloud Gaming, Xbox l'a refermée le 7 octobre. Il n'y aura pas de streaming sur PC au lancement.
Dans tous les cas, ce que décrit par Avast n'est pas nouveau. On se souvient que dès l'ouverture des précommandes, de faux PlayStation Store et un pseudo-jeton $GTAVI avaient déjà été repérés par Kaspersky. À la fin du mois d'août, c'est une prétendue démo PC de GTA 6 qui cachait un malware. Depuis ce 8 octobre, un fichier de plus de 370 Mo, baptisé « Extended Leek » en clin d'œil à l'« Extended Look » diffusé sur Netflix, fait aussi circuler près de 25 minutes de vidéo du jeu, pour ce qui est le dernier épisode d'une saga de fuites qui empoisonne Rockstar depuis l'été. Avec peut-être une vague de liens « exclusifs » à télécharger.
Entre les faux cracks, les fausses précommandes et les faux concours, les ressorts sont divers et certains sites copient même le logo et la mise en page de Rockstar ou de PlayStation pour paraître authentiques. Alors, pour éviter le piège, Avast conseille d’abord de n’acheter le jeu que sur les boutiques officielles, et de fuir toute promesse de téléchargement gratuit ou anticipé sur PC, une version qui n’existe pas. Il est aussi important de ne jamais relier son portefeuille crypto, l’application qui stocke vos cryptomonnaies, à un site de jeu, sous peine de lui ouvrir l’accès à vos fonds. Avant de taper un mot de passe ou un numéro de carte, il suffit souvent d'un petit coup d’œil à l’adresse affichée dans le navigateur pour démasquer l’imposteur. Les plus impatients n’ont de toute façon plus longtemps à attendre, puisque le préchargement de la version numérique, qui permet d’installer le jeu à l’avance pour y jouer dès minuit le jour J, ouvrira le 12 novembre.
