Une seule lettre sépare chatlgpt.com de chatgpt.com. La société de cybersécurité Island a recensé 186 adresses de ce genre, et sur certaines d’entre elles, des pirates vous poussent à installer vous-même un logiciel malveillant sur votre ordinateur.
Vous voulez ouvrir ChatGPT, Claude ou Gemini, et vos doigts glissent sur le clavier. C'est le syndrome du Knacki, diront certaines mauvaises langues. Et les pirates comptent sur cette erreur. Ils enregistrent les adresses mal orthographiées des assistants d’IA, ce que les spécialistes appellent du typosquatting, et Island a relevé des imitations de 27 marques d’IA. Avec 25 imitations, ChatGPT est la marque la plus copiée, devant Claude et DeepSeek. Gemini a ses imitations, dont geimini.com, et la française Mistral AI a la sienne, mistrial.ai. En suivant les redirections de ces adresses, les chercheurs d’Island sont tombés sur des malwares et sur des extensions qui détournent vos recherches.
Les pirates vous font exécuter une commande PowerShell
Sur cloude.ai, fausse adresse de Claude, le propriétaire n’a mis en ligne qu’une page d’attente, dite page parking, et il peut revendre le trafic de ses visiteurs. Vous êtes ensuite transféré vers un système de distribution de trafic, chargé de choisir votre destination en fonction de votre pays, de votre système d’exploitation et de votre navigateur. Les pirates profilent alors votre navigateur et relèvent votre adresse IP. Seule une partie des visiteurs voit le piège.
Il s’agit d’une fausse page de vérification humaine aux couleurs de Cloudflare, traduite en six langues, dont le français. Sur Windows, une commande est copiée dans votre presse-papiers, puis les pirates vous demandent de la coller dans la fenêtre Exécuter. Avec cette technique, le ClickFix, c’est vous qui lancez leur programme. Les pirates téléchargent alors un script PowerShell dans un dossier temporaire et l’exécutent dans une fenêtre cachée, sans tenir compte des restrictions d’exécution de Windows. Sur Mac, les pirates affichent plutôt une fausse mise à jour de sécurité et vous demandent de coller une commande dans le Terminal.
Island a retrouvé le script de profilage sur 211 adresses d’entrée, dont de fausses adresses de banques nord-américaines, de l’opérateur Verizon ou de Microsoft Azure. Comme l’explique Oleg Zaytsev, chercheur principal en sécurité chez Island, ces sites sont des « sosies d’applications d’IA qui transforment la tentative d’ouvrir un outil familier en une invitation à vérifier, installer ou exécuter autre chose ». Aucune vraie vérification Cloudflare ne vous demande d’ouvrir la fenêtre Exécuter ou le Terminal pour coller du texte.
Les pirates détournent votre moteur de recherche
Si vous tapez ckaude.ai, deepceek.com ou copiot.com, vous risquez d’atterrir sur une fausse page de contrôle de sécurité. Les pirates vous proposent d’installer Net Guard, qu’ils font passer pour un outil d’analyse de votre Wi-Fi. Le fichier est signé par le Microsoft Store et correspond exactement à l’application publiée sur la boutique de Microsoft. Une fois Net Guard installé, les pirates peuvent changer votre moteur de recherche par défaut pendant que vous n’utilisez pas votre PC et installer des extensions dans Chrome.
Sur preplexity.ai, fausse adresse de Perplexity, les pirates vous invitent à ajouter à Chrome une extension de recherche Bing. En réalité, vos recherches transitent par le serveur d’une société tierce, sans qu’aucune autorisation vous soit demandée à l’installation. Au bureau, ce tiers peut ainsi récupérer les noms de serveurs internes, de clients ou de projets que vous tapez dans la barre d’adresse, prévient Island.
Google prépare pour Chrome une protection contre les extensions qui détournent votre moteur de recherche, mais seulement contre celles imposées à votre insu par des clés de politique locale, un réglage normalement réservé aux administrateurs. Ici, c’est vous qui installez l’extension. Island a recensé 30 extensions issues du même kit, que vous ne trouverez pas en cherchant dans le Chrome Web Store. Treize ont été retirées, et les autres comptaient 972 000 utilisateurs déclarés début novembre.
Pour ouvrir ChatGPT ou Gemini, passez plutôt par un favori ou par l’application officielle. Et si votre moteur de recherche a changé sans raison, ouvrez Paramètres puis Moteur de recherche dans Chrome, avant de passer en revue vos extensions.
