On m’a encore appelé la semaine dernière pour ça. Un client, la soixantaine, patron d’une petite boîte de BTP, qui me dit au téléphone : « Marc, j’ai reçu un mail de Microsoft, ils disent que mon compte est compromis, il faut que je colle une commande dans PowerShell pour vérifier. » J’ai senti le froid dans mon dos. Autant dire que j’ai failli lui hurler de tout débrancher. Ce genre d’arnaque, je la vois passer depuis quinze ans, mais depuis un an, elle a changé de visage. L’IA est devenue le nouveau décor de confiance des escrocs, et mine de rien, ça marche. Alors parlons des arnaques ia, de celles qui font semblant d’être intelligentes pour mieux vous plumer.
Parce que le problème n’est pas que l’IA soit dangereuse en soi. Le problème, c’est qu’elle donne un vernis de crédibilité à des manœuvres qui existent depuis l’époque des faux emails du prince nigérian. Sauf qu’aujourd’hui, la syntaxe est propre, le ton est professionnel, et le piège est mieux emballé. Je ne suis pas certain à 100% que tout le monde mesure l’ampleur du truc, mais d’après mon expérience en atelier, on est sur une bascule générationnelle du phishing.
Arnaques ia : le nouveau visage de la confiance truquée
Ce qui a changé, ce n’est pas la nature de l’arnaque. C’est l’emballage. Avant, une tentative d’hameçonnage se repérait à l’œil nu : fautes d’orthographe, mise en page bancale, adresse d’expéditeur douteuse. Maintenant, l’escroc génère un texte impeccable en trois secondes, avec le bon ton, la bonne formule de politesse, et même une pointe d’urgence bien dosée. Pour être honnête, quand je reçois certains mails, je dois moi-même relire deux fois avant de tilter.
Le mécanisme est simple. L’IA sert de décor. Elle ne fait pas l’arnaque, elle l’habille. Elle transforme un vulgaire mail de phishing en une communication crédible. Et les victimes tombent parce qu’elles font confiance à la qualité du texte, pas au contenu. C’est là que le bât blesse.
Korben a bien résumé la chose dans son article : une commande à coller, un lien, du code, un agent. Quatre portes d’entrée, un même piège. Le point commun, c’est que l’IA est convoquée comme caution morale. « C’est sûr, c’est un assistant IA qui me le demande, donc c’est fiable. » Sauf que non. Un assistant IA ne vous demandera jamais de coller une commande PowerShell dans votre terminal pour « vérifier votre compte ». Jamais. Si un outil vous demande ça, c’est une arnaque, point barre.
- La commande à coller : on vous fait exécuter du code sous prétexte de diagnostic. C’est le piège numéro un.
- Le lien « officiel » : une URL qui imite un service connu, avec un design propre généré à la volée.
- Le faux agent : un chatbot qui vous guide pas à pas vers la fuite de données.
- Le code à installer : un « outil de vérification » qui n’est qu’un cheval de Troie déguisé.
Du coup, le réflexe reste le même qu’il y a dix ans : ne jamais exécuter ce qu’un inconnu vous demande de coller. Gratuit, basique, efficace. On n’a pas besoin d’un diplôme en cybersécurité pour appliquer ça.
Le réflexe gratuit qui sauve des clients (et des dimanches)
Je vais être tranchant : la plupart des « experts » qui publient des guides sur les arnaques IA vous vendent des solutions payantes. Des antivirus premium, des formations à 400 balles, des abonnements à des services de surveillance. Autant dire que ça m’agace. Le meilleur réflexe contre ces arnaques est gratuit, et il tient en une phrase : si on te demande d’exécuter quelque chose, tu refuses et tu vérifies par un autre canal.
Concrètement, quand un mail vous demande de coller une commande, de cliquer sur un lien ou d’installer un outil, vous fermez le mail. Vous ouvrez votre navigateur. Vous tapez l’adresse du service concerné à la main. Vous vous connectez par le site officiel. Si le problème est réel, vous le verrez. S’il ne l’est pas, vous venez d’éviter une arnaque en trente secondes.
La semaine dernière, un client m’appelle donc, paniqué. Il a failli coller la commande. Je lui ai dit : « Ferme tout, ne touche plus à rien, on va vérifier ensemble. » Dix minutes plus tard, on avait confirmé que c’était du phishing pur jus. Son compte n’avait jamais été compromis. Le mail était généré par IA, avec un logo Microsoft, une mise en page parfaite, et une fausse alerte de sécurité. Le texte était meilleur que certains mails internes de sa propre boîte. Ça fait réfléchir.
- Ne jamais exécuter une commande reçue par mail, message ou chat.
- Vérifier l’expéditeur réel, pas le nom affiché.
- Passer par le site officiel en tapant l’adresse à la main.
- En cas de doute, appeler un proche ou un technicien avant d’agir.
Mine de rien, ces quatre réflexes couvrent 90% des cas que je vois en atelier. Le reste, c’est du cas par cas.
Ce que l’analyse des conversations d’ESET couvre (et ce qu’elle ne couvre pas)
L’article de Korben mentionne une analyse des conversations d’ESET sur les arnaques dopées à l’IA. C’est intéressant, mais je vais prendre position : ce genre d’analyse a une valeur documentaire, pas une valeur de protection. Elle décrit ce qui se passe. Elle ne vous protège pas de ce qui va vous arriver. Nuance importante, souvent noyée dans le marketing.
Ce que ces analyses couvrent, c’est le paysage : les types d’arnaques, les techniques utilisées, les cibles privilégiées. Utile pour comprendre. Ce qu’elles ne couvrent pas, c’est votre cas particulier. Votre boîte, votre config, vos habitudes. Et c’est précisément là que ça coince, parce que les arnaques IA sont personnalisables à l’infini. L’escroc peut adapter son texte à votre secteur, à votre poste, à vos outils. Une analyse générale ne peut pas anticiper ça.
Je ne suis pas certain à 100% que les éditeurs d’antivirus mesurent bien cette limite, mais d’après ce que je vois, ils vendent de la visibilité, pas de la protection réelle. La protection réelle, c’est votre vigilance et celle de vos équipes. Point.
Pour être honnête, je pense même que le battage médiatique autour des arnaques IA profite surtout aux vendeurs de solutions. On agite le chiffon rouge, on fait peur, et on vend la parade. Sauf que la parade gratuite existe, et qu’elle est plus efficace que n’importe quel logiciel. Le jour où les éditeurs mettront en avant le réflexe humain plutôt que leur abonnement, on aura avancé. Ce jour n’est pas arrivé.
Le piège du faux agent et du code « de confiance »
Il y a un piège que je vois de plus en plus, et qui me hérisse : le faux agent. On vous présente un chatbot, souvent avec un nom rassurant, qui vous guide pas à pas. « Bonjour, je suis l’assistant de sécurité de votre banque, veuillez confirmer vos identifiants pour vérifier votre compte. » Le design est propre. Le ton est professionnel. Et l’utilisateur, rassuré par l’apparence, donne tout.
Le problème, c’est que ce faux agent n’est pas un agent. C’est un formulaire de collecte déguisé. L’IA génère les réponses, mais le but reste le même : récupérer vos données. Et si vous avez le malheur de coller un code ou d’installer un « outil de vérification », vous installez en réalité un logiciel malveillant.
Là-dessus, je suis catégorique : aucun service légitime ne vous demandera de coller du code dans PowerShell, de télécharger un exécutable depuis un mail, ou de confier vos identifiants à un chatbot. Aucun. Si ça arrive, c’est une arnaque. Évidemment, Windows et sa manie de tout compliquer n’aident pas. Entre les scripts d’installation, les commandes à rallonge et les prompts qui débordent, l’utilisateur moyen ne sait plus ce qui est légitime et ce qui ne l’est pas. C’est le terrain de jeu idéal pour les escrocs.
Histoire de vous donner un exemple concret : un client m’a appelé parce qu’il avait reçu un mail lui demandant de coller une commande pour « réparer son Windows ». Il n’avait pas de problème particulier, mais le mail était bien fichu. Il a failli le faire. Je lui ai demandé de m’envoyer le mail. En deux minutes, j’avais identifié l’arnaque. Le texte était généré, l’adresse d’expéditeur falsifiée, et la commande, une fois analysée, tentait de désactiver ses protections. Autant dire que sans le coup de fil, il y passait.
- Aucun agent légitime ne demande vos identifiants.
- Aucun service officiel ne vous fait coller du code par mail.
- Un exécutable reçu par mail est un exécutable suspect, par défaut.
- En cas de doute, un appel à un proche ou à un technicien coûte moins cher qu’une arnaque.
Du coup, la règle est simple : plus c’est pressé, plus c’est propre, plus c’est suspect. L’urgence est l’arme numéro un des escrocs. L’IA ne fait qu’améliorer l’emballage.
Mon verdict, sans détour, sur les arnaques ia
Je vais être direct : les arnaques ia ne sont pas une nouveauté technologique. Ce sont les mêmes arnaques qu’avant, avec un meilleur emballage. Le phishing, le faux support, le faux agent, la commande à coller : tout ça existait déjà. L’IA n’a rien inventé. Elle a juste rendu le tout plus crédible, plus rapide, plus personnalisable.
Alors non, je ne vais pas vous dire que l’IA est le grand méchant. Le grand méchant, c’est l’escroc qui l’utilise. Et le meilleur vaccin reste le même qu’il y a quinze ans : le doute. Douter d’un mail trop propre. Douter d’une demande trop pressée. Douter d’un agent trop serviable. Douter, c’est gratuit. Douter, c’est efficace. Douter, ça sauve des dimanches et des comptes en banque.
Pour être honnête, je pense que la meilleure défense contre les arnaques ia n’est pas technologique. Elle est humaine. C’est de ralentir. C’est de vérifier par un autre canal. C’est d’appeler quelqu’un. C’est de ne pas exécuter ce qu’on ne comprend pas. Le jour où tout le monde appliquera ces quatre règles, les escrocs devront trouver autre chose. En attendant, ils ont de beaux jours devant eux, parce que la crédibilité générée par l’IA est un leurre redoutable.
Une dernière chose. Si vous recevez un mail qui vous demande de coller une commande, de cliquer sur un lien ou d’installer un outil, ne le faites pas. Fermez le mail. Ouvrez votre navigateur. Tapez l’adresse officielle. Et si vous avez un doute, appelez un technicien. Le mien de conseil, il est gratuit. Celui d’un escroc, il vous coûtera bien plus cher.
Source : Les news de Korben — Arnaques dopées à l’IA : comment ne pas tomber dans le panneau.
Source : article original
