186 faux domaines d’IA détournent les fautes de frappe sur ChatGPT et Claude vers des malwares
- La recherche d’Island du 12 novembre a répertorié 186 domaines imitateurs usurpant 27 marques d’IA, dont ChatGPT, Claude et Gemini, et a retracé certains d’entre eux jusqu’à des commandes ClickFix, un installateur signé par le Microsoft Store permettant le détournement de navigateur et des extensions de détournement de recherche.
- Le décompte de 186 correspond à un inventaire de domaines frauduleux, et non à des infections confirmées ; aucune perte liée à cette campagne n’a été établie.
- Les adresses IA mal orthographiées offrent aux attaquants une porte d’entrée vers les navigateurs et les identifiants des employés qui utilisent ces outils au quotidien.
Une erreur de frappe dans le nom de domaine d’un outil d’IA peut signifier bien plus qu’une simple page d’erreur. Dans un rapport publié le 12 novembre, l’entreprise de sécurité des navigateurs d’entreprise Island a trouvé 186 domaines ressemblant aux noms de domaine de 27 marques d’IA connues. Ce chiffre correspond à des adresses web plutôt qu’à des cas d’infection réellement confirmés. Certaines adresses redirigent les utilisateurs vers des pages publicitaires, tandis que d’autres les envoient vers des sites malveillants.
Une faute de frappe qui mène ailleurs
Island qualifie cette méthode de « TypoPrompting ». ChatGPT est la marque d’IA la plus imitée, avec 25 domaines similaires. Claude suit avec 18, DeepSeek avec 16 et Runway avec 12. Perplexity, Lovable et Character.ai en comptent chacun 11.
Toutes les adresses similaires ne mènent pas à la même destination. Certaines génèrent des revenus publicitaires. D’autres dirigent les visiteurs vers des courtiers en trafic, qui décident où les rediriger en fonction de leur localisation, de leur navigateur ou de leur appareil.
Trois chemins menant du nom mal orthographié au logiciel malveillant
Island a découvert qu'il existait trois vecteurs de compromission associés à des domaines lookalike. Le premier vecteur partait de cloude[.]ai, un nom de domaine mal orthographié associé à Claude. Les visiteurs étaient redirigés vers une page de vérification Cloudflare frauduleuse qui leur demandait d'exécuter une commande PowerShell sous Windows. Cette page a créé un réseau de 211 domaines, y compris des domaines imitant des entreprises sans rapport avec l'IA.
Le deuxième vecteur menait à une fausse page « Vérification de sécurité » promouvant Net Guard. Bien que disponible sur le Microsoft Store, Island a constaté que cette application pouvait détournner les navigateurs et exécuter des scripts fournis à distance.
Le troisième vecteur comprenait 30 extensions de navigateur qui détournent les recherches. Parmi celles-ci, 13 ont été supprimées, laissant 17 encore en usage, cumulant 972 000 utilisateurs. Ce chiffre provient des listings des magasins d'extensions, et non d'incidents d'infection confirmés.
Pourquoi ClickFix contourne les défenses automatisées
Le faux contrôle Cloudflare utilise ClickFix. Comme l’explique Microsoft, la technique consiste à amener les utilisateurs à exécuter eux-mêmes des commandes malveillantes au sein d’outils Windows familiers. Cela permet aux attaques de contourner les défenses automatisées.
La société de sécurité navigateur Push Security a cité le taux de conversion de 96,3 % de ClickFix pour la livraison de logiciels malveillants selon Microsoft. ClickFix représente également plus de la moitié des détections mensuelles d’attaques chez Push. Aucune de ces statistiques ne mesure la campagne d’Island.
Qui profite quand une visite tourne mal
Même une visite qui s'arrête avant l'infection peut générer des revenus. Island a lié certaines redirections à des paiements publicitaires et affiliés via des identifiants de suivi partagés.
L’entreprise de sécurité DNS Infoblox a constaté que plus de 90 % des visites dans ses tests de domaines en attente aboutissaient à des arnaques, des logiciels indésirables ou des logiciels malveillants.
Parallèlement, la société de sécurité de la chaîne d’approvisionnement logicielle Socket a identifié 319 extensions de piratage de recherche comptant environ 13,4 millions d’utilisateurs. Il s’agissait d’enquêtes distinctes, et non de victimes supplémentaires du TypoPrompting.
Ce qu’un navigateur détourné peut coûter à une entreprise
Pour les entreprises, un navigateur détourné représente une menace bien plus importante qu’une simple redirection non désirée. Les attaquants pourraient accéder aux comptes d’entreprise ou aux systèmes internes. Toutefois, Island n’a pas établi de pertes financières liées à cette campagne.
Des constats plus larges en cybersécurité éclairent ce qui est en jeu. Le rapport 2026 de Verizon indique que l’intrusion système constitue le principal schéma de violation, avec 61 %. Les recherches d’IBM 2026 révèlent que les violations malveillantes alimentées par l’IA coûtent en moyenne 6 millions de dollars, soit davantage que la moyenne globale des violations de 4,99 millions de dollars.
Ces deux chiffres excluent les pertes liées aux faux domaines d’IA d’Island. À mesure que davantage d’entreprises rejoignent le mouvement des outils d’IA, les perspectives de l’OCDE pour 2026 alertent sur la sécurité numérique, qui devient une préoccupation croissante.
Que peuvent faire les lecteurs dès maintenant ?
Il existe également d’autres risques qui dépassent le simple fait de saisir incorrectement des adresses web. Dans une autre campagne, Cryptopolitan avait précédemment signalé que plus de 260 000 utilisateurs de Chrome avaient installé au moins 30 extensions malveillantes se faisant passer pour des assistants IA. Dans ces deux cas, les attaques montrent comment les attaquants exploitent la confiance des utilisateurs envers des marques d’IA familières. Les mêmes précautions peuvent aider les utilisateurs à éviter ces pièges : marquer les sites officiels d’IA comme favoris, ne jamais exécuter de commandes terminal demandées par une page web, et vérifier régulièrement les extensions installées dans le navigateur. Activer l’authentification à deux facteurs pour une protection supplémentaire. Les entreprises devraient également restreindre l’installation d’extensions non autorisées.
Ne vous contentez pas de lire les actualités crypto. Comprenez-les. Abonnez-vous à notre newsletter. C'est gratuit.
FAQ
Qu’est-ce que le TypoPrompting ?
C’est le terme utilisé par Island pour désigner les sites imitant l’apparence des applications IA qui transforment une adresse mal saisie pour un outil comme Claude ou ChatGPT en une invite invitant à vérifier, installer ou exécuter quelque chose de malveillant.
Le chiffre du domaine 186 signifie-t-il 186 infections confirmées ?
Non. Island indique que 186 correspond au nombre de ses domaines imitateurs répartis sur 27 marques IA, et distingue les domaines enregistrés ou monétisés du plus petit ensemble qu’elle a pu tracer jusqu’à la diffusion active de logiciels malveillants.
Pourquoi ClickFix est-il difficile à bloquer pour les logiciels de sécurité ?
Microsoft signale que ClickFix repose sur l’exécution manuelle d’une commande par l’utilisateur dans des outils tels que PowerShell ou la boîte de dialogue Exécuter de Windows, permettant ainsi à l’attaque de contourner les défenses conventionnelles et automatisées ; Push Security a cité un taux de réussite de 96,3 % selon Microsoft.
Avertissement. Les informations fournies ne constituent pas des conseils en matière de trading. Cryptopolitan.com décline toute responsabilité concernant les investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement une recherche indépendante et/ou une consultation avec un professionnel qualifié avant de prendre toute décision d'investissement.
Ibiam Wayas
Ibiam Wayas couvre l'actualité des cryptomonnaies depuis 2019. Il a étudié l'informatique à l'Université ouverte du Nigeria. Ses travaux ont été publiés sur diverses plateformes d'actualités cryptographiques, dont Coinfomania, Crypto News Australia et AltcoinBuzz. Fort de son background en informatique, il se concentre désormais sur les actualités liées aux cryptomonnaies, à la robotique et à la longévité.
