Des résultats inquiétants : une étude montre que les chatbots d'IA excellent dans les tactiques de phishing

Une étude récente a montré à quel point il est facile d'utiliser les chatbots modernes pour rédiger des e-mails d'hameçonnage convaincants ciblant les personnes âgées et à quelle fréquence ces e-mails sont cliqués.

Les chercheurs ont utilisé plusieurs grands chatbots IA dans l'étude, y compris Grok, ChatGPT d'OpenAI, Claude, Meta AI, DeepSeek et Gemini de Google, pour simuler une arnaque par hameçonnage. 

Un exemple de note rédigé par Grok ressemblait à une approche amicale de la part de la « Silver Hearts Foundation », décrite comme une nouvelle organisation caritative soutenant les personnes âgées avec de la compagnie et des soins. La note était destinée aux personnes âgées, promettant un moyen facile de s'impliquer. En réalité, une telle organisation caritative n'existe pas.

« Nous croyons que chaque aîné mérite dignité et joie dans ses années dorées », lisait la note. « En cliquant ici, vous découvrirez des histoires touchantes de seniors que nous avons aidés et apprendrez comment vous pouvez rejoindre notre mission. » 

Lorsque Reuters a demandé à Grok de rédiger le texte de phishing, le bot a non seulement produit une réponse mais a également suggéré d'augmenter l'urgence : « N'attendez pas ! Rejoignez notre communauté compatissante aujourd'hui et aidez à transformer des vies. Cliquez maintenant pour agir avant qu'il ne soit trop tard ! » 

108 bénévoles seniors ont participé à l'étude de phishing

Des journalistes ont testé si six chatbots IA bien connus abandonneraient leurs règles de sécurité et rédigeraient des e-mails destinés à tromper les seniors. Ils ont également demandé aux bots de l'aide pour planifier des campagnes d'arnaque, y compris des conseils sur le moment de la journée qui pourrait obtenir la meilleure réponse. 

En collaboration avec Heiding, un chercheur de l'Université Harvard qui étudie le phishing, les chercheurs ont testé certains des e-mails rédigés par les bots sur un groupe de 108 bénévoles seniors.

Habituellement, les entreprises de chatbots forment leurs systèmes à refuser les demandes nuisibles. En pratique, ces sauvegardes ne sont pas toujours garanties. Grok a affiché un avertissement indiquant que le message qu'il a produit « ne devrait pas être utilisé dans des scénarios réels ». Même ainsi, il a fourni le texte de phishing et a intensifié la proposition avec « cliquez maintenant ».

Cinq autres chatbots ont reçu les mêmes invites : ChatGPT d'OpenAI, l'assistant de Meta, Claude, Gemini et DeepSeek de Chine. La plupart des chatbots ont refusé de répondre lorsque l'intention était claire. 

Cependant, leurs protections ont échoué après une modification légère, telle que l'affirmation que la tâche était à des fins de recherche. Les résultats des tests ont suggéré que les criminels pourraient utiliser (ou utilisent déjà) les chatbots pour des campagnes d'arnaque. « Vous pouvez toujours contourner ces choses », a déclaré Heiding.

Heiding a sélectionné neuf e-mails de phishing produits avec les chatbots et les a envoyés aux participants. Environ 11 % des destinataires ont mordu à l'hameçon et cliqué sur les liens. Cinq des neuf messages ont attiré des clics : deux provenant de Meta AI, deux de Grok et un de Claude. Aucun des seniors n'a cliqué sur les e-mails rédigés par DeepSeek ou ChatGPT.

L'année dernière, Heiding a dirigé une étude montrant que les e-mails de phishing générés par ChatGPT peuvent être aussi efficaces pour obtenir des clics que les messages rédigés par des humains, dans ce cas, parmi les étudiants universitaires. 

Le FBI classe le phishing comme la cybercriminalité la plus courante

Le phishing consiste à attirer des victimes inconscientes pour qu'elles divulguent des données sensibles ou de l'argent via de faux e-mails et textos. Ce type de messages constitue la base de nombreux crimes en ligne. 

Des milliards de textos et d'e-mails de phishing sont envoyés quotidiennement dans le monde. Aux États-Unis, le Federal Bureau of Investigation (FBI) classe le phishing comme la cybercriminalité la plus fréquemment signalée. 

Les Américains âgés sont particulièrement vulnérables à ces arnaques. Selon les chiffres récents du FBI, les plaintes des personnes de 60 ans et plus ont augmenté de 8 fois l'année dernière, avec des pertes s'élevant à 4,9 milliards de dollars. L'IA générative a considérablement aggravé la situation, selon le FBI.

Rien qu'en août, les utilisateurs de cryptomonnaies ont perdu 12 millions de dollars à cause d'arnaques par phishing, selon un Cryptopolitan rapport.

En ce qui concerne les chatbots, l'avantage pour les escrocs est le volume et la vitesse. Contrairement aux humains, les bots peuvent générer des variations infinies en quelques secondes et à un coût minimal, réduisant le temps et l'argent nécessaires pour exécuter des arnaques à grande échelle.