IA et fraudes aux boutiques en ligne: risques et conseils

Quelqu'un a cliqué sur un lien qui semblait officiel. Le prix était trop beau pour être vrai. Le colis n'est jamais arrivé. Le compte bancaire a été vidé. Ce n'est pas un thriller techno. C'est un schéma que les chercheurs en sécurité observent désormais là où l'IA conversationnelle rencontre la fraude en ligne.

Des enquêtes récentes par le service de vérification des fraudes Ask Silver ont révélé que ChatGPT peut proposer des boutiques en ligne convaincantes mais falsifiées lorsqu'on demande des informations sur des produits de marques britanniques familières comme Russell & Bromley ou Dunelm. Des remises attractives. Des vitrines plausibles. Des liens qui orientent les acheteurs vers des sites clonés conçus pour voler de l'argent et des informations de paiement.

Quand les données d'entraînement deviennent un maillon faible

Des attaquants implantent des pages malveillantes sur le web. Ces pages sont crawlées, indexées et, au bon moment, intégrées aux sources qui alimentent les grands modèles de langage. Le résultat est ce que les experts appellent "empoisonnement de données" : le modèle apprend à partir de pages frauduleuses puis répète les mêmes mauvais conseils aux utilisateurs quotidiens.

Anna Jones d'Ask Silver explique que les criminels exploitent parfois des moments particuliers du cycle de vie d'une marque, comme un changement de propriétaire ou une indisponibilité du site officiel, pour fournir à l'IA de fausses références et faire apparaître leurs sites comme légitimes. L'astuce est simple. Créer une page crédible. Lui donner l'apparence du véritable magasin. Puis laisser le modèle la reprendre et la recommander.

Lewis Baxter, qui dirige l'équipe anti-fraude chez National Trading Standards au Royaume-Uni, met en garde : la simple présence d'un site web dans la réponse d'une IA n'est pas un gage d'authenticité. Les gens consultent les chatbots pour obtenir rapidement des conseils d'achat. Les escrocs se sont adaptés tout aussi vite. Voir un lien convaincant dans la réponse d'un chatbot peut inciter un acheteur à sauter des vérifications de base.

Les vitrines factices décrites dans les rapports sont souvent étonnamment soignées. Elles utilisent des noms de domaine proches des marques authentiques, en ajoutant des mots comme onlineuk ou official à côté d'un nom connu, et annoncent des remises importantes, parfois jusqu'à 80 pour cent, pour pousser les acheteurs à agir sans réfléchir. Beaucoup de ces sites n'acceptent que les virements bancaires, un autre signal d'alerte.

Vérifiez toujours le vendeur directement: recherchez la boutique par son nom, consultez le site officiel et ne payez jamais par virement bancaire à moins d'être certain que le vendeur est légitime.

Que peuvent faire les utilisateurs immédiatement ? Ralentir. Lire l'URL attentivement. Surveiller les mots ajoutés, les suffixes étranges et les fautes d'orthographe. Privilégier les cartes ou les méthodes de paiement offrant une protection de l'acheteur. Si un site insiste pour un virement bancaire, considérez-le comme un signe fort de vous éloigner. Dans la mesure du possible, tapez le nom du détaillant dans un moteur de recherche ou accédez-y via un favori de confiance plutôt que de cliquer sur un lien proposé par un chatbot.

• Examinez de près le domaine pour détecter des mots supplémentaires ou des terminaisons inconnues.
• Recherchez des coordonnées et des preuves sociales vérifiables.
• Évitez les options de paiement qui n'acceptent que les virements bancaires.
• Utilisez des cartes de crédit ou des services de paiement offrant une protection de l'acheteur.

OpenAI indique avoir supprimé les sites frauduleux identifiés des résultats de recherche du modèle et propose un moyen pour les utilisateurs de signaler les liens problématiques. Utile. Nécessaire. Mais pas une solution complète. Les modèles apprennent à partir d'immenses portions du web, et les attaquants n'ont besoin que de créer quelques pages convaincantes pour causer des dégâts.

En fin de compte, la responsabilité est partagée. Les équipes techniques doivent renforcer les pipelines des modèles et détecter l'empoisonnement. Les plateformes doivent améliorer la vérification des liens. Et les acheteurs doivent considérer les suggestions de l'IA comme des points de départ, pas comme des recommandations définitives. Conservez votre curiosité. Soyez encore plus prudents.