Une arnaque d'IA incroyablement réaliste cible des milliards d'utilisateurs de Gmail. Comment ça marche ?
Alors que l'intelligence artificielle continue de progresser, des acteurs malveillants trouvent de nouvelles façons d'utiliser la technologie à leur avantage. Un nouvel avertissement a été lancé par le consultant Microsoft Solutions Sam Mitrovic concernant une arnaque d'IA « ultra réaliste » qui serait capable de tromper « même les utilisateurs les plus expérimentés ». Le gouvernement américain a été très occupé ces derniers temps avec les escroqueries et l'IA. La Federal Trade Commission a mis en garde le mois dernier contre une augmentation des escroqueries aux distributeurs automatiques de bitcoins, après une perte massive de 110 millions de dollars, et a commencé à sévir contre les faux avis générés par l'IA le mois précédent. Il semble désormais qu'il existe une arnaque vile utilisant l'IA pour tenter de prendre le contrôle des comptes Gmail d'une victime inconsciente.
Mitrovic a fait remarquer dans un article de blog : « J’ai récemment reçu une notification pour approuver une tentative de récupération de compte Gmail. » Il a ajouté que la demande provenait des États-Unis et qu’il l’avait rejetée. Cependant, il a remarqué environ 40 minutes plus tard qu’il avait manqué un appel. L’appel manqué affichait l’identifiant de l’appelant « Google Sydney ». Une semaine plus tard, Mitrovic a reçu une autre notification pour approuver la récupération de son compte Gmail. Une fois de plus, 40 minutes plus tard, il a reçu un autre appel, auquel il a répondu cette fois. Il a remarqué que l’appelant avait une voix américaine et était très poli et professionnel. Cependant, le numéro était d’Australie.
Le consultant a déclaré que l'appelant s'est présenté et lui a ensuite dit qu'il y avait une activité suspecte sur son compte. L'appelant a demandé à Mitrovic s'il voyageait, et quand il a répondu non à l'appelant, on lui a demandé s'il s'était connecté depuis l'Allemagne. Mitrovic a de nouveau répondu non. L'appelant a ensuite informé Mitrovic que quelqu'un avait essayé d'accéder à son compte pendant environ une semaine et qu'il avait téléchargé les données du compte. Alors qu'il était toujours en communication, Mitrovic a recherché le numéro de téléphone sur Google. À sa grande surprise, la documentation de Google a confirmé que certains appels de l'entreprise provenaient d'Australie, et le numéro qui l'avait appelé semblait légitime. Mais Mitrovic savait également que les numéros de téléphone peuvent être facilement falsifiés, alors il a continué à creuser plus profondément.
Mitrovic a ensuite demandé à l’appelant de lui envoyer un e-mail. L’appelant a accepté et a demandé à Mitrovic de lui accorder un moment. Pendant que Mitrovic attendait le courrier électronique, il a dit qu’il pouvait entendre quelqu’un taper en arrière-plan sur un clavier et que tout au long de l’appel, il y avait des bruits similaires à ceux d’un centre d’appels. Quelques instants plus tard, l’appelant a signalé qu’il avait envoyé l’e-mail, qui paraissait à nouveau authentique à première vue. Alors qu’il était toujours en communication téléphonique, le consultant a entendu l’appelant dire « Bonjour ». Mitrovic a choisi de l’ignorer, puis environ 10 secondes plus tard, la voix a de nouveau dit « Bonjour ». C’est à ce moment-là qu’il a dit qu’il s’agissait d’une voix d’IA car « la prononciation et l’espacement étaient trop parfaits ».
Il a décidé de raccrocher le téléphone à ce moment-là et de rentrer chez lui pour continuer à enquêter sur l'appel suspect. Lorsqu'il a essayé de rappeler le numéro, il est tombé sur la messagerie vocale avec un message indiquant : « Ici Google Maps, nous ne pouvons actuellement pas prendre votre appel… » Il a ensuite vérifié l'activité de connexion à son compte Gmail (tout le monde peut le faire en cliquant sur sa photo de profil Gmail dans le coin supérieur droit, puis sur Gérer votre compte Google, puis sur Sécurité dans le menu de gauche et en regardant sous le sous-titre Activité de sécurité récente), notant que les seules sessions de connexion étaient les siennes. Il a ensuite vérifié les en-têtes des e-mails. C'est là qu'il a remarqué comment l'appelant avait pu usurper l'adresse e-mail de l'expéditeur, en déclarant qu'il utilisait Salesforce CRM, qui permet aux utilisateurs de définir l'adresse comme ils le souhaitent, puis de l'envoyer via les serveurs Gmail/Google.
La morale de cette histoire est qu’il faut être extrêmement prudent lorsqu’il s’agit de divulguer des informations personnelles à quiconque. Les escroqueries deviennent de plus en plus sophistiquées grâce à l’utilisation de l’IA et deviennent de plus en plus convaincantes. Comme le souligne Mitrovic, « il existe trop d’outils pour lutter contre les escrocs, mais au niveau individuel, le meilleur outil reste la vigilance, en effectuant les vérifications de base ci-dessus ou en demandant l’aide d’une personne de confiance ».
HOTHARDWARE