Jusqu'ici, les arnaques en ligne se repèrent à leurs défauts : fautes d'orthographe, formulations maladroites, expéditeurs inconnus. L'IA générative permet aujourd'hui de produire des messages de phishing sans faute, dans un style professionnel et parfaitement personnalisé. Les vieux réflexes de détection sont devenus insuffisants.
Pour Rovéna Éblé, responsable des assistants conversationnels chez Orange, la définition tient en quelques mots : « Un chatbot, c'est une intelligence artificielle dont le but est d'entamer une conversation avec un utilisateur — un service client réalisé par un robot conversationnel, disponible à toute heure. » Depuis leur lancement, ces outils n'ont cessé de gagner en volume et en sophistication. C'est précisément cette banalisation qui crée aujourd'hui une vulnérabilité.
La menace prend une forme nouvelle avec les bots conversationnels frauduleux. Ces programmes automatisés imitent un service client ou un conseiller technique avec un seul objectif : récupérer des identifiants, des coordonnées bancaires ou des codes de validation. Ils apparaissent sous forme de fenêtres de chat sur de faux sites web, de messages automatisés sur les réseaux sociaux ou de chatbots intégrés dans des applications piratées. Le ministère de l'Intérieur recense ces techniques et les bonnes pratiques associées. Un seul bot peut mener des milliers de conversations simultanément, avec un niveau de crédibilité sans précédent.
Les formes que prend le phishing conversationnel
L'usurpation de service client est la plus répandue. Un faux conseiller vous contacte au nom de votre banque, de votre opérateur ou d'un service public. Le chatbot reproduit les codes visuels et le vocabulaire du service imité, crée un sentiment d'urgence et pousse la victime à communiquer ses identifiants ou à valider une opération frauduleuse.
L'arnaque au faux recrutement suit la même logique. Des escrocs utilisent des avatars IA pour mener des entretiens fictifs, récoltant données personnelles et documents confidentiels au fil de la conversation. France Travail alerte régulièrement sur ces pratiques qui ciblent les demandeurs d'emploi. Le bot imite un recruteur humain, pose des questions crédibles et collecte progressivement des informations sensibles.
Le phishing émotionnel via les réseaux sociaux est la troisième variante. Les chatbots IA se font passer pour de vraies personnes sur les applications de rencontres ou les réseaux sociaux. Le bot adapte son style d'écriture et exploite les informations disponibles sur le profil de la cible pour établir une relation de confiance avant de passer à l'acte.
ChatGPT, Gemini, Copilot : le risque vient de ce que vous confiez
Les grands chatbots publics : ChatGPT, Gemini, Copilot, ne sont pas des outils malveillants. Mais ils présentent un risque que l'on sous-estime souvent : celui de la surexposition des données. Chaque information saisie dans une conversation (coordonnées personnelles, données professionnelles, documents internes) est transmise à un service tiers, hébergé hors de France, soumis à une politique de confidentialité que peu d'utilisateurs lisent.
Maxime Petesch, directeur de la sécurité Grand Public France chez Orange, précise la distinction : « ChatGPT ou Gemini ne sont pas des outils d'attaque en eux-mêmes. Le danger vient de ce que l'utilisateur leur confie. » Les cybercriminels s'appuient toutefois sur ces technologies pour industrialiser leurs attaques : « Les phishings fonctionnent de mieux en mieux. Les attaques pour voler et vérifier des mots de passe sont plus pointues. »
Le réflexe à adopter est simple : ne jamais saisir dans un chatbot grand public des informations que vous n'accepteriez pas de rendre accessibles à tous. Cela vaut aussi bien pour vos données personnelles que pour les informations de votre employeur.
Ce que vous ne devriez jamais confier dans un chat
Aucune administration ou société commerciale sérieuse ne demande de données bancaires ou de mots de passe par messagerie. Ce principe vaut intégralement pour les interfaces de chat, qu'elles soient sur un site web, une messagerie ou une application.
Numéro de carte bancaire, code de validation reçu par SMS, mot de passe, copie de pièce d'identité : ces informations n'ont pas leur place dans un échange textuel, même avec un interlocuteur qui se présente sous des apparences officielles. Un vrai professionnel laisse toujours un délai raisonnable de réflexion. L'urgence soudaine et les demandes pressantes sont une technique classique pour court-circuiter le jugement. Cette sophistication croissante des arnaques est en partie alimentée par les outils d'IA générative, qui permettent aux cybercriminels de produire des messages en masse, sans (presque) aucune anomalie.
Les signaux qui trahissent un faux conseiller
Un contact non sollicité est le premier signal. Votre banque ou votre opérateur n'initie pas un chat sans que vous en ayez fait la demande. Si quelqu'un vous contacte spontanément pour évoquer une anomalie sur votre compte, suspendez la conversation.
Le registre de l'urgence en est un autre. Les phrases du type « votre compte sera bloqué dans 24 heures » ou « validez maintenant pour éviter une pénalité » sont conçues pour provoquer une réaction rapide sans réflexion. Prenez le temps de vérifier le message par un autre canal avant d'agir.
L'impossibilité de joindre un interlocuteur humain est également révélatrice. Un service client légitime permet toujours d'escalader vers une personne identifiée, joignable à un numéro officiel. Si le chatbot esquive cette demande ou répond de façon circulaire, c'est un signal d'alarme.
Vérifiez enfin l'URL du site sur lequel s'affiche la fenêtre de chat. Les escrocs utilisent des adresses très proches des vraies, avec une lettre en plus ou en moins. Un cadenas HTTPS ne garantit pas la légitimité d’un site mais son absence représente déjà une faille.
Chatbot légitime ou frauduleux : comment faire la différence
Un chatbot officiel ne demande jamais d'informations sensibles dans la conversation. Il propose de rediriger vers un espace client sécurisé pour toute opération nécessitant une authentification. Il s'identifie clairement, avec le nom de l'entreprise et un accès transparent à ses coordonnées officielles.
En cas de doute, fermez la fenêtre de chat et contactez l'entreprise directement, en tapant vous-même son adresse dans votre navigateur ou en utilisant un numéro de téléphone trouvé sur un document officiel jamais un numéro fourni dans le chat lui-même.
Chez Orange, nous sommes pleinement engagés à garantir une utilisation de l'intelligence artificielle et des chatbots qui soit responsable, durable et éthique.
Conscients des enjeux liés à la fraude et à la sécurité, nous mettons en œuvre des politiques strictes pour assurer la transparence envers nos clients, renforcer leur confiance et assurer leur protection.
Notre démarche repose sur une éthique forte, visant à offrir des services numériques fiables et respectueux des droits de chacun.
Ainsi, nous veillons à ce que nos solutions d'IA soient déployées dans le respect des normes et des valeurs qui guident notre engagement envers une expérience client sécurisée, transparente et de confiance.
Signaler pour protéger les autres
Avec le moteur de vérification d'Orange Cybersecure, vous pouvez vérifier la fiabilité d'un message, d'un lien suspect avant d'agir.
Si vous avez été ciblé par un chatbot frauduleux, signalez ensuite l'incident sur cybermalveillance.gouv.fr
Signaler, c'est aussi protéger les autres : chaque signalement contribue à identifier les campagnes en cours et à alerter d'autres utilisateurs face aux menaces en circulation.
Testez vos connaissances en sécurité numérique !
Répondez à notre quiz spécial sécurité numérique et découvrez quel atelier vous correspond le mieux !
Je joue maintenant.