Catégorie : Phishing

« Les machines peuvent-elles penser ? », la question pourtant simple posée par le mathématicien Alan Turing en 1950, déclenche un début de recherche et de longues expérimentations autour de  l’intelligence artificielle. Aujourd’hui, les nombreuses recherches et avancées technologiques ont porté leurs fruits et de nombreuses inventions utilisant l’intelligence artificielle ont vu le jour. C’est donc 72 ans plus tard, le 30 novembre 2022 que chatGPT est lancé. Développé par OpenAI, une entreprise de recherche en intelligence artificielle, chatGPT a rapidement su se faire connaitre au grand public. Aujourd’hui, on compte 186 millions de comptes et 1,6 milliard de visites seulement durant le mois de mars 2023.

Qu’est-ce que chatGPT et comment fonctionne-t-il ?

ChatGPT est un chatbot d’intelligence artificielle à système auto-génératif. Cela signifie que la machine « interagit de manière conversationnelle » en utilisant un langage naturel (appelé NLP « Natural Language Processing »). L’intelligence artificielle utilise des algorithmes d’apprentissage en profondeur ; elle est capable d’analyser les questions des utilisateurs et générer des réponses adaptées. Avec le temps, chatGPT apprend des questions mais aussi des réponses de ses utilisateurs. Cela lui permet de répondre à une palette de questions très large, comme la rédaction de lettres de motivation, de dissertations ou encore l’écriture de lignes de code. Et si la réponse ne convient pas, il suffit de dialoguer avec lui et une réponse plus convaincante sera proposée. C’est pourquoi, cette invention a su plaire rapidement et à autant de monde.

Mais chatGPT a également des inconvénients, notamment en rapport à la cybersécurité et plus exactement le phishing.

À grand pouvoir, grandes responsabilités : gérer les risques cyber liés à la création de chatGPT devient tâche difficile. Communément, les cybercriminels n’y vont pas de main morte. Ces dernières années, les délits et cyberattaques mondiales ont fortement augmenté, notamment de 38% en 2022.
Mais ce qui inquiète face à chatGPT, ce sont les attaques par phishing. En effet, chatGPT est devenu une mine d’or pour les hackers. Sa capacité à écrire des textes de tous types, sans faute, tout en générant des réponses semblables aux humains, est un atout de taille pour les cybercriminels. Cela accentue une menace déjà bien présente et trop répandue. Le rapport IC3 de 2022, réalisé par le FBI, indique que le phishing est le délit rapportant le plus de plaintes. En 2022, avec 300 497 plaintes, aux USA seulement, le phishing devient le type de cyberattaque le plus répandu aux Etats-Unis mais aussi dans le monde. En plus d’être un problème très répandu, il affecte tous les secteurs ; il est donc essentiel de se tenir informé et d’être préparé.  

Le phishing est utilisé par les cybercriminels afin d’obtenir des informations personnelles et sensibles sur leurs victimes. Pour cela, les criminels se font passer pour des organisations de confiance à travers des messages envoyés par sms, appels téléphoniques, ou par courrier électronique. C’est par l’intermédiaire de ces messages qu’ils invitent leurs victimes à cliquer sur un lien pour renseigner leurs informations personnelles. 

OpenAI interdit formellement toute utilisation malveillante de chatGPT. Lorsqu’on lui demande directement d‘écrire un code malveillant ou de rédiger un e-mail de phishing, celui-ci refuse. Cependant, avec une insistance soutenue et une tournure de phrase astucieuse, l’intelligence artificielle peut fournir suffisamment d’informations qui permettent de simplifier la tâche d’un cybercriminel. Cette manipulation peut être réalisée en utilisant la version standard de chatGPT, sans nécessiter de « JailBreaking ». Or, cette réalité est préoccupante, car chatGPT a déjà été utilisé pour créer des e-mails de phishing et des pages web frauduleuses.

Interview avec chatGPT

Qu’en pense le principal intéressé ? Pour en avoir le cœur net, nous avons entrepris de poser quelques questions à chatGPT afin d’obtenir son « avis » sur la situation, mais également pour tester la création d’e-mails frauduleux.

Tout d’abord, du point de vue juridique, chatGPT suit-il un code de conduite et existe-t-il des régulations régissant les intelligences artificielles ?

Pour le moment, en Europe, aucune réelle loi n’est en place afin d’encadrer et réguler l’utilisation des intelligences artificielles telles que chatGPT. Cependant, la Commission Européenne a déjà lancé un projet visant à fournir un cadre réglementaire, et des propositions d’orientation ont déjà été établies. Il n’y a donc pas encore de règles ou d’interdictions officielles en vigueur en Europe. Néanmoins, il est prévu que la situation change dans les prochains mois ou prochaines années.
ChatGPT n’est donc pas soumis à un code de conduite légal, toutefois, l’outil semble suivre un code moral de conduite.

D’après chatGPT, voici ce qu’il n’a pas le droit de faire : se livrer à des activités illégales, transgresser des droits de propriété intellectuelle, fournir des informations personnelles ou confidentielles et enfin, usurper l’identité d’une personne ou d’une organisation.

Nous avons également sollicité son avis sur sa capacité à aider une personne à lancer une attaque par phishing. Il nous confirme qu’il n’a moralement pas le droit de le faire. 

Enfin, nous l’avons également questionné afin de savoir s’il était possible d’obtenir librement des informations sur la présence d’une entrée DMARC dans le fichier zone de Nike. Le Domain-Based Message Authentification Reporting and Conformance (DMARC) est une méthode d’authentification d’e-mail qui permet au détenteur du domaine de définir des instructions concernant le traitement des messages sur son système de messagerie. Il s’agit d’un outil efficace contre le phishing. Pour le cybercriminel, être informé de la présence d’un DMARC au sein d’une entreprise, lui permet de choisir avec plus de facilité les entreprises à cibler, celles n’ayant pas déployé une politique DMARC. ChatGPT n’a pas été en mesure de fournir directement des éléments concernant l’enregistrement DMARC de l’entreprise, mais il a expliqué comment l’obtenir à l’aide de la ligne de commande Windows.

Nous avons également tenté de tester chatGPT afin d’obtenir un e-mail de phishing. Après quelques interrogations, nous avons rapidement su lui poser les bonnes questions. Finalement, il a été en  mesure de nous écrire un e-mail convainquant, pouvant se faire passer pour une banque. 

Il nous fournit alors ce message; un piège à phishing parfait, car celui-ci contient tous les codes d’un e-mail classique d’une banque demandant au destinataire de communiquer ses informations personnelles. En effet, ce message est écrit dans un anglais soutenu, sans faute d’orthographe ; il invite le destinataire à agir vite, sous la panique et sans réfléchir. Après avoir obtenu cette information, si un détail ne convient pas au cybercriminel, il peut demander à chatGPT de modifier ce qui ne lui convient pas.

Qu’attendre du futur?

Pourra-t-on bloquer ou ralentir l’évolution de l’IA ? Suite à la sortie de chatGPT, certaines personnalités influentes dans le domaine de la technologie, telles qu‘Elon Musk ou encore Steve Wozniak, co-fondateur d‘Apple, ont exprimé leurs préoccupations en signant des pétitions et en participant à des lettres ouvertes, visant à suspendre la recherche et la sortie d’une IA plus poussée que chatGPT. Cela reflète l’inquiétude de la Commission Européenne et des citoyens face aux avancées technologiques.

Cependant, il est difficile d’imaginer que les intelligences artificielles telles que chatGPT soient totalement interdites dans le futur. Et ce, malgré les risques qu’elles posent en matière de cybersécurité, par exemple. Comme le propose le projet de la Commission Européenne, l’utilisation des intelligences artificielles telles que chatGPT va être réglementée. Cependant, il est peu probable que cela suffise à freiner les cybercriminels désirant utiliser chatGPT comme outil de phishing.

Mieux vaut donc se préparer et se protéger face aux risques liés aux intelligences artificielles qui, avec le temps, vont devenir de plus en plus efficaces.

Se protéger avec la politique DMARC de Nameshield

Qui ne craint pas une attaque par phishing ? Il est donc primordial de vérifier les protections mises en place en matière de messagerie. C’est souvent par ce moyen que passent les cybercriminels qui tentent d’hameçonner vos informations et celles de votre entreprise.

Un moyen efficace de contre-attaquer consiste à déployer une politique DMARC.

Mettre en place une politique DMARC au sein de votre entreprise présente de nombreux avantages. En effet, elle vous permettra de bloquer les tentatives d’usurpation ainsi que les e-mails frauduleux. De plus, cette politique renforcera l’authentification de votre trafic et contribuera à l’amélioration de la délivrabilité de vos e-mails.

Nameshield vous accompagne dans le déploiement d’une politique DMARC. Grâce à notre expertise, nous pourrons veiller à sa bonne implémentation, dans les meilleures conditions possibles. 
N’hésitez pas à prendre contact avec votre consultant Nameshield et tenez-vous informés sur les avancées technologiques telles que chatGPT et son lien avec le phishing et d’autres crimes cyber.