Ces dernières semaines, il est partout. Vous avez forcément entendu parlé de lui : chatGPT. Il s'agit d'un prototype d'agent conversationnel utilisant l'intelligence artificielle développé par OpenAI et spécialisé dans le dialogue. Pour beaucoup d'experts, il s'agit d'une révolution. Sa facilité d’utilisation et ses compétences sont ses atouts. Malheureusement, ces atouts ne servent pas uniquement aux étudiants qui demandent à ce dernier de faire leurs devoirs. Elles commencent à intéresser les cybercriminels.
Des mails de phishing plus difficiles à détecter
Les capacités de chatGPT, capable de répondre à des questions qui lui sont soumises et d'avoir une discussion, font forte impression même chez les cybercriminels.
Cette IA a commencé par aider les cybercriminels à rédiger des mails. Mais pas n'importe lesquels : des mails de "phishing", c'est-à-dire destinés à amener les cibles à cliquer sur un lien frauduleux ou à télécharger une pièce jointe contenant un virus.
chatGPT permet surtout aux cybercriminels de rédiger des mails sans erreur de grammaire, d'orthographe ou de conjugaison et ceux et d'une qualité professionnelle. De plus, le bot est capable de converser dans la plupart des langues parlées aujourd'hui. Ceci permet aux cybercriminels de rédiger des mails dans chacune de ces langues sans aucune faute et donc de toucher beaucoup plus de cibles. L'ère des faux e-mails envoyés dans un français ou anglais très douteux est révolue.
Jusqu'ici, la meilleure manière de détecter un mail de phishing était de faire attention aux fautes grammaticales, d'orthographes et/ou de conjugaisons. Ensuite, de bien observer les expressions utilisées selon le contexte du mail. Tout ceci est presque caduc. Un cybercriminel peut demander à ChatGPT d'écrire un mail comme s'il était un banquier qui communiquait avec son client pour demander un virement de frais d’entretien de compte par exemple. Le bot est capable de rédiger le mail en utilisant les termes et expressions propres au système bancaire et sans la moindre faute.
D'où la crainte que ChatGPT ne favorise l'émergence d'une génération de pirates informatiques peu versés dans l'art du code mais dopés à l'IA. Un allié de taille qui pourrait permettre de démocratiser la cybercriminalité tout simplement.
Rendre accessible la cybercriminalité mais pas l'automatiser... pour le moment
Bien que ChatGPT rend les codes malveillants plus accessibles aux néophytes, il faut plus qu'un code malveillant pour pénétrer un système informatique. ChatGPT est juste une aide dans la chaîne de la cybercriminalité. Il faut mettre en place l'infrastructure de l'attaque, faire le suivi des opérations, savoir quelles informations sont sensibles et lesquelles peuvent ensuite être monnayées sur Internet. De plus, le bot ne teste pas l'efficacité des codes malveillants qu'il peut générer, et il a été constaté que le code n'est pas toujours parfait.
ChatGPT n'est donc pas une arme de piraterie massive pour apprenti hacker. Pour autant, il peut rendre la face obscure de la sécurité informatique plus accessible.
Une aubaine pour la cybercriminalité
C'est un atout particulièrement utile pour les script kiddies. Tout comme les étudiants, il peut aider à sauter quelques étapes de l'apprentissage comme faire les devoirs. Dans ce cas, les devoirs sont par exemple la documentation à consulter sur les bases de l'informatique, du réseau, du code. Étape indispensable pour un futur hacker. chatGPT peut accélérer cette formation. Certes, OpenAI a tenté de mettre en place quelques garde-fous pour empêcher une utilisation malveillante de sa solution. Mais, il est aisé avec une subtilité dans la tournure de la question d'obtenir ce qu'on le veut. Même le code source d'un ransomware.
Tout récemment, sur un forum fréquenté par les cybercriminels pointé du doigt par Check Point, on découvrait les travaux de plusieurs pirates qui ont profité du service d’OpenAI pour des projets funestes. L’un d’entre eux a par exemple développé, grâce au bot, un logiciel capable de dérober des fichiers sur une machine (un stealer) Windows. Il est en mesure de scanner l’ordinateur à la recherche de 12 types de fichiers précis (PDF, images, documents Office…) puis de les zipper dans un fichier protégé par un mot de passe, avant de l’envoyer dans le cloud. C’est un malware très basique pour le moment, mais l’individu écrit qu’il n’en est qu’au début de ses recherches, et qu’il compte améliorer son programme afin, notamment, de lui permettre d’échapper à la surveillance des antivirus.
Et ce n'est que le début. ChatGPT va évoluer et probablement devenir plus perfectionné. Cet outil, qui pour l'instant ne peut pas faire ses propres recherches sur Internet, devrait finir par être relié à celui-ci, ce qui ouvrira d'autres perspectives. Il pourrait alors chercher bien plus rapidement que n'importe quel humain les dernières failles informatiques. D'un autre côté, ChatGPT pourra aussi servir à mieux se défendre contre les attaques informatiques. On se dirige donc vers un futur où les cybercriminels et les professionnels de la cybersécurité s’affrontent à l’aide d’intelligences artificielles comme chatGPT.
Lieben AHOUANSOU
Analyste en Cybersécurité
