Sur des forums de cybercriminels russes et anglophones, des pirates explorent les possibilités offertes par cet outil générateur de texte (et de lignes de code) lancé par OpenAI. Le début d’une nouvelle ère.
ChatGPT est souvent vendu comment un outil permettant de gagner en productivité. Et c’est aussi le cas chez les cybercriminels. Check Point, fournisseur de systèmes de sécurité, s’est rendu compte que cette intelligence artificielle génératrice de texte intéressait de près les pirates informatiques. « Sur la section "intelligence artificielle et machine learning" d’un des plus gros forums russophones de hacking, on ne trouvait jusqu’en décembre 2022 qu’une publication tous les deux mois environ. Depuis le lancement de ChatGPT, il y a dix nouvelles conversations dans cette section », rapporte Sergey Shykevich, manager chez Check Point Research.
Les restrictions sont très faciles à contourner
De quoi parlent ces hackers ? Ils s’échangent principalement des conseils pour pouvoir accéder à ChatGPT. Car Open AI, la société à l’origine de cette IA générative, contrôle son accès dans certains pays où la situation politique est complexe : la Chine, l’Iran, et la Russie, mais aussi l’Ukraine et l’Égypte. « Les critères de sélection des pays où l’accès est interdit ne sont pas clairement explicités », précise Sergey Shykevich.
Ce n’est pas un très gros problème pour les hackers russes. Il suffit dans un premier temps d’obtenir une adresse IP américaine (ou européenne) – facile en utilisant un VPN. Les hackers doivent également fournir un numéro de téléphone et de carte bancaire non originaires de Russie. Cela tombe bien, pléthore de services vendent des numéros de téléphone pour quelques centimes de dollars. Et des numéros de cartes bancaires se vendent par millions sur le Dark Web pour moins de 20 dollars l'unité. Précisons que les pirates souhaitent accéder à la version API payante de ChatGPT, qui serait selon Sergey Shykevich moins bridée que la version grand public. De quoi générer des logiciels malveillants plus facilement, par exemple.
Des hackers sans compétences en informatique
Que comptent faire les hackers de cet accès une fois les barrières contournées ? « Sur des forums anglophones il y a déjà eu des tests d’écriture de malwares (de vols de données et de rançongiciel notamment) avec ChatGPT. Sur les forums russes, j’ai l’impression que c’est encore en phase d’exploration », estime Sergey Shykevich.
Selon l’expert, ChatGPT marque une « nouvelle ère » pour le cybercrime car il va en faciliter l'accès à des personnes sans grandes compétences en informatique. Et il pourrait potentiellement changer la nature des attaques. « Pour le moment le niveau de ChatGPT n’est pas assez bon pour créer des attaques d’une grande complexité. Mais je pense que nous verrons des attaques très sophistiquées écrites grâce à ces outils. Cela arrivera, mais je ne sais pas quand : dans 6 mois, 3 ans ? Nous verrons. » Entre-temps, le spécialiste estime que nous verrons certainement une hausse des attaques liées à ces outils d’intelligence artificielle.
L'équivalent de Google Translate pour le code : pas parfait, mais utilisable
CheckPoint a notamment identifié le message d’un hacker sur un forum anglophone se vantant d’avoir mis au point un logiciel « infostealer » (qui récupère certaines infos et fichiers sur un ordinateur) grâce au chatbot, qui génère du texte en plusieurs langues, mais aussi des lignes de codes. À partir d’une simple description, vous pouvez lui demander de coder certaines fonctionnalités. Y compris, apparemment, des logiciels malveillants. Un autre utilisateur publie le code d’un outil de chiffrement et précise qu’il n’en a jamais écrit auparavant. Dans un commentaire, il confirme que la technologie d’OpenAI l’a bien aidé.
« Ce n’est pas un code parfait, mais c’est une bonne base si on lui demande un programme basique. C’est un peu comme si vous utilisiez Google Translate pour traduire un texte. Vous ne pouvez pas utiliser le résultat tel quel dans un article ou un rapport par exemple, vous êtes obligés de faire quelques corrections, modifier certaines expressions. Mais cela reste une bonne base de départ », compare l’expert.
Emails de phishing mieux tournés
ChatGPT pourrait aussi servir à peaufiner des mails de phishing en anglais. « L’anglais n’est pas le point fort des hackeurs russes et des Russes en général, expose Sergey Shykevich. Pour écrire des mails de phishing de meilleure qualité, certains ont recours à des étudiants en littérature anglaise. ChatGPT leur offre une solution plus facile d’accès et moins coûteuse.
Pour freiner les hackers débutants souhaitant se lancer grâce à ChatGPT, il estime qu’OpenAI aurait tout intérêt à mettre en place davantage d’étapes de connexion pour accéder à l'outil. L’entreprise pourrait également entraîner l’algorithme à identifier les usages malveillants spécifiques à la cyber. « Ils ont entraîné ChatGPT à reconnaître certains contenus pédophiles, sexistes etc. Mais il serait intéressant de l’entraîner spécifiquement à identifier un code malveillant par exemple. Évidemment, c’est impossible de prévenir toute forme d’utilisation frauduleuse ». Malgré tout, Sergey Shykevich estime que la société californienne a fait le bon choix en mettant en ligne un tel outil, facilement accessible. « Cela permet à tout le monde de se rendre compte de quoi est capable cette technologie. »
Participer à la conversation