La fausse facture ChatGPT est de 23,80 dollars, et c'est là qu'est l'astuce

Vingt-trois dollars et quatre-vingts cents. C'est ce chiffre qui fait tout le travail dans une campagne d'hameçonnage décortiquée cette semaine par Cofense, et sa modestie constitue l'essentiel de l'astuce.

Le courriel se présente comme un avis de facturation ChatGPT. Logo correct, mention de dernier avertissement, solde impayé de 23,80 dollars et menace de suspension du compte sous 48 heures faute de mise à jour des informations de paiement. L'objet annonce "Urgent: Update Your Payment Method to Avoid Service Interruption" et le tout est signé "The OpenAI Team". Assez peu pour que vous puissiez réellement devoir cette somme. Assez agaçant pour que vous vous en occupiez tout de suite plutôt que d'y réfléchir. Josh Varden, du Phishing Defense Center de Cofense, a suivi le bouton vert pour voir où il menait vraiment, et l'adresse de l'expéditeur vend déjà la mèche : support@9527db6e1a.nxcli.io, qui n'est l'adresse d'OpenAI pour personne.

Le lien lui-même est la partie qu'il faut comprendre. Il ne pointe pas vers le faux site. Il commence par notifications.googleapis.com, une véritable adresse Google, qui redirige ensuite le navigateur. Survoler un lien pour l'inspecter, le conseil que l'on répète depuis vingt ans, vous montre un domaine Google et ne vous apprend rien. Le même problème de redirection est apparu dans les résultats de recherche de Google la semaine dernière. La page au bout de la chaîne copie l'écran de connexion de ChatGPT, prend le mot de passe, puis vous dépose sur une page d'erreur pour donner l'impression qu'il ne s'est rien passé.

Jugez la barre d'adresse une fois arrivé, pas le lien avant de cliquer : la vraie page de connexion d'OpenAI se trouve sur auth.openai.com. Mieux encore, fermez le courriel et ouvrez le service vous-même. Si un mot de passe est déjà parti là où il ne fallait pas, le contrôle vie privée et comptes de Tendvane est une étape raisonnable.