Les utilisateurs de ChatGPT doivent se méfier du fait que leurs données personnelles pourraient avoir été divulguées en ligne, suite au vidage de plus de 100 000 identifiants de compte ChatGPT sur le dark web. Comme indiqué par The Hacker News et selon la société de cybersécurité basée à Singapour Group-IB, les informations d’identification des utilisateurs qui se sont connectés à ChatGPT vont de son lancement (en juin 2022) à mai 2023, ce qui signifie qu’il s’agit toujours d’un événement en cours. Les États-Unis, la France, le Maroc, l’Indonésie, le Pakistan et le Brésil semblent avoir contribué le plus aux identifiants volés.
« Le nombre de journaux disponibles contenant des comptes ChatGPT compromis a atteint un pic de 26 802 en mai 2023 », a déclaré un spécialiste du groupe IB. « La région Asie-Pacifique a connu la plus forte concentration d’informations d’identification ChatGPT proposées à la vente au cours de l’année écoulée. »
Dans ce cas, 26 802 journaux disponibles signifient que le marché du dark web a déjà absorbé les informations d’identification des utilisateurs – ils ont trouvé leur (probablement) acheteur malveillant.
« Les journaux contenant des informations compromises récoltées par des voleurs d’informations sont activement échangés sur les marchés du dark web », dit Groupe-IB. « Les informations supplémentaires sur les journaux disponibles sur ces marchés incluent les listes de domaines trouvés dans le journal ainsi que les informations sur l’adresse IP de l’hôte compromis. »
La majorité des informations d’identification vidées ont été trouvées dans les journaux liés à plusieurs familles de logiciels malveillants voleurs d’informations. Le voleur d’informations Raccoon, une « distribution » de logiciels malveillants particulièrement populaire au sein de la famille, a été utilisé pour compromettre exactement 78 348 comptes. (Il devient facile de connaître les chiffres exacts lorsque vous savez ce qu’il faut rechercher pour chaque type de logiciel malveillant.)
Le raton laveur semble être l’équivalent AAA du monde des logiciels malveillants voleurs d’informations et une vitrine de la façon dont le Web sombre est un monde parallèle au nôtre. Les utilisateurs peuvent acheter l’accès à Raccoon sur un modèle basé sur un abonnement ; il n’y a pas de codage ou de connaissances particulièrement habiles requises. Cette facilité de déploiement explique en partie le nombre croissant d’infractions liées à la cybercriminalité. Le raton laveur, comme les autres, est livré avec des capacités accrues. Ces voleurs d’informations par abonnement ne se contentent pas de voler des informations d’identification ; ils permettent également aux utilisateurs malveillants d’automatiser les attaques de suivi.
D’autres éléments malveillants ont été utilisés pour voler les informations d’identification des utilisateurs, bien sûr ; c’est un domaine d’outils conçus par des black-hat. Mais leur nombre est beaucoup moins impressionnant. Vidar, qui a été utilisé pour accéder à 12 984 comptes, était loin derrière Raccoon, tandis que la troisième place revenait aux 6 773 informations d’identification capturées via le logiciel malveillant RedLine.
Le fait que ces informations d’identification offrent un accès aux comptes ChatGPT devrait faire réfléchir quiconque utilise le service. N’oubliez pas qu’il ne s’agit pas seulement d’accéder à vos informations personnelles. Étant donné que la majorité des utilisateurs stockent leurs discussions dans l’application OpenAI, les utilisateurs malveillants y ont également accès. Et c’est là que réside la vraie valeur : dans la planification de l’entreprise, le développement d’applications, le développement de logiciels malveillants (euh) et l’écriture dans ces discussions. Le contenu personnel et professionnel peut être trouvé dans un compte ChatGPT, des secrets commerciaux de l’entreprise qui ne devraient pas être là en premier lieu aux journaux personnels. Il existe même des documents classifiés, semble-t-il.
« Les employés entrent dans des correspondances classifiées ou utilisent le bot pour optimiser le code propriétaire. Étant donné que la configuration standard de ChatGPT conserve toutes les conversations, cela pourrait par inadvertance offrir une mine d’informations sensibles aux acteurs de la menace s’ils obtiennent des informations d’identification de compte. »
C’est tout à fait le casse informationnel. Alors rappelez-vous : tous les mots de passe comptent. Mais peut-être que la sécurité de votre fenêtre ChatGPT (à la maison et au travail) compte plus que les autres. Soyez conscient des plugins que vous pourriez installer sur ChatGPT, utilisez des mots de passe forts, activez l’authentification à deux facteurs (2FA) et rappelez-vous les meilleures pratiques de cybersécurité qui réduiront la probabilité que vous soyez ciblé avec succès.