27 septembre 2026

Fausses applications et extensions IA : vérifier un outil avant de l'installer

Tout le monde veut essayer le dernier outil d'IA. Les escrocs le savent. C'est pourquoi l'un des pièges qui s'est le plus répandu cette année n'est ni un faux e-mail ni un appel : c'est une application ou une extension de navigateur qui se fait passer pour un outil d'IA connu — ou qui promet « ChatGPT gratuit, sans limites » — et qui, une fois installée, lit tout ce que vous faites.

Il n'est pas nécessaire d'être une grande entreprise pour que cela arrive. Il suffit qu'une personne de l'équipe cherche un outil pour résumer des documents et clique sur le premier résultat.

Un cas qui pourrait être le vôtre

Un cabinet comptable, six personnes. Une assistante cherche « résumeur de PDF avec IA » pour aller plus vite sur les contrats des clients. Le premier résultat est une annonce : une extension de navigateur, beau logo, des milliers d'avis, gratuite. Elle l'installe en moins d'une minute.

L'extension fait ce qu'elle promet : elle résume des PDF. Elle détient aussi l'autorisation de « lire et modifier toutes vos données sur les sites web que vous visitez ». Cela inclut le webmail, le logiciel comptable en ligne et le portail administratif où le cabinet dépose des déclarations pour ses clients. Pendant des semaines, tout ce qui passe par le navigateur part vers un serveur inconnu.

Personne ne s'en aperçoit jusqu'à ce qu'un client reçoive un e-mail frauduleux citant, dans le détail, une facture que seul le cabinet connaissait.

Pourquoi il est plus facile de tomber dedans aujourd'hui

• De nouveaux outils d'IA deviennent tendance chaque semaine, et personne ne sait lequel est l'officiel et lequel est une copie.
• L'IA fabrique aussi les copies : sites, logos, descriptions et faux avis convaincants sont générés en quelques minutes.
• Les extensions demandent des autorisations très larges, et la plupart des gens cliquent sur « Ajouter » sans les lire.
• « Gratuit et sans limites » est irrésistible quand la version officielle est payante.

Signaux d'alerte avant d'installer

• Vous l'avez trouvé via une annonce ou un lien, pas sur le site de l'éditeur. Les outils sérieux renvoient vers leurs applications depuis leur propre site.
• Il promet ce que l'original ne donne pas : « version pro gratuite », « sans limites », « sans inscription ».
• Le nom est presque celui d'une marque connue, avec un mot de plus — « AI Pro », « Plus », « Free ».
• Il demande des autorisations dont il n'a pas besoin. Un résumeur de PDF n'a pas besoin de lire tous les sites que vous visitez ni d'accéder à vos contacts.
• L'éditeur est inconnu ou ne correspond pas à la marque. Dans les boutiques d'extensions et d'applications, regardez qui publie.
• Les avis sont identiques, très courts, et tous datés des mêmes jours.
• Il vous fait télécharger un fichier (.exe, .zip, .apk) depuis un site pour « débloquer » des fonctions.

Les vérifications de cinq minutes

1. Allez vous-même sur le site officiel, en tapant l'adresse, sans passer par un moteur de recherche ni une annonce, et installez depuis là.
2. Lisez les autorisations avant de cliquer. Si vous ne voyez pas pourquoi il en a besoin, ne l'installez pas.
3. Cherchez le nom de l'outil plus « arnaque » ou « malware ». Si d'autres ont été touchés, vous le trouverez.
4. Demandez-vous où vont les données. Tout outil d'IA qui traite des documents de clients doit dire clairement où il les stocke, s'il les utilise pour entraîner des modèles, et si les serveurs sont dans l'Union européenne. S'il ne le dit pas, n'y mettez les données de personne.

Une règle simple pour toute l'organisation

La mesure qui protège le plus n'est pas technique : convenir que personne n'installe d'outil d'IA sur une machine de travail sans qu'une personne désignée l'ait examiné. Ce n'est pas de la méfiance ; c'est le même contrôle que vous appliquez déjà à qui peut effectuer des paiements.

Complétez-la par une courte liste d'outils approuvés, pour que l'équipe ait des alternatives et n'aille pas chercher de son côté. Tout interdire sans rien proposer ne fait que déplacer le comportement hors de vue — et l'informatique fantôme qu'on ne voit pas est pire que celle dont on tient la liste.

Si vous en avez déjà installé un

1. Désinstallez-le immédiatement du navigateur ou de l'appareil.
2. Changez les mots de passe de tout ce que vous avez utilisé dans ce navigateur, en commençant par la messagerie, et fermez toutes les sessions ouvertes.
3. Vérifiez les règles de messagerie et les transferts pour tout ce que vous n'avez pas créé.
4. Prévenez le reste de l'équipe, en précisant quel outil. Celui qui a été installé une fois se réinstalle deux bureaux plus loin.

Cet article est une information générale, pas un conseil de sécurité pour un cas précis.