De faux robots d’IA fouillent les sites d’entreprises à la recherche de mots de passe
Ils se présentent comme les robots de ChatGPT ou de Claude. En réalité, ils cherchent les fichiers où dorment vos identifiants.
Les grandes sociétés d’IA envoient sur le web des robots, des programmes qui parcourent automatiquement les pages pour les lire. Elles publient le nom de ces robots afin que les propriétaires de sites puissent les autoriser, et la liste des adresses internet d’où ils partent afin qu’on puisse les vérifier. Des attaquants ont simplement recopié les noms. Entre le 28 juillet et le 23 août, treize identités de robots d’IA ont été usurpées, dont celles de ChatGPT, de Claude, de Google et de Perplexity.
Le trafic venait de 824 adresses internet différentes, réparties sur 795 réseaux distincts, ce qui rend le blocage adresse par adresse à peu près inutile. Ces faux robots ne demandaient ni articles ni fiches produits. Ils réclamaient des fichiers précis : celui où beaucoup de sites rangent les mots de passe de leur base de données et leurs clés d’accès, celui des identifiants du service d’hébergement, et les traces laissées par l’outil de gestion du code. Un détail les trahit. Un vrai robot commence toujours par lire le fichier qui liste ce qu’il a le droit de visiter : sous les six noms usurpés, ce fichier n’a jamais été demandé une seule fois.
La leçon est vérifiable en une matinée. Le nom que déclare un visiteur n’est qu’une étiquette qu’il écrit lui-même : autoriser un robot sur son nom sans vérifier l’adresse d’où il vient, c’est laisser entrer n’importe qui muni d’un badge photocopié. Si votre site a été installé par un prestataire, une seule question suffit pour ouvrir le sujet : est-ce que nos fichiers de configuration sont accessibles depuis le web, et nos clés d’accès ont-elles été changées récemment ?