Arnaques en ligne : comment des escrocs ont exploité ChatGPT après la disparition de Russell & Bromley

Une faille dans les modèles d’intelligence artificielle grand public a été exploitée par des cybercriminels pour rediriger des utilisateurs vers des sites frauduleux. Selon Numerama, des escrocs ont réussi à faire apparaître des boutiques clonées de la marque britannique Russell & Bromley dans les réponses de ChatGPT. Cette technique s’appuie sur une combinaison de failles dans les grands modèles de langage (LLM) et sur un contexte commercial favorable, après la mise sous administration judiciaire de l’enseigne en début d’année.

L’affaire, révélée le 7 juin 2026 par le quotidien britannique The Guardian et détaillée par Numerama, illustre une nouvelle forme de cybercriminalité. Elle exploite la confiance accordée aux outils d’IA par les utilisateurs, tout en profitant d’un vide juridique et commercial laissé par la disparition d’une marque emblématique.

Un contexte commercial exploité par les escrocs

Russell & Bromley, enseigne britannique de maroquinerie de luxe, a été placée sous administration judiciaire en janvier 2026 avant d’être rachetée par le groupe Next. Cette période de transition a créé une opportunité pour les cybercriminels, qui ont immédiatement mis en ligne plusieurs boutiques imitant l’ancienne identité visuelle de l’enseigne. Selon les informations rapportées par Numerama, ces sites frauduleux se présentent comme des plateformes officielles, avec des noms de domaine proches de l’original comme therussellbromleyofficial ou russell-and-bromley.

La stratégie des attaquants repose sur un double avantage : d’une part, l’absence temporaire d’un site officiel indépendant, et d’autre part, la capacité des modèles de langage à référencer des contenus web en fonction de leur popularité et de leur pertinence perçue. Une fois ces faux sites indexés, ils peuvent apparaître dans les réponses de ChatGPT, notamment lorsque les utilisateurs recherchent des produits spécifiques de la marque.

ChatGPT, vecteur involontaire d’arnaques

Pour démontrer la réalité de cette menace, les équipes d’Ask Silver, un service de vérification des arnaques, ont simulé une recherche classique en posant la question suivante à ChatGPT : « Quels sont les sacs et portefeuilles Russell & Bromley les plus populaires ? ». Selon leurs observations, l’outil d’IA a répondu en proposant des descriptions de produits, des prix et des conseils, tout en citant parmi ses sources deux sites frauduleux. Ces adresses web, bien que légèrement différentes de l’original, peuvent facilement tromper un utilisateur peu attentif.

Le piège se referme dès que l’utilisateur clique sur l’un de ces liens. Les faux sites affichent des promotions alléchantes, pouvant aller jusqu’à 80 % de réduction, et reproduisent avec soin les codes visuels de la marque. Après avoir saisi leurs coordonnées bancaires, les victimes ne reçoivent aucun produit, tandis que leurs données sont immédiatement transmises à des serveurs contrôlés par les escrocs. Selon Numerama, ce scénario s’inscrit dans une tendance plus large d’« empoisonnement » des modèles de langage, où des pages web malveillantes sont indexées dans les données d’entraînement des LLM, influençant ainsi leurs réponses.

Un phénomène structurel documenté

Ce cas n’est pas isolé. Comme le souligne Numerama, l’empoisonnement des résultats des LLM est un problème structurel déjà documenté. En février 2026, des chercheurs de Microsoft avaient mis en lumière une autre technique d’empoisonnement, cette fois-ci via des boutons « Résumer avec l’IA » intégrés à des sites web. Ces outils contenaient des instructions cachées visant à manipuler la mémoire des assistants conversationnels, afin de faire remonter certaines sources en priorité lors de futures requêtes, à l’insu des utilisateurs.

Le principe reste identique : exploiter la confiance accordée aux outils d’IA pour orienter les internautes vers des contenus malveillants. Comme le rappelle Louise Baxter, responsable de la lutte contre les arnaques au sein du Service national britannique des normes commerciales, « un site ne doit pas être considéré comme fiable uniquement parce qu’il est recommandé par une IA ». Cette déclaration souligne l’importance d’adopter des réflexes d’hygiène numérique pour éviter de tomber dans ces pièges.

Les mesures prises et les pistes pour se protéger

Face à cette menace, OpenAI a confirmé avoir identifié l’empoisonnement de ses résultats et affirme avoir retiré les sites frauduleux de son index de recherche. Le groupe a précisé avoir pris des mesures correctives pour limiter ce type d’incident. De son côté, le groupe Next, propriétaire de Russell & Bromley, indique avoir engagé des actions pour faire fermer ces plateformes frauduleuses. Cependant, la fenêtre d’exposition a pu causer des préjudices à certains utilisateurs avant que ces sites ne soient identifiés et neutralisés.

Pour limiter les risques, plusieurs bonnes pratiques sont recommandées. Numerama suggère notamment de reprendre en main sa navigation en se rendant directement sur le site officiel d’un commerçant plutôt que de suivre des sources non vérifiées. En cas de transmission involontaire d’informations bancaires, il est conseillé de prévenir immédiatement sa banque et de signaler l’opération comme frauduleuse. Les utilisateurs peuvent également signaler les contenus suspects à OpenAI via le formulaire dédié mis à disposition par l’entreprise.

Alors que les modèles de langage évoluent et intègrent de plus en plus de sources externes, la question de la fiabilité des informations générées par l’IA devient centrale. Les entreprises et les régulateurs devront probablement adapter leurs cadres pour encadrer ces nouveaux risques, afin de garantir la sécurité des consommateurs.