Le piratage devient un service
Tout commence en juillet 2023. Un outil baptisé WormGPT apparaît sur des forums de cybercriminels. L'accès coûte 60 euros par mois, ou 550 euros par an. Peu après, FraudGPT arrive : 200 dollars par mois, 1 000 dollars pour six mois, 1 700 dollars pour un an. Ses vendeurs affirment avoir réalisé plus de 3 000 ventes. Un chiffre qui a été communiqué par les criminels eux-mêmes. La différence avec les chatbots grand public comme ChatGPT est que ceux-ci refusent de produire du contenu criminel. Les outils pirates, eux, sont vendus comme « sans limites ». Ils servent à rédiger des e-mails de spear phishing (hameçonnage ciblé), à créer des outils de piratage ou à pratiquer le carding (fraude à la carte bancaire).
Pas besoin d'être un expert pour attaquer
Ces outils ne sont pas forcément des IA créées de zéro. En 2025, des chercheurs de Cato Networks ont repéré de nouvelles variantes de WormGPT. L'une tournait avec Mixtral, de Mistral AI, l'autre avec Grok, de xAI. Les criminels reprennent des modèles existants et modifient leurs consignes de départ pour contourner les protections. Le tout est accessible par abonnement, via des chatbots sur Telegram. Ce qui fait qu' avec un téléphone, un abonnement et quelques instructions un débutant peut désormais lancer des attaques qui exigeaient autrefois de vraies compétences.
Un rapport de Rapid7, publié en juin 2026, décrit celà comme un marché très commercial. Des abonnements, des supports privés, des livraisons par Telegram et des promesses de réponses sans censure ni traces. Il parle de « Criminal AI-as-a-Service », autrement dit l'IA criminelle vendue comme un service.
Ce que cela change pour nous
Plus l'IA est accessible, plus les arnaques sont crédibles. Pendant longtemps, un message de phishing se repérait à ses fautes et à ses maladresses. Aujourd'hui, un outil peut produire un texte propre et bien tourné, adapté à une entreprise, une banque ou un opérateur mobile. Quand l'IA devient accessible, les arnaques se multiplient : le coût baisse, le volume monte, et les occasions ne manquent pas, entre mobile money, faux SMS et faux messages de proches ou de patrons. Aussi, les PME sont des cibles faciles, car beaucoup n'ont ni équipe informatique ni procédure de sécurité claire, et un seul clic d'un employé peut suffire pour entrer dans le système. Nos habitudes jouent également contre nous parce qu'on partage des mots de passe, on utilise le même partout et on valide des paiements sur un simple message WhatsApp.
Il ne faut pas pour autant tout dramatiser. Rapid7 précise que les pirates utilisent surtout l'IA pour accélérer des tâches courantes et faire grossir leurs opérations, plutôt que pour lancer des attaques entièrement autonomes. La menace est réelle, mais on peut s'en protéger avec de bonnes habitudes.
L'IA criminelle n'est plus une curiosité du dark web, c'est un marché organisé. La bonne nouvelle, la plupart des attaques réussissent encore grâce à des erreurs simples et les corriger peut déjà réduire le risque.
