L’écosystème ouvert des bots de Telegram est l’un de ses plus grands atouts et, comme nous l’avons déjà expliqué, une grande partie de la raison pour laquelle les outils d’IA y ont décollé. Mais cette même ouverture signifie qu’aucun contrôle de type magasin d’applications ne s’interpose entre un développeur et un bot publié, et qu’aucun mécanisme automatique ne retire un bot qui n’est plus maintenu, qui a changé de mains ou qui n’a jamais été légitime.
Une vaste étude universitaire sur les bots Telegram a montré qu’environ 10 % des bots liés à la finance portaient déjà l’avertissement d’arnaque de Telegram, contre environ 1 % dans les autres catégories. Par ailleurs, les spécialistes de la fraude de Revolut ont indiqué que Telegram représente désormais 58 % de toutes les arnaques à l’emploi signalées dans le monde, contre 50 % deux ans plus tôt. Aucun de ces chiffres ne concerne spécifiquement les bots d’IA, mais la logique s’applique directement : les catégories où les outils d’IA sont aujourd’hui les plus actifs sur Telegram (crypto, finance, assistants personnels qui gèrent de vraies tâches) sont aussi celles qui attirent les arnaqueurs.
Ce n’est pas une raison d’éviter les bots Telegram. C’est une raison de prendre deux minutes pour vérifier avant de confier à un bot une conversation, la connexion d’un portefeuille ou des droits d’administrateur dans un groupe qui compte pour vous.
La liste de vérification : ce qu’il faut vraiment regarder
1. Vérifiez la date de sa dernière mise à jour et s’il répond toujours correctement
Un bot abandonné n’est pas un bot frauduleux, mais il peut être tout aussi risqué, surtout s’il enregistre encore vos messages ou détient des autorisations que personne ne surveille. Regardez :
- S’il existe un journal des modifications, un historique des versions ou une mention « dernière mise à jour » sur le site ou le canal lié au bot
- Si les commandes de base fonctionnent toujours comme annoncé, ou renvoient des réponses obsolètes ou cassées
- Si le canal d’assistance ou le contact lié au bot a eu une activité récente
Un bot que personne n’a touché depuis des mois mais qui fonctionne toujours est sans doute un plus grand risque à long terme qu’un nouveau : plus personne n’est responsable si un problème survient avec les données qu’il a déjà collectées.
2. Comparez le nom d’utilisateur à l’original, caractère par caractère
L’astuce d’usurpation la plus courante n’a rien de sophistiqué : remplacer une lettre, ajouter un tiret ou un tiret bas, ou utiliser un caractère ressemblant (un « I » majuscule à la place d’un « l » minuscule, par exemple) dans un nom d’utilisateur par ailleurs identique à celui d’un projet légitime. Ça marche parce que la plupart des gens jettent un coup d’œil au nom d’utilisateur au lieu de le lire caractère par caractère.
Que faire : si un bot prétend représenter une entreprise, un projet ou une personnalité, allez directement sur son site officiel ou son canal vérifié et copiez-y le lien exact du bot, plutôt que de faire confiance à un lien reçu en message privé ou dans un groupe.
3. Comparez ce qu’il demande à ce qu’il prétend faire
C’est l’indice le plus rapide. Un bot qui génère des images à partir de prompts n’a pas besoin de tout votre historique de messages. Un bot d’alertes de prix n’a pas besoin de droits d’administrateur dans un groupe. Un bot « d’assistance client » qui vous demande de saisir un code de connexion ou de vérification ne fait pas d’assistance client : c’est une tentative de vol d’identifiants, point final, aussi officiel qu’il paraisse.
Que faire : avant d’accorder une autorisation (droits d’administrateur d’un groupe, connexion d’un portefeuille, accès aux contacts), demandez-vous si cette autorisation précise peut raisonnablement être nécessaire à la fonction annoncée du bot. Si la réponse est non, arrêtez-vous là.
4. Méfiez-vous de l’urgence, des rendements garantis et des frais de « vérification »
Les bots frauduleux, y compris ceux déguisés en assistants de trading IA ou en « conseillers » crypto, misent beaucoup sur une urgence fabriquée : faux comptes à rebours, soldes simulés qui semblent grossir, ou demande d’un petit paiement de « vérification » ou de « déblocage » avant de pouvoir soi-disant retirer vos fonds. Les outils légitimes ne vous demandent pas de payer pour accéder à un argent qui vous appartient déjà.
Que faire : considérez toute demande de paiement préalable pour « débloquer », « vérifier » ou « libérer » des fonds comme un signal d’alerte automatique, aussi convaincante que soit la conversation autour.
5. Cherchez une vraie politique de confidentialité, précise, pas un texte générique
Nous avons déjà écrit sur ce que coûtent vraiment les outils d’IA « gratuits » en matière de données, et les mêmes vérifications valent doublement ici. Un bot légitime, qu’il utilise l’IA ou non, doit pouvoir renvoyer à une politique de confidentialité précise qui explique ce qu’il conserve et pendant combien de temps. Un langage vague et générique qui pourrait décrire n’importe quelle application cache souvent l’absence de vraie réponse.
6. Vérifiez qu’il existe un moyen de joindre le développeur
Beaucoup de bons outils sont créés par des développeurs indépendants qui ne veulent pas être identifiés publiquement, et l’anonymat n’est pas éliminatoire en soi. Mais un bot sans aucun moyen visible de contacter son développeur (ni canal, ni site, ni contact d’assistance) qui demande en plus des autorisations sensibles supprime toute responsabilité en cas de problème.
Aide-mémoire : les signaux d’alerte d’un bot faux ou abandonné
| Signal | Ce que cela signifie généralement |
|---|---|
| Le nom d’utilisateur reprend une marque ou un projet connu avec une orthographe légèrement modifiée | Tentative d’usurpation |
| Le bot porte l’étiquette d’avertissement « SCAM » intégrée de Telegram | Déjà signalé par d’autres utilisateurs : fiez-vous à l’avertissement |
| Demande un code de connexion, un code à usage unique ou un code 2FA | Tentative de piratage du compte : jamais une demande légitime |
| Demande des autorisations dépassant sa fonction annoncée | Abus : ne continuez qu’après vous être demandé pourquoi |
| Aucune mise à jour, commandes cassées, canal d’assistance inactif | Abandonné : des données peuvent encore être collectées sans responsable |
| Promet des rendements garantis ou réclame des « frais de déblocage » | Schéma d’arnaque financière |
| Aucune politique de confidentialité, ou une politique générique valable pour n’importe quelle application | Impossible de vérifier le traitement des données : prudence |
Là où cela compte le plus dans cet annuaire
Certaines catégories présentent plus de risques que d’autres simplement en raison de ce à quoi elles sont conçues pour accéder :
- IA crypto : les outils qui demandent à connecter un portefeuille combinent exposition financière et exposition des conversations, et c’est précisément la catégorie où l’étude publiée sur arXiv a trouvé la plus forte concentration de bots signalés comme frauduleux.
- Agents personnels : ils accumulent par conception du contexte sur vous au fil du temps, ce qui rend la vérification de leur historique de mises à jour et de leur politique de confidentialité plus importante que pour un chatbot sans mémoire.
- Groupes et équipes : les bots avec droits d’administrateur voient tous les messages d’un groupe, pas seulement ceux qui leur sont adressés, soit une surface bien plus large qu’un bot en tête-à-tête.
Rien de tout cela ne signifie qu’il faut éviter ces catégories. Plus un bot demande d’accès, plus la liste ci-dessus compte.
Questions fréquentes
Telegram affiche un message d’avertissement directement dans le chat lorsque vous essayez d’interagir avec un bot qu’il a signalé comme arnaque présumée ou faux compte. Si vous voyez cet avertissement, fiez-vous-y : ne passez pas outre en vous fiant à des assurances obtenues ailleurs.
Pas en soi. Beaucoup d’outils légitimes sont créés par des développeurs indépendants ou sous pseudonyme. Le vrai problème, c’est l’anonymat combiné à une demande d’autorisations sensibles et à l’absence de tout moyen de joindre quelqu’un en cas de problème.
Arrêtez la conversation, n’envoyez plus aucune information ni aucun paiement et signalez le bot directement à Telegram. Si vous avez communiqué un code de connexion ou un mot de passe, changez-le et déconnectez immédiatement toutes les sessions actives. Si vous avez envoyé des cryptomonnaies, considérez la transaction comme très difficile à annuler et conservez les traces des transactions au cas où vous devriez la signaler.
Potentiellement, oui. Un bot abandonné qui détient des droits d’administrateur ou un historique de conversations que personne ne maintient constitue une faille dans la gouvernance des données : personne n’est responsable si cet accès est détourné ou si le bot change de mains plus tard.
