Le 8 juin 2026, Microsoft a publié un rapport décrivant des activités d’hameçonnage qui usurpent notamment des marques d’intelligence artificielle comme ChatGPT, tout en précisant que l’usurpation ne signifie pas que le service imité a été compromis (rapport de Microsoft). Pour reconnaître un faux e-mail ChatGPT, ne vous fiez donc ni au logo ni au ton : vérifiez le domaine réel de l’expéditeur, puis contrôlez l’état du compte en ouvrant vous-même l’application ou le site officiel. Une adresse temporaire ne détecte ni ne bloque les messages d’hameçonnage et ne convient pas aux comptes importants dont vous devez conserver l’accès.
Cette procédure s’adresse à vous si vous utilisez ChatGPT et recevez des avis de paiement ou de connexion dont vous doutez.
Elle vous aidera aussi si vous avez déjà ouvert un lien et devez choisir les mesures adaptées à ce que vous avez transmis.
Enfin, elle distingue l’intérêt d’une adresse séparée pour les inscriptions peu fiables de ses limites pour un compte à conserver.
Dernière vérification : 22 octobre 2026. Les consignes ont été confrontées au rapport de Microsoft et aux pages officielles d’OpenAI indiquées ci-dessous.
À la réception : séparez l’alerte de l’état réel du compte
Un message qui affiche « ChatGPT » ou « OpenAI » dans son nom d’expéditeur n’atteste pas qu’il provient de ces services. Il ne prouve pas davantage que votre compte a été piraté. Il faut distinguer deux faits : vous avez reçu un courriel portant une marque connue, et votre compte présente — ou non — une activité ou une demande que vous pouvez confirmer par un canal officiel.
Le rapport de Microsoft fournit un contexte utile sur l’usurpation de marques liées à l’intelligence artificielle. Il documente des campagnes observées, mais ne permet pas d’affirmer que chaque message se réclamant de ChatGPT est frauduleux, ni que chaque destinataire a subi une atteinte à son compte. Servez-vous de ce constat pour adopter une méthode de vérification, pas pour conclure sans examen.
Commencez par ne pas répondre, ne pas télécharger de pièce jointe et ne pas suivre le bouton du message. Si le texte prétend qu’un paiement a échoué, que votre accès va être suspendu ou qu’une nouvelle connexion doit être autorisée, traitez ces affirmations comme des éléments à vérifier. L’urgence formulée dans le courriel n’est pas une preuve.
À retenir : l’identité affichée, le contenu du message et l’état du compte sont trois choses différentes. Un logo convaincant ne confirme pas l’expéditeur ; seul un contrôle indépendant du compte peut confirmer une demande qui le concerne.
Première vérification : examinez l’adresse complète de l’expéditeur
Dans votre messagerie, ouvrez les détails du message et relevez l’adresse complète, pas seulement le nom affiché. Les noms et les éléments graphiques sont faciles à imiter. Le domaine réellement utilisé est plus informatif, mais il ne suffit pas à lui seul : les adresses peuvent être trompeuses, et une adresse qui paraît familière doit toujours être comparée aux indications actuelles d’OpenAI.
Utilisez la page officielle de vérification des communications d’OpenAI pour examiner les informations à jour. Ne transformez pas une adresse vue dans un ancien message ou une capture d’écran en liste de référence permanente. Les consignes publiées par le service sont la source à consulter lorsque vous devez vérifier une communication précise.
| Élément à examiner | Ce qu’il peut vous apprendre | Ce qu’il ne confirme pas |
|---|---|---|
| Nom visible et logo | La marque que le message prétend représenter | L’identité réelle de l’expéditeur |
| Adresse complète et domaine | Le domaine indiqué par la messagerie, à comparer aux consignes officielles | Que le message est sans danger dans tous ses détails |
| Adresse de destination d’un lien | Le site vers lequel le lien semble conduire | L’état réel de votre compte |
| Notification dans votre compte | Si une demande ou un changement y est effectivement signalé | Que tous les courriels associés sont authentiques |
Pour inspecter un lien sans l’ouvrir, utilisez l’aperçu de destination proposé par votre messagerie ou votre navigateur, sans cliquer dessus. Regardez le domaine de destination, pas uniquement les mots visibles dans le message : un bouton peut afficher un texte rassurant tout en renvoyant ailleurs. Si vous ne savez pas interpréter l’adresse, ne cherchez pas à la tester en vous connectant ; passez directement à la vérification indépendante.
Cette méthode est particulièrement utile pour une demande de mise à jour de paiement. Un message peut reprendre des éléments visuels et une formulation plausibles sans que la demande soit réelle. À l’inverse, l’existence d’une notification légitime ne rend pas sûr un autre courriel qui lui ressemble. Votre vérification doit porter sur le message reçu et sur la situation affichée dans votre compte, séparément.
Avant tout clic : contrôlez la demande par un canal indépendant
Fermez le message ou laissez-le ouvert sans utiliser ses liens. Ouvrez ensuite l’application que vous utilisez habituellement ou saisissez vous-même l’adresse du site officiel que vous connaissez. Connectez-vous par ce chemin indépendant, puis cherchez une notification de compte, de connexion ou de paiement qui corresponde précisément à ce que le courriel affirme.
| Situation observée dans le compte | Décision prudente |
|---|---|
| Vous retrouvez la même demande après avoir ouvert le service indépendamment | Suivez les indications affichées dans le compte, sans revenir au lien du courriel |
| Aucune alerte ni modification ne correspond au message | Ne transmettez pas de mot de passe, de code ou de données de paiement depuis le courriel |
| Vous ne parvenez pas à confirmer la demande | Consultez l’aide officielle d’OpenAI depuis un accès indépendant |
| Vous n’avez pas déclenché la connexion ou demandé le code annoncé | N’approuvez pas l’action et ne communiquez pas le code |
Une demande de code peut être liée à une tentative de connexion réelle, mais elle ne vous oblige pas à utiliser un lien reçu dans un message inattendu. OpenAI décrit les raisons possibles d’une vérification de connexion dans son article officiel sur les demandes de vérification. Si vous avez lancé la connexion, consultez les instructions dans le parcours officiel. Si vous ne l’avez pas initiée, ne transmettez pas le code à l’expéditeur et ne validez pas une opération que vous ne reconnaissez pas.
Le test de décision avant de répondre
- Si la demande apparaît dans votre compte après une ouverture indépendante, poursuivez depuis l’application ou le site officiel et suivez les indications qui y figurent.
- Si elle n’apparaît pas, ne cliquez pas et ne fournissez aucune donnée ; signalez ou supprimez le message selon les options de votre messagerie.
- Si vous avez un doute sur le domaine, comparez-le à la page de vérification officielle au lieu de vous fier au logo, à l’adresse de réponse ou au ton du message.
- Si vous avez déjà saisi des informations, passez directement aux mesures adaptées à ces informations, même si le compte ne montre encore aucun changement.
Cette décision évite de confondre « le message semble plausible » avec « la demande existe réellement ». Un message peut être une notification légitime, une tentative d’hameçonnage ou une communication dont vous ne parvenez pas à confirmer l’origine. Dans le dernier cas, l’absence de certitude est une raison suffisante pour ne pas agir à partir du courriel.
Questions fréquentes : paiement, adresse et code de connexion
Un e-mail demande une mise à jour du paiement : comment décider ?
Ne jugez pas la demande sur son objet ou son apparence. Ouvrez le service indépendamment et vérifiez si le compte affiche un problème de paiement ou une action à effectuer. Si rien ne correspond, ne saisissez aucune donnée de carte sur la page liée au message. Si une demande existe dans le compte, traitez-la depuis ce parcours officiel et non depuis le bouton du courriel.
Comment vérifier un expéditeur qui prétend écrire au nom d’OpenAI ?
Affichez l’adresse complète de l’expéditeur et son domaine, puis comparez-les aux informations publiées sur la page officielle de vérification des communications d’OpenAI. Le nom visible peut être choisi séparément de l’adresse et ne constitue pas une preuve. Si l’adresse ne correspond pas clairement aux indications actuelles, ne répondez pas : contrôlez plutôt la demande dans votre compte ou auprès de l’aide officielle.
Un lien dans un e-mail avec un code de vérification peut-il être ouvert ?
Évitez de suivre un lien inattendu. Si vous avez demandé un code, ouvrez vous-même l’application ou le site officiel et suivez les instructions de connexion qui y apparaissent. Si vous n’avez lancé aucune connexion, ne transmettez pas le code et ne validez aucune demande. Un code reçu par courriel n’est pas une raison suffisante pour cliquer sur un bouton ou communiquer des informations à son expéditeur.
J’ai ouvert un lien suspect : quelle est la première mesure ?
La première mesure dépend de ce que vous avez fait après l’ouverture. Si vous avez seulement consulté la page, fermez-la sans télécharger de fichier ni saisir d’information. Si vous avez fourni un mot de passe, un code ou des données de paiement, sécurisez le compte ou le moyen de paiement concerné par les canaux officiels. Notez les informations transmises et vérifiez l’activité du compte.
Après un clic : agissez selon les informations exposées
Ouvrir une page suspecte ne signifie pas automatiquement que votre compte est compromis. En revanche, ce que vous avez fait sur cette page change la priorité des actions. Distinguez l’affichage seul, la saisie de données de connexion, la transmission d’informations de paiement et le téléchargement d’un fichier. Ne minimisez pas une saisie de mot de passe sous prétexte que vous n’avez pas remarqué de changement immédiat.
Vous avez seulement ouvert la page
Fermez l’onglet et n’y retournez pas. Ne téléchargez aucun fichier et ne validez aucune fenêtre inattendue. Ouvrez le service par un canal officiel pour vérifier s’il existe une activité que vous ne reconnaissez pas. L’aide d’OpenAI sur la sécurisation d’un compte décrit les recommandations à suivre pour protéger l’accès et contrôler son utilisation.
Vous avez saisi un mot de passe ou un code
Rendez-vous sur le service par l’application ou le site officiel, sans utiliser le lien reçu. Suivez les consignes officielles pour sécuriser le compte et mettez à jour le mot de passe concerné. Si vous réutilisez ce mot de passe sur d’autres services, changez-le également sur ceux-ci : une même information exposée ne doit pas rester valide ailleurs. Consultez ensuite l’activité du compte et vérifiez que les moyens d’accès affichés sont bien les vôtres.
OpenAI fournit des indications sur les démarches à entreprendre lorsqu’une activité non reconnue apparaît sur un compte. Appuyez-vous sur cette page plutôt que sur les instructions contenues dans le courriel suspect. Si vous ne pouvez plus accéder au compte, suivez la procédure d’assistance officielle depuis un accès indépendant.
Vous avez transmis des informations de paiement
Contactez rapidement l’établissement financier concerné par son application ou son numéro officiel, et expliquez quelles informations vous avez saisies. Demandez-lui quelles mesures s’appliquent à votre moyen de paiement. Ne répondez pas à un numéro de téléphone ou à une adresse de contact fournis uniquement par le message suspect. Gardez les éléments utiles — message reçu, adresse de l’expéditeur et page visitée — sans transmettre ces éléments à un interlocuteur non vérifié.
Vous avez téléchargé une pièce jointe
Ne l’ouvrez pas si vous ne l’avez pas encore fait. Si le fichier a déjà été ouvert, interrompez son utilisation et vérifiez l’appareil avec les fonctions de sécurité disponibles ou avec l’aide d’un professionnel si nécessaire. Évitez de supprimer des éléments utiles à l’analyse avant d’avoir déterminé ce qui a été téléchargé. La priorité reste de protéger les comptes et les informations qui ont pu être exposés.
Repère : l’ouverture d’un lien, la saisie d’un secret et la transmission d’informations bancaires ne sont pas des incidents équivalents. Décrivez précisément ce que vous avez fait lorsque vous contactez le service concerné ; cela permet de choisir une réponse adaptée plutôt que de supposer le pire ou de ne rien faire.
Pour les prochains messages : repérez les signaux sans vous fier à un seul
Les courriels d’hameçonnage peuvent utiliser une échéance pressante, menacer de désactiver un compte, réclamer un paiement inhabituel ou demander un mot de passe ou un code. Ces éléments justifient une vérification, mais aucun signal pris isolément ne prouve qu’un message est frauduleux. Une véritable demande peut aussi nécessiter une action ; le bon test consiste à retrouver cette demande par un accès officiel.
Soyez particulièrement attentif aux messages qui vous demandent de contourner votre parcours habituel : ouvrir une pièce jointe pour « restaurer » l’accès, fournir un code à un interlocuteur, payer par une méthode inattendue ou vous connecter dans une page accessible uniquement depuis le courriel. L’apparence d’une marque et un langage bien rédigé ne changent pas cette règle. Les campagnes observées par Microsoft illustrent l’usurpation de marques, sans permettre de tirer une conclusion automatique sur chaque message reçu.
Vous pouvez conserver une courte méthode de tri dans votre messagerie : noter l’adresse complète, ne pas suivre le lien, puis vérifier le compte depuis l’application ou le site officiel. Si l’alerte ne correspond à rien dans le compte, ne fournissez pas d’informations. Si elle correspond, continuez depuis le parcours officiel et consultez les consignes d’OpenAI au besoin.
À l’inscription ailleurs : séparez les adresses sans confondre leurs rôles
Une adresse séparée peut limiter le nombre de sites peu fiables qui connaissent votre adresse principale. Elle peut aussi vous aider à distinguer les inscriptions et les messages associés à différents usages. Mais elle ne prouve pas l’identité de l’expéditeur, ne filtre pas à elle seule les courriels frauduleux et ne rend pas sûr un lien sur lequel vous cliquez.
Pour comprendre quelle séparation convient à votre usage, consultez notre guide sur les différences entre adresse temporaire et alias de messagerie. Si vous envisagez une adresse jetable pour une inscription de faible confiance, notre guide des adresses temporaires détaille les limites à considérer. Pour un compte ChatGPT que vous souhaitez conserver, vous devez pouvoir garder la maîtrise de l’adresse de connexion et recevoir les messages nécessaires à la récupération du compte. Une adresse temporaire n’est donc pas un choix adapté pour ce rôle.
Choisissez votre solution selon la durée et l’importance du compte :
- Si le site est peu fiable et que l’inscription est ponctuelle, une adresse séparée peut éviter de divulguer directement votre adresse principale.
- Si vous devez garder l’accès, recevoir des avis importants ou récupérer le compte, utilisez une adresse durable que vous contrôlez.
- Si vous avez besoin de répondre régulièrement ou de conserver un historique, choisissez une solution conçue pour un usage continu plutôt qu’une boîte temporaire.
- Si votre problème est un message d’hameçonnage déjà reçu, changer d’adresse ne remplace pas la vérification du compte ni la protection des informations transmises.
La protection repose sur des fonctions différentes : l’adresse séparée limite l’exposition de votre adresse principale lors d’une inscription ; le contrôle indépendant vérifie une notification ; les mesures de sécurité du compte protègent l’accès. Ne demandez pas à un outil de confidentialité de résoudre un problème pour lequel il n’a pas été conçu.
Si vous utilisez MaskSend pour séparer une inscription de faible confiance, gardez la même règle de vérification : ne traitez jamais une notification liée à un compte important comme authentique sur la seule base de son apparence. Pour un compte ChatGPT, les paiements et la récupération d’accès, privilégiez une adresse durable que vous contrôlez. Une boîte temporaire peut réduire l’exposition de votre adresse principale à l’inscription ; elle ne détecte pas les faux e-mails et ne remplace pas les vérifications décrites ici.
Questions fréquentes
Un message qui demande de mettre à jour le paiement ChatGPT est-il forcément frauduleux ?
Non. Le sujet du message ne suffit pas à établir son authenticité : une notification de paiement peut être légitime ou imitée. N’utilisez pas le lien reçu pour vous connecter. Ouvrez vous-même l’application ou le site officiel, puis vérifiez si votre compte affiche réellement une demande ou un changement de facturation. Si rien ne correspond, ne transmettez ni données de carte ni code de connexion.
Comment vérifier l’adresse d’un expéditeur qui prétend écrire au nom d’OpenAI ?
Affichez les détails complets de l’expéditeur dans votre messagerie, puis comparez le domaine réellement utilisé avec les indications de la page officielle de vérification des communications d’OpenAI. Le nom visible, le logo et le texte du message peuvent être copiés. Ne vous fiez pas à une ancienne liste d’adresses : les consignes officielles en vigueur sont la référence à consulter.
Puis-je ouvrir le lien d’un e-mail contenant un code de vérification ChatGPT ?
Si vous avez lancé vous-même une connexion, consultez le code et les instructions directement dans l’application ou sur le site officiel, plutôt que de suivre un lien inattendu. OpenAI explique pourquoi certains comptes reçoivent une demande de vérification. Si vous n’avez pas demandé de code, ne le communiquez à personne et n’approuvez aucune connexion que vous n’avez pas initiée.
Que faire après avoir ouvert un lien suspect présenté comme un e-mail ChatGPT ?
Si vous avez seulement affiché la page, fermez-la et ne téléchargez rien. Si vous avez saisi votre mot de passe ou un code, ouvrez le service par un accès officiel, sécurisez le compte et examinez son activité. Si vous avez fourni des données de paiement, contactez l’établissement concerné par ses canaux habituels. Un fichier téléchargé appelle aussi une vérification de sécurité de l’appareil.
Testez la réception maintenant
Une boîte de réception jetable pour les inscriptions ponctuelles, un alias de transfert indépendant pour les relations durables. Réservez votre véritable adresse e-mail aux communications de confiance.