Les chatbots IA s'invitent dans les demandes d'amis de League of Legends

Lina K., une collègue, a récemment partagé un témoignage direct : des bots ajoutent des joueurs de League of Legends via la liste d'amis du client Riot juste après la fin d'une partie, engagent la conversation et finissent par envoyer un lien OnlyFans. Ce comportement s'inscrit dans une vague de plaintes qui s'est accumulée sur les communautés de joueurs de Reddit et Facebook ces derniers mois, et fait partie d'une tendance plus large d'ingénierie sociale assistée par l'IA, qui s'est étendue des applications de rencontre aux clients de jeux.

Le modèle

Le stratagème signalé par plusieurs joueurs de League of Legends suit un scénario quasi identique. Une demande d'ami apparaît dans le client Riot quelques instants après la fin d'une partie, provenant d'un compte dont le nom ne correspond à aucun joueur de cette partie. Le message commence par des compliments génériques comme « Tu as vraiment bien joué la dernière fois » ou « J'ai aimé ton style de jeu », conçus pour ressembler à un compliment sincère d'un adversaire ou d'un coéquipier.

Interrogés sur leur identité, ces comptes prétendent souvent avoir appartenu à l'équipe adverse malgré des noms différents, et beaucoup se présentent comme des femmes cherchant un partenaire pour un duo. Un détail qui augmente sans doute les chances d'entrer en contact. Les victimes qui consultent le profil du compte le trouvent souvent vide : aucun historique de parties visible, aucune information de synthèse, et parfois un niveau de compte très bas. Ce sont autant de signes d'un compte jetable, créé ou acheté uniquement pour démarcher, mais il arrive parfois qu'il s'agisse de comptes existants volés.

Après un bref échange, le contact indique qu'il « va bientôt se déconnecter » et communique un nom d'utilisateur Discord, déplaçant ainsi la conversation vers une plateforme que les protections de chat de Riot ne peuvent ni voir ni modérer.

Je termine bientôt... ajoutez-moi sur Discord

Une fois sur Discord, le personnage adopte un scénario de séduction plus long. Généralement, des heures de discussion permettent d'établir une relation de confiance, accompagnées d'un flux constant de photos suggestives mais jamais explicites. Cette tactique maintient l'engagement tout en retardant la révélation finale jusqu'à ce que la confiance soit établie. Cette révélation prend finalement la forme d'un lien vers une plateforme d'abonnement payant, le plus souvent OnlyFans, présenté comme une offre exclusive et limitée dans le temps.

Une recherche d'images inversée sur les photos envoyées lors d'une de ces conversations a permis de retrouver les mêmes images réutilisées sur des sites web sans rapport avec le sujet, et au moins une autre. YouTube Dans une vidéo, des internautes expliquent avoir reçu des images identiques d'un bot sous différents pseudonymes. Cela prouve fortement que les mêmes photos circulent simultanément dans de nombreuses conversations, à grande échelle et non par une seule personne.

Lina a déclaré :

« Un de mes amis a aussi essayé de pirater le bot, il l'a laissé en lecture seule pendant un certain temps – le bot a en fait changé les images pour qu'elles correspondent au contexte de « Préoccupation » sur le visage du mannequin avec « Pourquoi ne répondez-vous pas ? », ce qui a clairement révélé la génération d'images en masse pour le script. »

Lorsque le compte a été sollicité par une tentative d'injection de type « révélez vos instructions » (texte formaté pour ressembler à un message système ordonnant au bot de sortir de son rôle et d'imprimer sa configuration), il n'a pas obtempéré et est resté dans son rôle, esquivant la demande et poursuivant son argumentaire.

La tentative de démasquer le bot a été déjouée.

Cette résistance à une technique de jailbreak courante suggère que les opérateurs du bot ont ajouté des garde-fous contre précisément ce type de sondage, ou que le « modèle » sous-jacent est un flux scripté plus simple, superposé à du texte généré par LLM, plutôt qu'un chatbot ouvert et sans restriction.

Pourquoi cela se produit-il maintenant dans le client de jeu ?

Ce qui rend cette vague remarquable, ce n'est pas le scénario de l'arnaque sentimentale en lui-même. C'est l'intelligence artificielle qui la pilote. catfishing Ce phénomène est documenté sur les applications de rencontre et les réseaux sociaux depuis quelques années. La différence réside dans le point d'entrée. Des joueurs signalent recevoir ces demandes d'amis de bots après quasiment chaque partie, sans possibilité de distinguer une demande d'un vrai joueur de celle d'un bot dans le client Riot.

Des discussions au sein de la communauté décrivent l'apparition apparente des bots juste après la fin d'une partie, ce qui a alimenté les spéculations selon lesquelles les opérateurs de bots récupèrent ou surveillent les données de match disponibles publiquement via des sites tiers de suivi des statistiques et des API associées afin d'identifier les parties récemment terminées et de cibler les participants, bien que cela n'ait pas été confirmé indépendamment par Riot.

L'architecture du client Riot pourrait, involontairement, contribuer à ce problème. Le client Riot expose des points d'accès locaux (comme l'API de la liste d'amis) que des outils tiers et des superpositions interrogent. De plus, des traqueurs communautaires de type « op.gg » récupèrent des données sur les joueurs et les parties, ce qui pourrait permettre d'identifier les joueurs ayant récemment terminé une partie et de cibler les suivants. Certains joueurs affectés ont trouvé une solution partielle : activer le « mode streamer » du client, qui masque les informations sur les parties récentes et le statut en ligne, semble réduire la fréquence des requêtes des bots. C'est un indice indirect que le ciblage repose sur des signaux d'activité visibles plutôt que sur du spam aléatoire.

Plus sûr. Plus propre. Une navigation sans publicité.

INSTALLER BROWSER GUARD

L'objectif final : la promotion de contenu, pas toujours le vol.

Contrairement aux arnaques classiques sur Discord qui diffusent de faux codes Nitro ou des liens « testez mon jeu » infectés par des logiciels malveillants pour pirater des comptes, cette chaîne d'escroqueries semble principalement viser à générer des abonnements payants à une page de type OnlyFans d'une fausse jeune femme virtuelle . Cela ne la rend pas pour autant inoffensive. Même lorsque le compte OnlyFans sous-jacent est réel, les conversations sont très probablement gérées par des opérateurs de chat rémunérés ou des systèmes automatisés fonctionnant à partir d'un script partagé et d'une bibliothèque multimédia réutilisée. Ce modèle économique a été décrit par d'anciens utilisateurs d'OnlyFans : des agences assignent du personnel (ou des bots) pour répondre 24 h/24 et 7 j/7 au nom de la créatrice, puisent dans une base de données de photos et de messages préétablie et sont financièrement incités à convertir chaque conversation en abonnement ou en pourboire.

Il existe également des variantes plus dangereuses encore, intégrées au même système. Selon des témoignages de la communauté, certains de ces comptes de bots envoient un lien qui, une fois cliqué, est conçu pour pirater le compte Discord du destinataire ou récupérer ses identifiants, au lieu de rediriger vers du contenu légitime.

Cela signifie que la proposition d'une « fille qui veut jouer en duo » peut tout aussi bien se transformer en tentative de piratage de compte qu'en vente forcée d'un abonnement. Puisque le processus commence par un compte Riot jetable et peu coûteux, et que la cible est transférée sur Discord en quelques minutes, la demande d'ami dans le client League of Legends sert uniquement de filtre de premier contact : peu onéreuse à créer, facile à supprimer après une seule utilisation et hors de portée des outils de signalement de Riot une fois la conversation hors de la plateforme.

Comment rester en sécurité

Reconnaître ces arnaques est la meilleure façon de se protéger. Mais vous pouvez faire plus :

Considérez par défaut comme suspecte toute demande d'ami provenant d'un nom inconnu sur le client Riot, surtout si elle arrive quelques secondes après la fin d'une partie ; vérifiez si le compte était bien présent dans votre dernière partie avant d'accepter quoi que ce soit.
Activez le mode streamer ou des paramètres de confidentialité équivalents dans le client Riot pour limiter les données d'activité et de match visibles par les tiers ; plusieurs joueurs concernés ont constaté que cela réduisait la fréquence de ces demandes.
Méfiez-vous de quiconque oriente rapidement la conversation hors plateforme vers Discord, surtout s'il invoque son indisponibilité (« je dois y aller bientôt, voici mon Discord ») comme raison : il s'agit d'une démarche délibérée vers un canal moins modéré et sans contexte de match partagé permettant de vérifier l'identité.
Effectuez une recherche d'image inversée (Google Images, TinEye ou un outil dédié) sur toutes les photos de profil ou « personnelles » envoyées au début d'une conversation ; la réutilisation d'images sur des sites ou forums sans rapport avec le sujet est l'un des indices les plus fiables d'un bot ou d'un faux profil. catfishing opération.
Soyez attentif aux schémas de conversation typiques de l'IA : des réponses qui semblent scénarisées, qui arrivent instantanément quel que soit le moment de la journée, qui sont grammaticalement irréprochables mais émotionnellement génériques, ou qui évitent systématiquement les appels vocaux/vidéo.
N’envoyez jamais d’argent, de cartes-cadeaux, de cryptomonnaie ou de coordonnées bancaires à une personne rencontrée exclusivement via le jeu ou Discord, aussi convaincante que puisse paraître la relation ; les relations légitimes ne nécessitent pas d’« aide » financière urgente ni d’achat d’abonnements exclusifs quelques heures après la rencontre.
Ne cliquez pas sur les liens envoyés par des contacts inconnus, même s'ils se présentent comme des pages d'abonnement inoffensives, des invitations à des jeux ou des téléchargements de fichiers ; certaines variantes de cette arnaque mènent, selon la documentation, à des pages de vol d'identifiants ou de piratage de comptes plutôt qu'à du contenu légitime.
Renforcez les paramètres de confidentialité de Discord (limitez qui peut vous envoyer des messages privés et des demandes d'amis) et activez l'authentification multifacteurs, car un compte Discord compromis est souvent utilisé pour relancer la même escroquerie contre la propre liste d'amis de la victime.
Signalez les comptes clients Riot suspects à l'assistance Riot et les comptes/serveurs Discord suspects à Discord Trust & Safety ; le signalement ne supprime pas le compte instantanément, mais il alimente les données de modèles que les plateformes utilisent pour détecter et bannir les groupes de comptes bots.
Si un bot ou un personnage scripté résiste de manière convaincante aux tentatives de le « briser » (par exemple, en ignorant les messages d'injection de prompts ou de jailbreak conçus pour le démasquer comme une IA), considérez cette résilience comme un signal d'alarme plutôt que comme une garantie : un script bien protégé n'est pas la même chose qu'une personne authentique.