Une publicité pour une boisson énergétique, générée par IA, s’affiche dans la galerie photos de la fiche Google d’une mairie. Depuis environ un mois.
Aubervilliers, 93. 88 000 habitants. Une commune qui attire de plus en plus de néo-propriétaires et de familles. Et si on allait voir à quoi ressemble la mairie ?
Allons dans Google, tapons « mairie d’Aubervilliers » et ouvrons la galerie photos de cette charmante bourgade, comme aiment à dire nos périodiques.
Ah, elle est chouette cette photo en deuxième position, juste après la façade de l’hôtel de ville ! Mais un truc me dérange : le grain de la photo est étrange, la canette est en trop gros plan, comme si c’était le truc le plus important de l’image, plutôt que de célébrer la jeunesse et la diversité.
Bon, j’arrête de faire l’innocent. C’est évidemment une pub, publiée par un compte particulier, pas par les services de la ville.
Et ce n’est pas le seul intrus. Dans la même galerie, l’algorithme met en avant des photos de trottoirs couverts de déchets. Personne ne modère rien.
01. Ce qui s’est passé, techniquement
Piratage ? Que nenni ! Personne n’a « piraté » quoi que ce soit. C’est plus banal, et plus embêtant : la galerie d’une fiche Google Business accepte les contributions de n’importe quel compte utilisateur. La vidéo a été publiée par un profil lambda, comme on poste une photo de sa boulangerie locale ou de sa médaille de marathon. Google l’a acceptée, l’algorithme l’a même mise en avant, et voilà une régie publicitaire gratuite sur un établissement public.
Pas de faille exploitée. Juste une fonctionnalité utilisée pour ce qu’elle permet, par quelqu’un qui avait compris que personne ne surveille. Bien joué.
02. Comment ça s’appelle ? Pas un hack.
Le mot qui vient spontanément, c’est « piratage », ou « hacking » pour les plus anglophones. Comme je le disais plus haut, c’est techniquement faux. Et l’écart entre le mot et la réalité est justement ce qui rend l’affaire intéressante.
Un piratage suppose un accès frauduleux à un système. Ici, rien de tel : la personne a utilisé une fonctionnalité prévue, ouverte à tous. Le terme exact, côté référencement local, c’est du spam de fiche d’établissement (Google parle de listing spam). Côté marketing, du parasitisme : profiter de l’audience et de la crédibilité d’une page qu’on n’a pas construite, pour diffuser sa publicité à coût nul. En droit français, ça ne relève pas du pénal informatique ; ça peut relever du parasitisme économique, une affaire civile.
Un hack demande des compétences. Ceci demande un compte Google et une vidéo. N’importe qui peut le refaire, ce soir, sur n’importe quelle fiche que personne ne surveille.
03. La signature de l’époque : une pub générée par IA
Regardez le slogan incrusté : « L’énergie de ta fiertée ». Fiertée, avec un e de trop. Franchement, pas de quoi l’être, lol.
Une agence, un graphiste, même un stagiaire pressé aurait corrigé (peut-être pas s’il bosse à BFM TV). Une IA générative, non : elle produit de l’image spectaculaire et du texte approximatif, et celui qui la pilote ne relit pas. C’est la même signature qu’un texte non relu généré par IA, en version vidéo.
Ce cas n’est pas isolé, c’est un avant-goût. Quand produire une vidéo coûte zéro, le spam ne s’arrête plus aux commentaires : il colonise tout ce qui est public et non modéré.
04. Ce que ça dit de votre fiche à vous
Une mairie qui ne voit pas une canette de soda (?) dans sa galerie pendant un mois, c’est embarrassant. Une entreprise qui ne voit pas ce qui s’affiche sur sa propre fiche, c’est un risque commercial direct : la fiche Google est souvent le premier écran que voit un prospect, avant même le site.
Trois vérifications suffisent, dix minutes par mois :
- Revendiquez votre fiche, si ce n’est pas déjà fait.
- Ouvrez la galerie en navigation privée et regardez ce qu’un inconnu voit réellement, photos d’utilisateurs comprises.
- Signalez ce qui n’a rien à y faire : chaque contenu a une option de signalement, le retrait prend quelques jours.
Ce n’est pas de la paranoïa, c’est de l’hygiène. Votre vitrine numérique la plus visible est aussi la seule que vous ne regardez jamais.
Le principe qui manque ici, c’est la veille : repérer l’intrusion en 24 h plutôt qu’en un mois. C’est exactement ce que j’ai monté chez un client, où le monitoring quotidien a récupéré 6,25 jours-homme par mois.
Voir le cas Parazar