Les IA peuvent citer de faux sites : ce que révèle notre analyse de 320 000 domaines

Étude BotRank, novembre 2026. Fin octobre, Google AI Overviews a cité veepeec.com comme source. Un « c » de trop, le logo et les couleurs de Veepee. Puis un formulaire qui demande votre numéro de téléphone et votre mot de passe. Le vrai site, c'est veepee.fr. Ce cas n'est pas isolé : en analysant les sources citées par les moteurs IA pour les marques que nous suivons, nous avons identifié au moins 144 faux sites. Le phénomène reste rare. Mais il existe. Et il touche surtout ChatGPT.

L'essentiel en 30 secondes

• Les IA citent parfois de faux sites. Sur 320 232 domaines cités par les IA pour les marques suivies par BotRank, nous avons identifié au moins 144 faux sites : 75 confirmés, 69 probables.
• Trois familles de faux. Des clones parfaits de sites de marques, des fausses boutiques et des pages de phishing, comme ce faux Veepee.
• ChatGPT est de loin le plus exposé. Il produit 31% des réponses analysées, mais 91% des citations de faux sites. Rapporté au volume, c'est environ 6 citations de faux sites pour 1 000 réponses, contre moins de 1 pour Perplexity et environ 0,1 pour Gemini ou AI Overviews.
• Le phénomène reste marginal. Moins de 0,05% des domaines cités et environ 0,03% des citations. Pour une marque donnée, la part atteint au plus 0,5% environ.
• Vérifier avant d'accuser. Plus d'un tiers des domaines qui semblaient suspects étaient en réalité des sites officiels ou des homonymes légitimes.

Un faux Veepee cité par une IA

Le domaine veepeec.com ressemble à s'y méprendre au site de la marque de ventes privées. Il ne s'en distingue que par une lettre. La page affiche le logo, les couleurs et l'interface de connexion de Veepee. Elle demande un numéro de téléphone et un mot de passe : c'est une page de phishing, conçue pour récupérer les identifiants des clients.

Le 30 octobre 2026, Google AI Overviews l'a citée parmi ses sources dans une réponse sur la mode en ligne. Le 9 novembre, la page était toujours en ligne. Un internaute qui clique sur cette source arrive sur une copie conforme de la page de connexion de Veepee.

Comment nous avons mené l'analyse

BotRank interroge chaque jour les principaux moteurs IA (ChatGPT, Gemini, Google AI Overviews, Perplexity, Mistral…) sur les questions que se posent les clients des marques que nous suivons. Pour chaque réponse, nous enregistrons les sources citées.

1. La base de départ

Nous avons analysé 2,5+ millions de réponses, 20+ millions de citations et 320 000 domaines différents.

2. Le repérage des domaines suspects

Nous avons isolé les domaines qui reprennent le nom d'une marque connue sans être son site officiel. Six schémas reviennent :

• le nom de la marque avec une extension inhabituelle (.mom, .live, .pro, .shop…) ;
• le nom de la marque collé à « com » (marquecom.com) ;
• un mot ajouté : « official », « shop », « store », « online », « global »… ;
• un code pays ajouté : « fr », « us », « italia »… ;
• une faute de frappe ou une lettre en trop ;
• une extension exotique sur un nom proche de la marque.

3. La vérification, un par un

Chaque domaine suspect a été vérifié individuellement :

• Résolution DNS : le domaine existe-t-il encore ?
• Visite du site, avec un navigateur réel pour les pages en JavaScript.
• Comparaison avec le site officiel : contenu, liens, adresses email, URL canonique.
• Registre des noms de domaine : date d'enregistrement et registrar, comparés à ceux du domaine officiel.
• Alertes de sécurité : pages signalées comme phishing ou malware.

Chaque domaine a reçu un verdict, avec sa preuve. Un domaine n'est classé « faux confirmé » que si nous avons vu la copie, la fausse boutique ou la page de phishing. Il est classé « faux probable » quand son contenu n'est plus observable (hors ligne, bloqué, masqué) mais que tous les indices concordent : nom de marque détourné, enregistrement récent, même registrar et même date que des faux avérés.

Trois familles de faux sites

Des clones parfaits

C'est la famille la plus nombreuse. Le faux domaine affiche le vrai site de la marque, recopié en direct. Exemple : france-literie.live reproduit à l'identique le site de France Literie. Les 555 liens qui pointent vers france-literie.fr dans le code du vrai site sont tous réécrits automatiquement vers france-literie.live. Le même mécanisme se retrouve sur terdav.life (Terres d'Aventure), bergamotte.mom, loacker.mom ou neuhauschocolates.pro.

Ces clones sont rarement isolés. Le 16 juillet 2026, huit domaines en .mom ont été enregistrés le même jour, chez le même registrar, pour huit marques qui n'ont aucun lien entre elles. Des marques ne s'organisent pas ainsi : c'est la signature d'un même opérateur.

Des fausses boutiques

D'autres domaines affichent une boutique aux couleurs d'une marque connue : coupons, « livraison mondiale offerte », faux sites vitrines. barebellsus.com se présente comme une boutique Barebells, rxbarshop.com reprend RXBAR, godivaofficial.shop imite Godiva. Quatre sites vitrines au nom de KIND, Barebells, Fisherman's Friend et Quest Nutrition partagent le même gabarit et les mêmes serveurs.

Du phishing

C'est la famille la plus rare, mais la plus dangereuse. Outre le faux Veepee, tonyschocolonely.live est signalé par Cloudflare comme un site de phishing.

Pourquoi les IA se font piéger

Un détail l'illustre bien. Le vrai site de Maxi Zoo contient une protection anti-copie : quand il s'affiche sur un autre domaine que maxizoo.fr, un script renvoie le visiteur vers le vrai site. Un humain qui arrive sur maxizoo.mom est donc redirigé.

Mais les robots qui parcourent le web pour alimenter les moteurs IA n'exécutent généralement pas ce type de script. Eux voient la copie, avec le contenu complet de la marque. Et ils peuvent la citer comme source.

Plus largement, un clone parfait est difficile à distinguer de l'original pour un robot : même contenu, mêmes textes, mêmes images. Seul le nom de domaine change. Les extensions récentes (.mom, .live, .pro…) et les domaines fraîchement enregistrés ne suffisent pas, à eux seuls, à écarter une source.

ChatGPT, de loin le plus exposé

Tous les moteurs IA ne sont pas égaux face aux faux sites. ChatGPT produit 31% des réponses que nous analysons, mais concentre 91% des citations de faux sites. Gemini, qui produit autant de réponses, n'en représente que 2%.

Étude BotRank · Faux sites cités par les IA

ChatGPT concentre 91% des citations de faux sites

Part de chaque moteur dans les réponses analysées et dans les citations de faux sites (confirmés ou probables).

Part des réponses

Part des citations de faux sites

Citations de faux sites pour 1 000 réponses

ChatGPT

31%

91%

6,2

Perplexity

14%

6%

0,9

Gemini

30%

2%

0,12

AI Overviews

16%

1%

0,15

Mistral (Le Chat)

8%

0%

0

Source : étude BotRank.ai, données au 9 novembre 2026. 2,56 millions de réponses analysées, 5 366 citations de faux sites. Copilot, Claude et AI Mode, moins de 1% des réponses, ne sont pas détaillés.

Nos données ne permettent pas d'expliquer avec certitude cet écart. Une hypothèse : la façon dont chaque moteur sélectionne ses sources. Gemini et AI Overviews s'appuient sur l'index de Google, qui écarte depuis longtemps une bonne partie des sites dupliqués. ChatGPT s'appuie sur ses propres outils de recherche, qui semblent moins filtrer ces copies.

Un phénomène rare, mais réel

Il faut garder les proportions en tête. Les faux sites restent une exception dans les réponses des IA.

Mais une seule réponse suffit à envoyer un client vers une copie du site d'une marque, voire vers une page qui vole ses identifiants. Et lors de notre vérification, début novembre 2026, environ la moitié des faux sites identifiés étaient toujours en ligne.

Précision importante : 144 est un plancher. Nous n'avons vérifié que les domaines repérés comme suspects selon les schémas décrits plus haut. Des faux sites construits autrement nous ont forcément échappé.

Vérifier avant d'accuser

Un domaine qui ressemble à une marque n'est pas forcément un faux. Plus d'un tiers des domaines suspects se sont révélés légitimes :

• Des sites officiels. lindt.mom et lindt-eshopglobal.com appartiennent bien à Lindt : ils sont gérés par le même registrar de protection de marque que lindt.com.
• Des homonymes. kinders.com n'a rien à voir avec Kinder : c'est le site d'une marque américaine de sauces barbecue, enregistré depuis 1998. Floracom n'est pas un faux Flora : c'est un réseau italien de fleuristes.
• Des sites génériques. Annuaires de commerces, comparateurs ou sites de passionnés reprennent un nom de marque sans chercher à se faire passer pour elle.

D'où notre règle : aucun domaine n'est qualifié de faux sans preuve observée.

Ce que les marques peuvent faire

• Surveiller les domaines qui reprennent leur nom. Extensions exotiques, lettre ajoutée, « official », « shop », code pays : ce sont les schémas les plus fréquents.
• Regarder quelles sources les IA citent quand on parle d'elles. Un faux site n'apparaît pas dans Google Analytics : il faut aller le chercher dans les réponses des IA elles-mêmes.
• Signaler les clones. Au registrar du domaine, à l'hébergeur et, pour le phishing, aux services de signalement des navigateurs.
• Protéger leur site contre la copie. Une redirection comme celle de Maxi Zoo protège les visiteurs humains, mais pas les robots : elle ne suffit pas.

FAQ

Les IA peuvent-elles citer de faux sites ?

Oui. Sur 320 232 domaines cités par les IA pour les marques suivies par BotRank, nous avons identifié au moins 144 faux sites : des clones de sites de marques, des fausses boutiques et des pages de phishing.

Quelle IA cite le plus de faux sites ?

ChatGPT, de loin. Il concentre 91% des citations de faux sites alors qu'il ne produit que 31% des réponses analysées. Rapporté au volume, c'est environ 6 citations de faux sites pour 1 000 réponses, contre moins de 1 pour Perplexity et environ 0,1 pour Gemini et AI Overviews.

Est-ce fréquent ?

Non. Les faux sites représentent moins de 0,05% des domaines cités et environ 0,03% des citations. Mais le risque est réel : une seule réponse suffit à orienter un internaute vers une copie de site ou une page de phishing.

Comment savoir si un site cité par une IA est un faux ?

Vérifiez l'adresse exacte du site avant de saisir quoi que ce soit : une lettre en trop, une extension inhabituelle ou un mot ajouté au nom de la marque doivent alerter. En cas de doute, passez par l'adresse officielle de la marque plutôt que par le lien proposé.

Comment une marque peut-elle savoir si des IA citent un faux de son site ?

En suivant les sources citées par les moteurs IA sur les questions qui la concernent. C'est ce que mesure BotRank, moteur par moteur.

Sources

• Données : étude BotRank.ai, données au 9 novembre 2026. Sources citées par ChatGPT, Gemini, Google AI Overviews, Perplexity, Mistral, Copilot, Claude et AI Mode pour les marques suivies avec un abonnement actif.
• Vérification des domaines : résolution DNS, visite des sites, registres RDAP et alertes Cloudflare, les 4 et 9 novembre 2026.
• Reprise des données : libre, avec la mention « Étude BotRank.ai, novembre 2026 » et un lien vers cet article.