ChatGPT utilizzato per attacchi phishing: esperti lanciano allarme

ChatGPT è uno strumento con incredibili capacità: l’intelligenza artificiale, tramite questo chatbot, ha dimostrato le sue abilità creative ed è diventata molto più mainstream rispetto agli anni scorsi, quando l’idea di IA era collegata principalmente ad assistenti vocali, algoritmi sui social e Skynet, per chi ama il cinema.

Peccato, però, che il prodotto di OpenAI abbia anche mostrato al pubblico i suoi rischi, e sempre più analisti nel settore della cybersicurezza temono il suo utilizzo per scopi malevoli.

A parlarne nel dettaglio, riportando i numeri riguardanti il phishing su scala globale, sono stati gli esperti di Zscaler. Con una nuova serie di analisi dettagliate hanno determinato un incremento significativo delle offensive a livello globale: si parla di smishing (SMS), vishing (VoIP), phishing via email, attacchi adversary-in-the-middle (AiTM, utilizzato per aggirare l’autenticazione a più fattori; abbiamo visto il caso di EvilProxy) e attacchi basati su Phishing-as-a-Service (PaaS).

Tra i settori più colpiti figurano l’istruzione al primo posto, seguito da finanza e istituzioni, mentre la sanità si trova al quinto posto per punti percentuali, essendo il bersaglio dell’8,9% degli attacchi. Scendendo ancora più nel dettaglio, tra gli obiettivi principali vengono inclusi i servizi Microsoft, Binance e siti di streaming illegale, mediante i quali i malintenzionati del caso riescono con frequente successo a intrufolarsi nei dispositivi delle vittime.

ChatGPT, in questa tipologia specifica di attacchi, viene utilizzato per scrivere messaggi convincenti, magari assumendo toni simili a individui già noti alle persone nel mirino dei cybercriminali. Il chatbot non offre output difficilmente distinguibili da testi scritti da esseri umani e con alcune modifiche possono risultare, per le vittime, ancora più convincenti ed efficaci.

L’inganno è quindi dietro l’angolo e, suggeriscono gli analisti di Zscaler, la soluzione ideale consisterebbe nell’implementazione di politiche Zero Trust nei sistemi aziendali, pubblici e privati, con la verifica continua delle reti e delle applicazioni usate da ciascun dispositivo, accertandosi che le autorizzazioni per accedere ai dati sensibili vengano concesse esclusivamente dal personale o dai proprietari del dispositivo.