Truffa del falso abbonamento ChatGPT: come funziona e come difendersi

Il copione è sempre lo stesso. Si riceve un’e-mail (truffa), in questo caso che fa riferimento ad un (ipotetico) abbonamento su ChatGPT, in cui ci viene detto che non è stato possibile rinnovare il piano. Per non perdere l’accesso al servizio di OpenAI, dobbiamo seguire delle semplici istruzioni.

In pochi clic, però, anziché ‘salvare’ il nostro account, mettiamo nelle mani dei criminali informatici i nostri preziosi dati bancari (e/o personali) da «valorizzare» in modo illecito.

Come funziona

All’utente viene chiesto di fare un semplice clic su un pulsante che, all’apparenza, sembra rassicurante. Del resto, chiede soltanto di compiere un’azione come «verificare lo stato del pagamento». In realtà, il pulsante nasconde un link che conduce a un portale malevolo.

La semplicità della richiesta, unitamente al senso di urgenza di porre rimedio al (potenziale) futuro disservizio al proprio account, rende irresistibile il contenuto dell’e-mail. Una volta aperto il “sito fotocopia”, ci si trova di fronte a un portale che assomiglia a quello di ChatGPT.

In realtà, il percorso di questa pagina non ha nulla a che vedere col dominio ufficiale del servizio di OpenAI. Per smascherare sul nascere il tentativo di phishing, basterebbe appoggiare il puntatore del mouse sul pulsante ed attendere che compaia il tooltip con l’URL. A colpo d’occhio, noteremmo l’anomalia dell’indirizzo del sito che siamo invitati a consultare.

Sul portale ‘truffa’, i criminali informatici ci invitano ad inserire i dati della nostra carta di credito (numero, codice CVV, …) o altre informazioni della nostra relazione bancaria. Queste vengono poi riutilizzate per compiere acquisti illeciti o sono rivendute sul dark net.

Nei casi peggiori, oltre a sottrarre i dati bancari e/o le credenziali di accesso ai servizi, i criminali informatici inducono gli utenti a scaricare dei malware sui propri dispositivi. In questo modo, possono continuare a commettere illeciti di vario tipo ad insaputa dell’ignaro utente.

Come riconoscerla

La prima leva sfruttata dai criminali informatici è un oggetto dell’e-mail molto chiaro (quasi perentorio), che invita l’utente a compiere un’azione senza tergiversare. In caso contrario, l’ignaro destinatario dell’e-mail truffa perderebbe l’accesso al servizio.

In questo caso, il tentativo di phishing con ChatGPT fa riferimento a un ipotetico pagamento non andato a buon fine e l’esigenza di compiere una verifica (coi propri dati utente e quelli bancari).

Dopo aver attirato l’attenzione dell’utente con l’oggetto dell’e-mail, il contenuto del messaggio agita ulteriormente la persona spiegandole che l’ultimo (presunto) addebito previsto dal proprio abbonamento non sarebbe avvenuto con successo.

L’e-mail è prodiga di informazioni che avvalorano ulteriormente la (falsa) problematica, riportando ad esempio i dettagli di una transazione fallita. Oppure, si fa riferimento alla mancata accettazione dell’addebito da parte della propria banca, con motivazioni apparentemente credibili.

Come proteggersi

Anche se il contenuto del messaggio può sembrare verosimile ed essere persuasivo, questo tentativo di phishing non è la massima espressione della cosiddetta «ingegneria sociale». Per smascherare il tentativo di truffa, la prima cosa da fare è osservare attentamente l’indirizzo di posta del mittente.

OpenAI, l’azienda che sta dietro a ChatGPT, non comunicherebbe mai tramite una casella di posta elettronica “non istituzionale”.

Detto in altre parole, non l’azienda non ci scriverà mai tramite un indirizzo di posta aperto su Gmail, Outlook o altri servizi simili. Controlliamo quindi che il mittente sia associato al dominio ufficiale (@openai.com).

In secondo luogo, diffidiamo in modo pressoché assoluto delle richieste che fanno leva sull’esigenza di compiere un’operazione importante in poco tempo. Di solito, le aziende ci inviano delle e-mail promemoria con un certo preavviso (non all’ultimo secondo).

In terzo luogo, se abbiamo davvero sottoscritto un abbonamento a ChatGPT e vogliamo verificare che il nostro account non stia scadendo, possiamo fare il login sul portale del chatbot. Una volta effettuato l’accesso, possiamo andare su ‘impostazioni’ e poi ‘fatturazione’ per fare velocemente un controllo e levarsi ogni dubbio.

A prescindere da tutti i suggerimenti precedenti, la prima accortezza da adottare è sempre quella di non far alcun clic su collegamenti che si trovano nelle e-mail sospette. Infine, non inserire mai alcuna credenziale di accesso (o altro dato personale) su siti diversi da quelli ufficiali: soprattutto se li raggiungiamo a partire da messaggi di posta (o SMS) non sollecitati da noi.

Per non perdere gli ultimi aggiornamenti dal mondo high tech e trarre sempre il meglio dal mondo online, consigliamo di salvare la nostra rubrica tecnologica tra i preferiti. Oltre alle notizie più importanti, si trovano numerose guide pratiche e semplici.