Microsoft ha rilevato diverse campagne di ingegneria sociale che sfruttano la popolarità di chatbot AI, tra cui ChatGPT e Claude. I cybercriminali ingannano le ignare vittime con phishing, malvertising e tecniche SEO con lo scopo di installare malware, rubare credenziali e attuare truffe finanziarie. L’azienda di Redmond ha descritto quattro casi recenti.
Attenzione a false comunicazioni, inserzioni e repository
La prima campagna descritta da Microsoft sfrutta la popolarità di ChatGPT. All’inizio di maggio sono state inviate oltre 100.000 email di phishing in un singolo giorno a varie aziende. Il messaggio, che sembra provenire da OpenAI, invita l’utente a fornire un nuovo metodo di pagamento entro 7 giorni per continuare ad accedere a ChatGPT Plus. Dopo una serie di reindirizzamenti si arriva alla pagina in cui devono essere inseriti nome, cognome, indirizzo di residenza e dati della carta di credito (numero, scadenza e codice CVC).
Una simile tecnica è stata utilizzata per ingannare gli utenti di Claude. In questo caso, i destinatari ricevono un’email che riguarda una presunta violazione dei termini di servizio. È necessario quindi seguire le istruzioni nel documento PDF allegato per presentare appello. Cliccando sul link inserito nel PDF viene infine aperta una falsa pagina di login Microsoft. Tramite un attacco adversary-in-the-middle (AiTM), i cybercriminali intercettano i token di autenticazione e prendono il controllo dell’account.
La terza campagna sfrutta il malvertising. Su alcuni siti di streaming viene pubblicizzato il plugin Awesome AI Windows che servirebbe per la riproduzione gratuita di video, tra cui film pirata. Cliccando sul pulsante di download viene scaricato un’eseguibile ospitato su GitHub (Microsoft ha rimosso il repository). Se avviato, sul computer viene scaricato Vidar, un noto infostealer che esfiltra numerosi dati.
Anche l’ultima campagna usa GitHub per distribuire Vidar. In questo caso è stato sfruttato l’annuncio di DeepSeek V4. Il repository creato dai cybercriminali è stato pubblicizzato tramite tecniche SEO e social media. Insieme all’infostealer è stato distribuito anche GhostSocks (consente di trasformare il dispositivo in un proxy residenziale).
Ti potrebbe interessare
14 giu 2026