ChatGPT permette di rubare le email private

Un ricercatore giapponese ha scoperto che ChatGPT può essere utilizzato per accedere alle email private all’insaputa delle vittime. È sufficiente conoscere l’indirizzo email. Questo attacco di prompt injection indiretto sfrutta i connettori basati sul Model Context Protocol (MCP). Una simile vulnerabilità è presente anche in Gemini.

Accesso alle email con un invito di calendario

OpenAI ha annunciato a metà agosto i nuovi connettori per Gmail, Google Calendar e Google Contatti. Possono essere utilizzati dagli abbonati Pro per ottenere risposte personalizzate autorizzando l’assistente a leggere i dati personali.

Dal 10 settembre, gli sviluppatori possono creare connettori e usarli nelle conversazioni per eseguire azioni, grazie al Model Context Protocol (MCP). Un cybercriminale deve solo utilizzare un server MCP e conoscere l’indirizzo email della potenziale vittima. OpenAI avvisa che la funzionalità è potente, ma anche pericolosa perché può essere sfruttata per rubare dati sensibili.

I ricercatori di Zenity Labs avevano già descritto un modo per accedere alle informazioni sensibili tramite Google Drive. Il ricercatore giapponese ha invece mostrato come accedere alle email private tramite il connettore per Google Calendar.

We got ChatGPT to leak your private email data 💀💀

All you need? The victim's email address. ⛓️‍💥🚩📧

On Wednesday, @OpenAI added full support for MCP (Model Context Protocol) tools in ChatGPT. Allowing ChatGPT to connect and read your Gmail, Calendar, Sharepoint, Notion,… pic.twitter.com/E5VuhZp2u2

— Eito Miyamura | 🇯🇵🇬🇧 (@Eito_Miyamura) September 12, 2025

Conoscendo l’indirizzo email della vittima, un cybercriminale può inviare un invito tramite Google Calendar che contiene istruzioni nascoste per ChatGPT. Quando l’ignaro utente chiede all’assistente di leggere gli appuntamenti nel calendario, ChatGPT trova l’evento ed esegue il prompt nascosto. In questo caso viene letto il contenuto della casella di posta e tutte le email sono inviate al cybercriminale. Questa è un esempio di attacco “indirect prompt injection“.

Gli utenti dovrebbero disattivare l’uso automatico dei connettori nelle impostazioni di ChatGPT e cambiare l’autorizzazione relativa all’aggiunta degli inviti al calendario (meglio selezionare “Solo se il mittente è noto” o “Quando rispondo all’invito nell’email“).