استغلال روابط مشاركة ChatGPT لدفع برمجيات خبيثة عبر صفحات أعطال وهمية
حملة هجومية موثّقة حديثًا تستغل ميزة موثوقة مدمجة في ChatGPT نفسه. يستخدم المهاجمون روابط المحادثات القابلة للمشاركة لعرض صفحات أعطال وهمية مقنعة، تعيد توجيه الزائرين لتحميل برمجيات خبيثة متنكرة في هيئة تطبيق ChatGPT الرسمي لسطح المكتب. يُعد هذا الأسلوب مثالًا صارخًا على كيف يمكن لحملات البرمجيات الخبيثة عبر صفحات أعطال ChatGPT الوهمية أن تقلب ميزة شرعية في المنصة ضد مستخدميها.
ما يجعل هذا الهجوم ذا مصداقية غير معتادة هو آلية التوصيل. فبما أن المحتوى الخبيث مستضاف على رابط مشاركة حقيقي من ChatGPT (تحت النطاق chat.openai.com) فإنه يتجاوز الشك الفوري الذي قد يساور كثيرًا من المستخدمين تجاه نطاق تصيد مجهول. المستخدمون الذين ينقرون على ما يبدو أنه محادثة مشتركة، تظهر لهم بدلًا من ذلك صفحة مقنعة تزعم أن الخدمة معطلة، مع مطالبة بتحميل تطبيق سطح مكتب كحل بديل.
كيف يحوّل المهاجمون روابط مشاركة ChatGPT إلى صفحات توصيل للبرمجيات الخبيثة
يتيح ChatGPT للمستخدمين إنشاء روابط قابلة للمشاركة لمحادثاتهم. هذه الروابط تصبح عامة تلقائيًا بمجرد إنشائها، مما يعني أن أي شخص يمتلك الرابط يمكنه عرض المحتوى. يولد المهاجمون هذه الروابط لعرض محتوى مصمم ليحاكي إشعار عطل رسمي من OpenAI.
الصفحة الوهمية لا تتطلب أي اختراق للبنية التحتية لـ OpenAI على الإطلاق. يستخدم المهاجم ببساطة واجهة ChatGPT لبناء محادثة تبدو، عند عرضها كرابط مشترك، وكأنها تنبيه عن حالة الخدمة أو صيانة. ومن هناك، توجه الصفحة المستخدمين نحو تحميل ما يُقدم على أنه تطبيق ChatGPT مستقل لسطح المكتب، وهو في الواقع حمولة من البرمجيات الخبيثة.
هذا الأسلوب فعّال بشكل خاص لأن المهاجم يستغل شيئين في آن واحد: الشرعية البصرية لرابط يبدو تابعًا لـ openai.com والضغط الاجتماعي الناتج عن عطل مفترض في الخدمة. المستخدمون الذين يعتمدون على ChatGPT في العمل أو المهام اليومية يكونون مستعدين للتحرك بسرعة حين يعتقدون أن الخدمة غير متاحة.
لماذا يُعد مستخدمو الخصوصية والشبكات الافتراضية الخاصة (VPN) أهدافًا رئيسية للتصيد المرتبط بالذكاء الاصطناعي
غالبًا ما يفترض المستخدمون المهتمون بالخصوصية والذين يعتمدون على الشبكات الافتراضية الخاصة (VPN) أنهم أكثر حماية من حملات التصيد. في هذه الحالة، يمكن أن ينقلب هذا الافتراض ضدهم. لأن الرابط الخبيث ينشأ من نطاق حقيقي وموثوق، فإن تصفية الحركة على مستوى VPN وحتى بعض أدوات أمان المتصفح قد لا تُبلغ عن الرابط.
أبعد من ذلك، تنطوي منصات الذكاء الاصطناعي أصلًا على قدر كبير من التعرض للخصوصية يتجاوز أي حملة برمجيات خبيثة منفردة. أظهرت أبحاث جديدة أن أنظمة الذكاء الاصطناعي يمكن أن تُستخدم لكشف هوية حسابات وسائل التواصل الاجتماعي المجهولة، وهو تذكير بأن المخاطر المرتبطة بأدوات الذكاء الاصطناعي أوسع وأكثر تداخلًا مما يدركه معظم المستخدمين. فالشخص الذي يحمي هويته بعناية على الإنترنت لكنه يثبّت حمولة برمجيات خبيثة معتقدًا أنها تطبيق شرعي، يسلّم أكثر بكثير مما كان ينوي.
كما أن فخاخ الإغراء المرتبطة بالذكاء الاصطناعي تزداد فعالية مع اندماج عدد أكبر من الناس لأدوات مثل ChatGPT في سير عملهم اليومي. كلما بدت الأداة أكثر أهمية، زاد إلحاح رسالة "العطل" التي تحملها، والإلحاح هو أحد أسلحة التصيد الأكثر موثوقية.
إشارات تحذيرية: اكتشاف صفحة عطل أو تحميل وهمية قبل النقر
حتى عندما يبدو الرابط شرعيًا، هناك إشارات سلوكية وبصرية يجب أن تثير الشك:
- مطالبات تحميل غير متوقعة. لا يتطلب ChatGPT تطبيق سطح مكتب لاستخدام خدمة الويب. أي صفحة تحثّك على تحميل برنامج للوصول إلى ChatGPT أثناء العطل تكون مزيفة. OpenAI لديها تطبيقات سطح مكتب رسمية توزع عبر قنوات موثقة، وليس عبر روابط محادثات مشتركة.
- إشعارات عطل لا يراها سواك. تُعلن حالات العطل الحقيقية للخدمة علنًا على صفحة حالة OpenAI وعبر حساباتها الرسمية على وسائل التواصل الاجتماعي. إذا أرسل لك أحدهم رابطًا مشتركًا يدعي أن الخدمة معطلة بينما تعمل الخدمة بشكل طبيعي للآخرين، فالصفحة محتالة.
- الإلحاح والخيارات المحدودة. كثيرًا ما تقدم صفحات العطل الوهمية حلًا وحيدًا (التحميل الخبيث) دون رابط إلى أي وثائق دعم رسمية أو تحديثات حالة.
- سياق غير متطابق. رابط مشاركة ChatGPT ينبغي أن يحتوي على نص محادثة. إذا فتحت رابط مشاركة ورأيت إشعار عطل مصقولًا بدلًا من سلسلة محادثة، فهذا مؤشر قوي على التلاعب.
كيفية التحقق من تحميلات واتصالات ChatGPT الشرعية
القاعدة الأكثر أمانًا عند التعامل مع أي تحميل برنامج هي التوجه مباشرة إلى المصدر، وإلى المصدر فقط. بالنسبة لتطبيقات ChatGPT لسطح المكتب، يعني ذلك التوجه إلى openai.com مباشرة عبر متصفحك بدلًا من النقر على أي رابط، سواء بدا صادرًا من صديق، أو رابط مشاركة، أو نتيجة بحث.
بالنسبة لحالة الخدمة، ضع إشارة مرجعية لصفحة الحالة الرسمية لـ OpenAI (status.openai.com) وتحقق منها مباشرة إذا شككت في وجود عطل، بدلًا من الثقة برسالة حالة مضمّنة في رابط مشترك. لا توجد منصة شرعية تدمج إشعار العطل الخاص بها داخل رابط محتوى من إنشاء المستخدم.
إذا وصلك رابط مشاركة ChatGPT من شخص ما، عاين الرابط قبل النقر. رابط المشاركة الحقيقي يجب أن يؤدي إلى محادثة. إذا عرض أي شيء آخر غير نص محادثة، أغلق الصفحة فورًا ولا تتفاعل مع أي أزرار تحميل.
ما الذي يعنيه هذا بالنسبة لك
هذه الحملة تذكير بأن المنصات الموثوقة يمكن أن تصبح أسطح هجوم عندما يجد المهاجمون طرقًا مبتكرة لإساءة استغلال ميزاتها. لست بحاجة إلى خادم مخترق أو نطاق مزيف لتوصيل البرمجيات الخبيثة بشكل مقنع. أحيانًا تكفي وظيفة شرعية لمشاركة المحتوى.
بالنسبة لأي شخص يستخدم أدوات الذكاء الاصطناعي بانتظام، فإن الخلاصة واضحة: عامل مطالبات التحميل غير المتوقعة بنفس الشك الذي تطبقه على مرفق من مرسل مجهول. تحقق من أعطال الخدمة عبر القنوات الرسمية، ولا تقم أبدًا بتثبيت برنامج مصدره رابط محادثة مشتركة.
المخاطر المرتبطة بمنصات الذكاء الاصطناعي لا تقتصر على التصيد وحده. كما غطت الأبحاث حول كيف يمكن للذكاء الاصطناعي الآن كشف هوية حسابات التواصل الاجتماعي المجهولة، فإن المقاربة المتعددة الطبقات للخصوصية تعني التفكير فيما يتجاوز الحوادث الفردية وفهم المساحة الكاملة التي تعرضها هذه الأدوات. تشمل العادات الجيدة استخدام مجموعة أمان موثوقة، والحفاظ على تحديث متصفحك ونظام التشغيل، والشك في أي مطالبة غير مرغوب فيها لتحميل برنامج، مهما بدا رابط المصدر مألوفًا.
