ลิงก์แชร์ ChatGPT ถูกใช้เป็นอาวุธเพื่อหลอกให้ดาวน์โหลดมัลแวร์ปลอมหน้าล่ม
แคมเปญโจมตีที่เพิ่งถูกบันทึกเป็นเอกสารกำลังใช้ประโยชน์จากฟีเจอร์ความน่าเชื่อถือที่ฝังอยู่ในตัว ChatGPT เอง ผู้ไม่ประสงค์ดีกำลังใช้ลิงก์บทสนทนาที่แชร์ได้ของ ChatGPT เพื่อโฮสต์หน้าแจ้งบริการล่มปลอมที่ดูน่าเชื่อถือ ซึ่งจากนั้นจะเปลี่ยนเส้นทางผู้เยี่ยมชมไปยังการดาวน์โหลดมัลแวร์ที่ปลอมตัวเป็นแอปพลิเคชันเดสก์ท็อป ChatGPT อย่างเป็นทางการ เทคนิคนี้เป็นตัวอย่างที่ชัดเจนของวิธีที่แคมเปญ มัลแวร์หน้าแจ้ง ChatGPT ล่มปลอม สามารถเปลี่ยนฟีเจอร์ที่ถูกต้องตามกฎหมายของแพลตฟอร์มให้หันมาต่อต้านผู้ใช้ของตัวเองได้
สิ่งที่ทำให้การโจมตีนี้ดูน่าเชื่อถืออย่างผิดปกติคือกลไกการส่งมอบ เนื่องจากเนื้อหาอันตรายถูกโฮสต์บน URL แชร์ของ ChatGPT จริง (ภายใต้โดเมน chat.openai.com) จึงสามารถหลบเลี่ยงความสงสัยในทันทีที่ผู้ใช้หลายคนจะใช้กับโดเมนฟิชชิงที่ไม่รู้จัก ผู้ใช้ที่คลิกสิ่งที่ดูเหมือนบทสนทนาที่ถูกแชร์จะถูกแสดงหน้าเว็บที่น่าเชื่อถือซึ่งอ้างว่าบริการล่ม พร้อมกับข้อความเชิญชวนให้ดาวน์โหลดไคลเอนต์เดสก์ท็อปเป็นวิธีแก้ปัญหา
ผู้โจมตีเปลี่ยนลิงก์แชร์ ChatGPT ให้เป็นหน้าส่งมอบมัลแวร์ได้อย่างไร
ChatGPT อนุญาตให้ผู้ใช้สร้างลิงก์ที่แชร์ได้ไปยังบทสนทนาของตน ลิงก์เหล่านี้เป็นสาธารณะโดยค่าเริ่มต้นเมื่อสร้างขึ้น หมายความว่าใครก็ตามที่มี URL สามารถดูเนื้อหาได้ ผู้โจมตีกำลังสร้างลิงก์เหล่านี้เพื่อแสดงเนื้อหาที่สร้างขึ้นซึ่งเลียนแบบการแจ้งเตือนบริการล่มอย่างเป็นทางการของ OpenAI
หน้าเว็บปลอมไม่จำเป็นต้องบุกรุกโครงสร้างพื้นฐานของ OpenAI เลย ผู้โจมตีเพียงแค่ใช้ส่วนติดต่อผู้ใช้ของ ChatGPT เองเพื่อสร้างบทสนทนาที่เมื่อดูในรูปแบบลิงก์ที่แชร์แล้ว จะดูเหมือนการแจ้งสถานะบริการหรือการแจ้งเตือนบำรุงรักษา จากนั้นหน้าเว็บจะชี้ผู้ใช้ไปยังการดาวน์โหลดสิ่งที่นำเสนอเป็นแอป ChatGPT เดสก์ท็อปแบบสแตนด์อโลน ซึ่งแท้จริงแล้วคือเพย์โหลดมัลแวร์
วิธีการนี้ได้ผลเป็นพิเศษเพราะผู้โจมตีใช้ประโยชน์จากสองสิ่งพร้อมกัน คือความชอบธรรมทางสายตาของ URL ที่ใกล้เคียงกับ openai.com และแรงกดดันทางสังคมจากการรับรู้ว่าบริการล่ม ผู้ใช้ที่พึ่งพา ChatGPT สำหรับการทำงานหรือภารกิจประจำวันถูกกระตุ้นให้ลงมืออย่างรวดเร็วเมื่อพวกเขาคิดว่าบริการไม่พร้อมใช้งาน
ทำไมผู้ใช้ที่ใส่ใจความเป็นส่วนตัวและผู้ใช้ VPN จึงเป็นเป้าหมายหลักของการฟิชชิง themed AI
ผู้ใช้ที่ใส่ใจความเป็นส่วนตัวและผู้ที่พึ่งพา VPN มักสันนิษฐานว่าตนได้รับการปกป้องที่ดีกว่าจากแคมเปญฟิชชิง ในกรณีนี้ สมมติฐานดังกล่าวอาจกลับมาทำร้ายพวกเขาได้ เนื่องจากลิงก์อันตรายมีต้นกำเนิดจากโดเมนจริงที่น่าเชื่อถือ การกรองทราฟฟิกในระดับ VPN และแม้แต่เครื่องมือความปลอดภัยบนเบราว์เซอร์บางตัวอาจไม่ตั้งค่าสถานะ URL ดังกล่าว
นอกจากนี้ แพลตฟอร์ม AI มีความเสี่ยงด้านความเป็นส่วนตัวที่สำคัญอยู่แล้ว ซึ่งขยายไปไกลกว่าแคมเปญมัลแวร์ใด ๆ เพียงครั้งเดียว งานวิจัยใหม่ได้แสดงให้เห็นว่าระบบ AI สามารถถูกใช้เพื่อเปิดเผยตัวตนของบัญชีโซเชียลมีเดียแบบไม่ระบุชื่อได้ ซึ่งเป็นเครื่องเตือนใจว่าความเสี่ยงรอบเครื่องมือ AI นั้นกว้างขวางและซับซ้อนกว่าที่ผู้ใช้ส่วนใหญ่ตระหนัก ผู้ที่ระมัดระวังตัวตนออนไลน์ของตนอย่างดีแต่ติดตั้งเพย์โหลดมัลแวร์โดยคิดว่าเป็นแอปที่ถูกต้องตามกฎหมาย ย่อมส่งมอบสิ่งต่าง ๆ มากมายเกินกว่าที่ตั้งใจไว้
เหยื่อล่อที่ themed AI ยังมีประสิทธิภาพมากขึ้นเรื่อย ๆ เมื่อผู้คนจำนวนมากขึ้นผสานเครื่องมืออย่าง ChatGPT เข้ากับกระบวนการทำงานประจำวัน ยิ่งเครื่องมือรู้สึกว่าจำเป็นมากเท่าไร ข้อความ "บริการล่ม" ก็ยิ่งเร่งเร้ามากขึ้นเท่านั้น และความเร่งรีบก็เป็นหนึ่งในอาวุธที่น่าเชื่อถือที่สุดของฟิชชิง
สัญญาณเตือน: การตรวจจับหน้าแจ้งล่มหรือดาวน์โหลดปลอมก่อนที่คุณจะคลิก
แม้ URL จะดูถูกต้องตามกฎหมาย แต่ก็มีสัญญาณเชิงพฤติกรรมและทางสายตาที่ควรกระตุ้นความสงสัย:
- ข้อความเชิญชวนดาวน์โหลดที่ไม่คาดคิด ChatGPT ไม่จำเป็นต้องมีแอปเดสก์ท็อปเพื่อใช้บริการเว็บ หน้าเว็บใดก็ตามที่กระตุ้นให้คุณดาวน์โหลดซอฟต์แวร์เพื่อเข้าถึง ChatGPT ระหว่างที่บริการล่มนั้นเป็นสิ่งที่ถูกสร้างขึ้นมา OpenAI มีแอปเดสก์ท็อปอย่างเป็นทางการที่เผยแพร่ผ่านช่องทางที่ผ่านการตรวจสอบ ไม่ใช่ผ่านลิงก์บทสนทนาที่แชร์
- การแจ้งล่มที่เห็นได้เฉพาะคุณ การล่มของบริการจริงจะถูกประกาศต่อสาธารณะบนหน้าสถานะของ OpenAI และผ่านบัญชีโซเชียลมีเดียอย่างเป็นทางการ หากมีคนส่งลิงก์ที่แชร์มาซึ่งอ้างว่าบริการล่ม แต่บริการยังทำงานปกติสำหรับผู้อื่น หน้านั้นเป็นของปลอม
- ความเร่งรีบและตัวเลือกที่จำกัด หน้าแจ้งล่มปลอมมักนำเสนอวิธีแก้เพียงวิธีเดียว (การดาวน์โหลดอันตราย) โดยไม่เชื่อมโยงไปยังเอกสารสนับสนุนอย่างเป็นทางการหรือการอัปเดตสถานะใด ๆ
- บริบทที่ไม่สอดคล้อง ลิงก์แชร์ ChatGPT ควรมีบันทึกบทสนทนา หากคุณเปิดลิงก์แชร์แล้วเห็นการแจ้งล่มที่ดูเรียบร้อยแทนที่จะเป็นเธรดแชท นั่นเป็นตัวบ่งชี้ที่ชัดเจนถึงการถูก manipulated
วิธีตรวจสอบการดาวน์โหลดและการสื่อสารของ ChatGPT ที่ถูกต้องตามกฎหมาย
กฎที่ปลอดภัยที่สุดเมื่อพูดถึงการดาวน์โหลดซอฟต์แวร์ใด ๆ คือไปที่แหล่งที่มาโดยตรง และเฉพาะแหล่งที่มาเท่านั้น สำหรับแอปพลิเคชันเดสก์ท็อป ChatGPT นั่นหมายถึงการนำทางไปยัง openai.com โดยตรงผ่านเบราว์เซอร์ของคุณ แทนที่จะคลิกลิงก์ใด ๆ ไม่ว่าลิงก์นั้นจะดูเหมือนมาจากเพื่อน ลิงก์แชร์ หรือผลการค้นหา
สำหรับสถานะบริการ ให้บุ๊กมาร์กหน้าสถานะอย่างเป็นทางการของ OpenAI (status.openai.com) และตรวจสอบโดยตรงหากคุณสงสัยว่าบริการล่ม แทนที่จะเชื่อข้อความสถานะที่ฝังอยู่ในลิงก์ที่แชร์ ไม่มีแพลตฟอร์มที่ถูกต้องตามกฎหมายใดฝังการแจ้งล่มของตัวเองไว้ใน URL เนื้อหาที่ผู้ใช้สร้างขึ้น
หากคุณได้รับลิงก์แชร์ ChatGPT จากใครบางคน ให้ดูตัวอย่าง URL ก่อนคลิก ลิงก์แชร์ของแท้ควรนำไปสู่บทสนทนา หากมันแสดงสิ่งอื่นใดนอกเหนือจากบันทึกแชท ให้ปิดหน้าเว็บทันทีและอย่าโต้ตอบกับปุ่มดาวน์โหลดใด ๆ
สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ
แคมเปญนี้เป็นเครื่องเตือนใจว่าแพลตฟอร์มที่น่าเชื่อถือสามารถกลายเป็นพื้นผิวการโจมตีได้เมื่อผู้ไม่ประสงค์ดีค้นพบวิธีสร้างสรรค์ในการใช้ประโยชน์จากฟีเจอร์ของแพลตฟอร์มเอง คุณไม่จำเป็นต้องมีเซิร์ฟเวอร์ที่ถูกบุกรุกหรือโดเมนปลอมเพื่อส่งมอบมัลแวร์อย่างน่าเชื่อถือ บางครั้งฟังก์ชันการแชร์เนื้อหาที่ถูกต้องตามกฎหมายก็เพียงพอแล้ว
สำหรับใครก็ตามที่ใช้เครื่องมือ AI เป็นประจำ ข้อสรุปนั้นตรงไปตรงมา: จงปฏิบัติต่อข้อความเชิญชวนดาวน์โหลดที่ไม่คาดคิดด้วยความสงสัยแบบเดียวกับที่คุณจะใช้กับไฟล์แนบจากผู้ส่งที่ไม่รู้จัก ตรวจสอบการล่มของบริการผ่านช่องทางอย่างเป็นทางการ และอย่าติดตั้งซอฟต์แวร์ที่มาจากลิงก์บทสนทนาที่แชร์
ความเสี่ยงรอบแพลตฟอร์ม AI ไม่ได้จำกัดอยู่เพียงแค่ฟิชชิงเท่านั้น ดังที่กล่าวถึงในงานวิจัยเกี่ยวกับ วิธีที่ AI สามารถเปิดเผยตัวตนของบัญชีโซเชียลมีเดียแบบไม่ระบุชื่อได้แล้ว แนวทางความเป็นส่วนตัวแบบหลายชั้นหมายถึงการคิดให้ไกลกว่าเหตุการณ์แต่ละครั้งและเข้าใจพื้นที่ผิวทั้งหมดที่เครื่องมือเหล่านี้เปิดเผย นิสัยที่ดี ได้แก่ การใช้ชุดความปลอดภัยที่น่าเชื่อถือ การอัปเดตเบราว์เซอร์และระบบปฏิบัติการอยู่เสมอ และการสงสัยต่อข้อความเชิญชวนดาวน์โหลดซอฟต์แวร์ที่ไม่พึงประสงค์ใด ๆ ไม่ว่า URL ต้นทางจะดูคุ้นเคยเพียงใดก็ตาม
