La factura falsa de ChatGPT es de 23,80 dólares, y ahí está la astucia

Veintitrés dólares con ochenta centavos. Esa es la cifra que hace el trabajo en una campaña de phishing que Cofense desmontó esta semana, y lo modesto del importe es casi todo el truco.

El correo llega con aspecto de aviso de facturación de ChatGPT. Logotipo correcto, etiqueta de último aviso, un saldo pendiente de 23,80 dólares y la advertencia de que la cuenta quedará suspendida en 48 horas si no se actualizan los datos de pago. El asunto dice "Urgent: Update Your Payment Method to Avoid Service Interruption" y todo va firmado como "The OpenAI Team". Lo bastante poco como para que pudieras deberlo de verdad. Lo bastante irritante como para resolverlo ya en vez de pensarlo. Josh Varden, del Phishing Defense Center de Cofense, siguió el botón verde para ver adónde llevaba en realidad, y la dirección del remitente ya lo delata: support@9527db6e1a.nxcli.io, que no le suena a OpenAI a nadie.

El enlace en sí es lo que conviene entender. No apunta al sitio falso. Empieza en notifications.googleapis.com, una dirección auténtica de Google, que después reenvía el navegador. Pasar el ratón por encima para inspeccionar el enlace, el consejo que llevamos veinte años repitiendo, te muestra un dominio de Google y no te enseña nada. El mismo problema de redirecciones apareció la semana pasada en los propios resultados de búsqueda de Google. La página del final copia la pantalla de acceso de ChatGPT, se queda la contraseña y luego te deja en una página de error para que parezca que no ha pasado nada.

Juzga la barra de direcciones cuando ya has aterrizado, no el enlace antes de pulsar: el acceso auténtico de OpenAI vive en auth.openai.com. Mejor todavía, cierra el correo y abre el servicio tú mismo. Si una contraseña ya ha ido a donde no debía, la comprobación de privacidad y cuentas de Tendvane es una parada razonable.