La finta fattura ChatGPT è da 23,80 dollari, e sta tutta lì l'astuzia

Ventitré dollari e ottanta centesimi. È questa cifra a fare il lavoro in una campagna di phishing che Cofense ha smontato questa settimana, e la sua modestia è gran parte del trucco.

La email si presenta come un avviso di fatturazione di ChatGPT. Logo corretto, dicitura di ultimo avviso, un saldo da pagare di 23,80 dollari e l'avvertimento che l'account sarà sospeso entro 48 ore se i dati di pagamento non vengono aggiornati. L'oggetto recita "Urgent: Update Your Payment Method to Avoid Service Interruption" e il tutto si firma "The OpenAI Team". Abbastanza poco da poterlo davvero dovere. Abbastanza fastidioso da sbrigarlo subito invece di pensarci. Josh Varden, del Phishing Defense Center di Cofense, ha seguito il pulsante verde per vedere dove portasse davvero, e l'indirizzo del mittente svela già tutto: support@9527db6e1a.nxcli.io, che per nessuno somiglia a OpenAI.

Il link in sé è la parte da capire. Non punta al sito falso. Parte da notifications.googleapis.com, un indirizzo Google autentico, che poi spinge il browser altrove. Passare il mouse sopra un link per ispezionarlo, il consiglio ripetuto da vent'anni, vi mostra un dominio Google e non vi insegna niente. Lo stesso problema di reindirizzamento è comparso nei risultati di ricerca di Google la settimana scorsa. La pagina in fondo alla catena copia la schermata di accesso di ChatGPT, prende la password e poi vi scarica su una pagina di errore, così sembra che non sia successo nulla.

Giudicate la barra degli indirizzi dopo essere arrivati, non il link prima di cliccare: l'accesso vero di OpenAI sta su auth.openai.com. Meglio ancora, chiudete la email e aprite il servizio da soli. Se una password è già finita dove non doveva, il controllo privacy e account di Tendvane è una tappa sensata.