Fałszywy rachunek za ChatGPT opiewa na 23,80 dolara i w tym tkwi cały spryt

Dwadzieścia trzy dolary i osiemdziesiąt centów. To ta liczba wykonuje robotę w kampanii phishingowej, którą Cofense rozebrał w tym tygodniu, a jej skromna wysokość stanowi większość sztuczki.

Wiadomość przychodzi jako powiadomienie o rozliczeniu ChatGPT. Poprawne logo, dopisek o ostatecznym wezwaniu, saldo do zapłaty 23,80 dolara i ostrzeżenie, że konto zostanie zawieszone w ciągu 48 godzin, jeśli dane płatności nie zostaną zaktualizowane. W temacie widnieje "Urgent: Update Your Payment Method to Avoid Service Interruption", a całość podpisano "The OpenAI Team". Na tyle mało, że naprawdę moglibyście być winni tę kwotę. Na tyle irytująco, że załatwicie to od razu zamiast się nad tym zastanawiać. Josh Varden z Phishing Defense Center w Cofense poszedł za zielonym przyciskiem, żeby sprawdzić, dokąd naprawdę prowadzi, a adres nadawcy zdradza wszystko od razu: support@9527db6e1a.nxcli.io, co dla nikogo nie wygląda na OpenAI.

Sam odnośnik to najciekawsza część. Nie wskazuje fałszywej strony. Zaczyna się od notifications.googleapis.com, prawdziwego adresu Google, który dopiero potem przekierowuje przeglądarkę. Najechanie na odnośnik, żeby go obejrzeć, rada powtarzana od dwudziestu lat, pokazuje domenę Google i nie uczy niczego. Ten sam problem przekierowań pojawił się w wynikach wyszukiwania samego Google w zeszłym tygodniu. Strona na końcu łańcucha kopiuje ekran logowania ChatGPT, zabiera hasło, a potem odsyła was na stronę błędu, żeby wyglądało, jakby nic się nie stało.

Oceniajcie pasek adresu po wylądowaniu, a nie odnośnik przed kliknięciem: prawdziwe logowanie OpenAI mieszka pod auth.openai.com. Jeszcze lepiej: zamknijcie wiadomość i otwórzcie usługę sami. Jeśli hasło już poszło tam, gdzie nie powinno, kontrola prywatności i kont w Tendvane to rozsądny następny przystanek.