I falsi indirizzi di ChatGPT, Claude o Gemini non cercano soltanto di attirare visite. Alcuni tentano di far eseguire un comando, installare un’applicazione o aggiungere un’estensione. Un’analisi di Island descrive questi passaggi dalla navigazione ad azioni sul computer.
Indirizzi simili, percorsi diversi
Cercando un assistente di intelligenza artificiale, una lettera invertita o dimenticata può portare a un nome di dominio che imita quello del servizio desiderato. Questa pratica, chiamata typosquatting, consiste nel registrare indirizzi simili a marchi o nomi noti. Nella sua analisi, la società di cybersicurezza Island afferma di aver individuato 186 domini simili associati a 27 marchi di IA, tra cui ChatGPT, Claude e Gemini.
Questi dati descrivono un insieme di domini osservati, non 186 vittime né 186 siti che portano tutti alla stessa trappola. La destinazione può variare in base al Paese, al sistema operativo e al browser. Alcuni visitatori potrebbero vedere soltanto una pagina parcheggiata, il cui proprietario può rivendere il traffico. Altri potrebbero essere reindirizzati a una falsa verifica di sicurezza o a una proposta di estensione.
ClickFix trasforma una falsa verifica in un’azione volontaria
Nello scenario ClickFix riferito da Clubic, una pagina imita una verifica che accerta che l’utente sia una persona o una schermata di sicurezza. Cerca di far credere che sia necessario compiere un’azione per continuare. Su Windows, la persona viene indotta ad aprire la finestra «Esegui» e a incollarvi del testo; su Mac, il pretesto può assumere la forma di un falso aggiornamento che invita a usare il Terminale.
Il nome ClickFix sottolinea il meccanismo del metodo: il visitatore viene indotto ad avviare lui stesso un comando presentato come una riparazione o una verifica. È molto diverso da un semplice refuso. Una volta eseguito, il comando può avviare il download o l’esecuzione di un programma dannoso. Anche l’avviso della Cyber Security Agency of Singapore descrive questa logica generale: l’aggressore fa leva sulla copia e sull’esecuzione di contenuti presentati come una soluzione rapida, invece che su un allegato aperto per errore.
Una richiesta inattesa di aprire una finestra di sistema e incollarvi del testo è quindi un segnale che impone di fermarsi. Una vera verifica di Cloudflare, per esempio, non chiede di avviare un comando in «Esegui» o nel Terminale. Non proseguite con una procedura di questo tipo solo perché la pagina riprende i colori di un servizio noto o mostra un logo familiare.
Installare un’applicazione o un’estensione comporta un altro rischio
Non tutti i falsi indirizzi portano a ClickFix. Island riferisce anche di pagine che propongono un’applicazione presentata come uno strumento di analisi del Wi-Fi. Secondo la sua analisi, un pacchetto firmato a nome del Microsoft Store corrisponde all’applicazione pubblicata nello Store, ma contiene un comportamento che dirotta il browser. La firma fornisce informazioni sulla provenienza del pacchetto; l’analisi del suo comportamento è un controllo distinto.
L’installazione può in particolare modificare il motore di ricerca predefinito o aggiungere estensioni al browser. Un’altra variante descritta da Clubic propone un’estensione che fa transitare le ricerche attraverso un server di terze parti. In un contesto professionale, la barra degli indirizzi può contenere nomi di server, clienti o progetti: ciò che viene digitato non è quindi necessariamente una ricerca pubblica innocua.
Buone abitudini prima e dopo un clic
Per accedere a un assistente che si usa regolarmente, la cosa più semplice è passare da un preferito salvato dopo aver verificato l’indirizzo, oppure dall’applicazione ufficiale scaricata dal sito del suo editore. Se un indirizzo vi sembra sospetto, non proseguite sulla pagina e tornate a un punto di accesso noto. Diffidate soprattutto delle istruzioni che chiedono di copiare del testo in uno strumento di sistema o di installare un’estensione per «verificare» il dispositivo.
Se il browser cambia motore di ricerca senza motivo, controllate le impostazioni e l’elenco delle estensioni installate. Su un dispositivo gestito da un’organizzazione, segnalate il cambiamento al servizio informatico prima di modificare la configurazione. Mantenere aggiornati i sistemi e le protezioni, e limitare i diritti concessi ai software, rientra inoltre tra le misure raccomandate dalla CSA. Queste misure riducono alcuni rischi, senza garantire che nessun attacco possa riuscire.
Se è stato eseguito un comando o è stato installato un software sconosciuto, evitate di seguire le istruzioni della pagina. Su un dispositivo professionale, contattate rapidamente il servizio informatico. Per un dispositivo personale, usate gli strumenti di sicurezza già installati o chiedete consiglio a un professionista competente.
Riferimenti
- Clubic, «Un refuso cercando ChatGPT o Gemini può portarvi su un sito trappola»
- Island, «TypoPrompting: dai refusi sull’IA ai malware»
- Cyber Security Agency of Singapore, «Campagna ClickFix in corso»
Digitazione su una tastiera di computer. Foto illustrativa.
