Os endereços falsos de ChatGPT, Claude ou Gemini não procuram apenas atrair visitas. Alguns tentam levar os utilizadores a executar um comando, instalar uma aplicação ou adicionar uma extensão. Uma análise da Island descreve estas passagens da navegação para ações no computador.
Endereços semelhantes, percursos diferentes
Ao procurar um assistente de inteligência artificial, uma letra trocada ou em falta pode levar a um nome de domínio que imita o do serviço pretendido. Esta prática, chamada typosquatting, consiste em registar endereços semelhantes a marcas ou nomes conhecidos. Na sua análise, a empresa de cibersegurança Island afirma ter identificado 186 domínios semelhantes associados a 27 marcas de IA, incluindo ChatGPT, Claude e Gemini.
Estes números descrevem um conjunto de domínios observados, não 186 vítimas nem 186 sites que conduzam todos à mesma armadilha. O destino pode variar consoante o país, o sistema operativo e o navegador. Alguns visitantes podem ver apenas uma página de estacionamento, cujo proprietário pode revender o tráfego. Outros podem ser redirecionados para uma falsa verificação de segurança ou uma proposta de instalação de uma extensão.
O ClickFix transforma uma falsa verificação numa ação voluntária
No cenário ClickFix relatado pelo Clubic, uma página imita uma verificação humana ou um ecrã de segurança. Procura fazer crer que é necessária uma ação para continuar. No Windows, a pessoa é incentivada a abrir a janela «Executar» e a colar aí um texto; no Mac, o pretexto pode assumir a forma de uma falsa atualização que convida a utilizar o Terminal.
O nome ClickFix põe em evidência o mecanismo do método: o visitante é levado a executar ele próprio um comando apresentado como uma reparação ou verificação. É muito diferente de um simples erro de digitação. Uma vez executado, o comando pode desencadear a transferência ou a execução de um programa malicioso. O alerta da Cyber Security Agency of Singapore descreve também esta lógica geral: o atacante aposta na cópia e execução de conteúdo apresentado como uma solução rápida, em vez de numa mensagem com um anexo aberto inadvertidamente.
Um pedido inesperado para abrir uma janela do sistema e colar nela texto é, por isso, um sinal para parar. Uma verdadeira verificação da Cloudflare, por exemplo, não pede que se execute um comando em «Executar» ou no Terminal. Não prossiga com um procedimento deste tipo só porque a página usa as cores de um serviço conhecido ou apresenta um logótipo familiar.
Instalar uma aplicação ou extensão cria outro risco
Nem todos os endereços falsos conduzem ao ClickFix. A Island relata também páginas que propõem uma aplicação apresentada como ferramenta de análise da rede Wi-Fi. Segundo a sua análise, um pacote assinado em nome da Microsoft Store corresponde à aplicação aí publicada, mas contém um comportamento de sequestro do navegador. A assinatura informa sobre a proveniência do pacote; a análise do seu comportamento constitui uma verificação diferente.
A instalação pode, nomeadamente, alterar o motor de pesquisa predefinido ou adicionar extensões ao navegador. Outra variante descrita pelo Clubic propõe uma extensão que encaminha as pesquisas através de um servidor de terceiros. Num contexto profissional, a barra de endereço pode conter nomes de servidores, clientes ou projetos: o que é introduzido não é necessariamente uma pesquisa pública inofensiva.
Boas práticas antes e depois de clicar
Para aceder a um assistente utilizado regularmente, a forma mais simples é usar um marcador guardado depois de verificar o endereço ou a aplicação oficial, descarregada do site do respetivo editor. Se tiver dúvidas sobre um endereço, não prossiga e regresse a um ponto de acesso conhecido. Desconfie especialmente das instruções que pedem para copiar texto para uma ferramenta do sistema ou instalar uma extensão para «verificar» o seu dispositivo.
Se o navegador mudar de motor de pesquisa sem motivo, examine as definições e a lista de extensões instaladas. Num dispositivo gerido por uma organização, comunique a alteração ao departamento informático antes de modificar a configuração. Manter os sistemas e as proteções atualizados e limitar as permissões concedidas ao software também fazem parte das medidas recomendadas pela CSA. Estas reduzem alguns riscos, sem garantir que nenhum ataque possa ser bem-sucedido.
Se tiver sido executado um comando ou instalado software desconhecido, evite seguir as instruções da página. Num dispositivo profissional, contacte rapidamente o departamento informático. Num dispositivo pessoal, utilize as ferramentas de segurança já instaladas ou peça aconselhamento a um profissional competente.
Referências
- Clubic, «Une faute de frappe en cherchant ChatGPT ou Gemini peut vous mener sur un site piégé»
- Island, «TypoPrompting: From AI Typos to Malware»
- Cyber Security Agency of Singapore, «Ongoing ClickFix Campaign»
Digitação num teclado de computador. Fotografia ilustrativa.
