Un hacker black hat ha rilasciato una versione dannosa di ChatGPT di OpenAI, nota come WormGPT, e poi l'ha utilizzata per lanciare un efficace attacco di phishing via email contro migliaia di vittime.
Secondo un rapporto della società di sicurezza informatica SlashNext, WormGPT si basa sul modello linguistico di grandi dimensioni GPTJ 2021 sviluppato da EleutherAI ed è progettato per attività dannose. Le funzionalità includono supporto illimitato di caratteri, conservazione della memoria della chat e formattazione del codice e WormGPT è stato addestrato su set di dati relativi a malware.
I criminali informatici ora utilizzano WormGPT per lanciare un tipo di attacco di phishing noto come attacco BEC (Business Email Compromise).
"La differenza con WormGPT è che ChatGPT ha dei guardrail per prevenire casi d'uso illegali o nefasti", ha detto ai giornalisti su Telegram il direttore operativo della società di sicurezza blockchain Halborn David Schwed. "WormGPT non ha quei guardrail, quindi puoi chiedergli di svilupparsi malware per te."
Gli attacchi di phishing sono una delle forme più antiche ma più comuni di attacchi informatici e vengono spesso eseguiti sotto pseudonimo tramite e-mail, SMS o post sui social media. Negli attacchi di compromissione della posta elettronica aziendale, gli aggressori si spacciano per dirigenti o dipendenti dell'azienda per indurre gli obiettivi a inviare denaro o informazioni sensibili.
Grazie ai rapidi progressi nell’intelligenza artificiale generativa, chatbot come ChatGPT o WormGPT possono scrivere email convincenti simili a quelle umane, rendendo i messaggi fraudolenti più difficili da rilevare.
SlashNext ha affermato che tecnologie come WormGPT abbassano la soglia per il lancio di attacchi BEC efficaci, consentendo agli aggressori meno esperti di creare un pool più ampio di potenziali criminali informatici.
Per prevenire attacchi di compromissione della posta elettronica aziendale, SlashNext consiglia alle organizzazioni di utilizzare una verifica avanzata della posta elettronica, inclusi avvisi automatici per le email che si spacciano per addetti ai lavori e contrassegnare le email con parole chiave come "urgente" o "bonifico bancario" che sono spesso associate a BEC.
Poiché la minaccia dei criminali informatici continua a crescere, le aziende sono costantemente alla ricerca di modi per proteggere se stesse e i propri clienti.
Nel marzo di quest’anno, Microsoft, uno dei maggiori investitori in OpenAI, il creatore di ChatGPT, ha lanciato uno strumento di intelligenza artificiale generativa incentrato sulla sicurezza chiamato Security Copilot. Security Copilot sfrutta l'intelligenza artificiale per migliorare le difese della sicurezza informatica e il rilevamento delle minacce.
"In un mondo in cui si verificano 1.287 attacchi alle password ogni secondo, strumenti e infrastrutture frammentati non sono sufficienti per fermare gli aggressori", ha affermato Microsoft in una nota "Mentre gli attacchi sono aumentati del 67% negli ultimi cinque anni, il settore della sicurezza non può assumere abbastanza cyber professionisti del rischio per tenere il passo."