“Mancato pagamento dell’abbonamento di ChatGPT”: la nuova truffa via mail che punta agli utenti di OpenAI

ChatGPT, il modello linguistico di intelligenza artificiale sviluppato da OpenAI, è al centro di un truffa che si sta diffondendo in varie parti del mondo, Italia compresa. In parole semplici, gli utenti, anche quelli non abbonati al servizio, stanno ricevendo mail fraudolente al proprio indirizzo di posta elettronica, nelle quali si avvisa di un mancato pagamento dell'abbonamento e di provvedere cliccando su un apposito link. Come avviene sempre nei casi di phishing, il testo è impostato per aumentare il senso di urgenza per l'utente, pena la sospensione del servizio. Le email sembrano autentiche, genuine, con tono, impostazione e impaginazione dei messaggi che arrivano realmente da OpenAI, tuttavia a un controllo un po' più attento emergono diverse anomalie che fanno emergere la truffa. Ne discuteremo a breve.

L'obiettivo dei truffatori non è ottenere – eventualmente – la quota mensile “non saldata” di cui si parla nella mail, bensì recuperare credenziali, identità, dati di accesso e bancari al fine di eseguire transazioni fraudolente sul conto dello sventurato che finisce per cliccare sul link. Questi dati possono essere usati immediatamente per fare prelievi o organizzare altre truffe, oppure essere rivenduti nel famigerato darkweb a organizzazioni criminali. Ciò che è che è certo è che i rischi per chi cade nella trappola sono elevatissimi. Con il phishing, sempre più sofisticato e verosimile, i truffatori sparano nel mucchio sperando che qualcuno abbocchi all'amo, facendo leva proprio sulla necessità di regolarizzare la propria posizione al più presto, col rischio di perdere il prezioso servizio, che ormai usano in moltissimi anche per lavoro. La perdita di accesso può avere ripercussioni serie e quindi qualcuno potrebbe agire d'impulso seguendo le indicazioni di una mail verosimile, ma assolutamente falsa. Del resto, con oltre 1 miliardo di utenti mensili, di cui ben 15 milioni in Italia, ChatGPT è uno dei modelli linguistici più utilizzati al mondo.

Una di queste mail è arrivata anche nella casella di posta di un utente di una delle principali aziende che si occupa di software per la sicurezza informatica (come antivirus e simili). Come spiegato nel suo post, analizzando il messaggio emerge che il l'indirizzo email del mittente – nel suo caso – è legato a un dominio tedesco compromesso e non a uno ufficiale di OpenAI. L'azienda in genere scrive dai seguenti indirizzi ufficiali: openai.com; chat.openai.com e occasionalmente notices.openai.com, come riportato da systemscloud.co.uk. Facendo passare il mouse sul tasto aggiorna, inoltre, veniva visualizzato un URL confusionario che non ha nulla a che vedere con il sistema di fatturazione ufficiale di OpenAI. I link inseriti nella mail – come "annulla iscrizione" e "informativa sulla privacy" – probabilmente portavano a siti clone di quelli ufficiali, progettati per il furto dei dati dell'ignaro utente.

Anche systemscloud.co.uk mostra una di queste mail truffaldine a tema ChatGPT, in cui si avvisava del mancato pagamento dell'abbonamento e della necessità di aggiornare i dati di fatturazione. A un controllo più attento, il mittente della mail non era legato a un dominio di OpenAI ma a quello di una società di telecomunicazioni delle isole Mauritius. Sebbene si tratti di un dominio legittimo, perché mai OpenAI dovrebbe inviare una mail da un simile percorso? Nel testo della mail, sebbene esposto con tono cordiale ma sempre impostato per instillare il senso di urgenza nell'utente, mancano informazioni basilari come il nome del destinatario e il suo piano tariffario, informazioni specifiche che – teoricamente – solo OpenAI avrebbe potuto conoscere. Tutto è progettato per far cliccare senza riflettere troppo sul tasto “aggiorna il metodo di pagamento”, dove si finisce sul sopracitato sito clone e soprattutto nei guai, qualora si dovessero inserire i dati reali.

I consigli, quando si ricevono email di questo tipo, sono sempre gli stessi: verificare che il mittente sia genuino; non cliccare su alcun link; accedere sul proprio account ufficiale di ChatGPT (o altro servizio) per verificare il reale stato dei pagamenti; fare controlli incrociati su altre piattaforme (come Reddit); e segnalare alle apposite autorità, qualora si dovesse confermare che siamo innanzi a una mail truffaldina. Prendersi del tempo, non agire di impulso e verificare (senza cliccare da nessuna parte nella mail) è il miglior modo per proteggersi dal phishing e altre tipologie di truffe online.