amenazas
La regla de oro – “si algo es popular, los delincuentes lo explotarán”- ataca de nuevo. Esta vez se trata del famoso chatbot ChatGPT, desarrollado por OpenAI.
Unas palabras sobre la popularidad de ChatGPT
Cuando OpenAI permitió el acceso a su chatbot de IA (es decir, un chatbot basado en redes neuronales formadas a partir de un gran conjunto de textos), Internet cambió, completamente, de la noche a la mañana.
Usuarios de todo el planeta se lanzaron a ver de qué era capaz el chatbot y no quedaron decepcionados (al contrario, a menudo positivamente asombrados). ChatGPT puede mantener un diálogo como si hubiera una persona real al otro lado. Y, lo que es más innovador, es genial escribiendo textos cortos sobre un tema determinado en un estilo concreto, incluida la poesía. También puede adaptarse a un formato específico y crear textos no peores que los de un novato redactor publicitario, aquel cuya cabeza está cargada de exabytes de conocimientos sobre todos los temas del mundo. Además, le puedes pedir consejo sobre temas desconocidos y, en la mayoría de los casos, serán buenos. Es cierto que ChatGPT es igual de bueno mintiendo y propagando errores, pero estos temas más delicados.
El uso de chatGPT se está generalizando, y no sólo por diversión (para charlar o, ¿por qué no? pedir El Hobbit en forma de soneto de Shakespeare), sino también para los negocios. Con la ayuda de los chatbots, se pueden llenar rápidamente de contenido los sitios web, crear descripciones de productos, generar misiones para juegos y hacer muchas otras cosas para ayudar a personas de diferentes profesiones en su trabajo diario.
Como era de esperar, los servidores de ChatGPT se sobrecargaron rápidamente, por lo que Open AI tuvo que aumentar su capacidad. La empresa pronto llamó la atención (y la inversión) de Microsoft, y ahora ChatGPT se ha integrado en Bing, aunque con restricciones. Como réplica a esto, Google se apresuró a lanzar su propia red neuronal, Bard, que tiene funciones similares pero que la empresa no considera totalmente lista para su lanzamiento al mercado.
Ya hemos hablado sobre cómo ChatGPT cambiará el mundo de la ciberseguridad, pero al menos por ahora, el uso de chatbots en ataques de phishing o desarrollo de malware se queda en el ámbito teórico. Sin embargo, en la práctica, ChatGPT ya se está utilizando como cebo para propagar malware.
Lo que atrae a los estafadores a ChatGPT
¿Por qué los estafadores utilizan ChatGPT como cebo? La repuesta es simple: está de moda.
Aunque ChatGPT es gratuito, no siempre es fácil acceder a él. En primer lugar, para registrar una cuenta en el sitio web de OpenAI, hay que introducir la dirección de correo electrónico y el número de teléfono. Pero no se aceptan todos los códigos de país: El registro en ChatGPT no está disponible actualmente en Rusia, China, Egipto, Irán y algunos países más. Así que no todo el mundo puede conseguir una cuenta de forma sencilla.
En segundo lugar, incluso si se consigue crear una cuenta en el sitio web de OpenAI, tampoco es seguro que se pueda utilizar: el servicio está casi siempre saturado de usuarios que quieren probar la IA, pedirle que escriba un texto publicitario o encargarle otras tareas. La afluencia de usuarios fue tan grande que OpenAI introdujo un plan de suscripción con acceso prioritario y generación de texto más rápida por 20 dólares al mes.
Por tanto, alta demanda y baja disponibilidad: suficiente para los estafadores.
La versión de escritorio que no existe
Los expertos de Kaspersky han descubierto una campaña maliciosa que se aprovecha de la popularidad de ChatGPT. Los estafadores crean grupos en redes sociales que, de forma convincente, imitan ya no cuentas oficiales de OpenAI, pero sí comunidades de entusiastas. En estos grupos se publican mensajes muy persuasivos como que ChatGPT ha alcanzado el millón de usuarios más rápido que cualquier otro servicio. Al final del post hay un enlace para descargar supuestamente una versión de escritorio de ChatGPT.
Estadísticas impresionantes y un enlace “práctico”: lo que nos gusta
En estos grupos también se publican credenciales falsas para las cuentas precreadas que, supuestamente, dan acceso a ChatGPT. Para motivar aún más a los usuarios potenciales, los atacantes afirman que cada cuenta ya tiene 50 dólares en saldo que pueden gastarse en utilizar el chatbot. En definitiva, todo parece una auténtica oportunidad para utilizar ChatGPT sin la molestia que supone crear una cuenta, e incluso para obtener funciones premium de forma gratuita: basta con descargar el cliente de escritorio y disfrutar.
Enróllate, enróllate, ¡consigue tu chatbot de escritorio mientras puedas!
Probablemente puedas adivinar lo que ocurre a continuación, pero te lo diremos de todos modos. Al hacer clic en el enlace con una URL bastante creíble, se abre un sitio bien creado que te invita a descargar ChatGPT para Windows. No es el sitio oficial, por supuesto, pero se parece mucho al original. Si haces clic en el botón de descarga, efectivamente se descarga un archivo con un fichero ejecutable.
El sitio falso es un calco del original, sólo que en lugar del botón “Probar ChatGPT” hay un botón “Descargar para Windows”.
Si se descomprime y se ejecuta el archivo ejecutable, dependiendo de la versión de Windows, el usuario verá un mensaje diciendo que la instalación falló por alguna razón o, directamente, ningún mensaje, momento en el que el parece que el proceso ha terminado. “Una pena no haber podido utilizar una cuenta precreada con funciones premium”, pensará ese usuario y se olvidará del incidente recurriendo, probablemente, a crear una cuenta normal en el sitio real de ChatGPT.
Si ve este mensaje (o ningún mensaje), el troyano se ha instalado correctamente.
De hecho, la instalación no ha fallado: un troyano nunca visto se instala en el ordenador del usuario, desde donde obtiene credenciales de cuentas almacenadas en Chrome, Edge, Firefox, Brave, CôcCôc (popular en Vietnam) y otros navegadores. Lo hemos bautizado como Trojan-PSW.Win64.Fobo.
Los creadores del troyano están interesados en las cookies y cuentas de Facebook, TikTok y Google, y, concretamente, en las cuentas de empresa. El virus roba nombres de usuario y contraseñas, luego, al encontrar una cuenta empresarial en uno de estos servicios, intenta obtener información adicional, como cuánto dinero se gastó en publicidad desde la cuenta y cuál es su saldo actual.
Según nuestros datos, los atacantes apuntan al mercado internacional: el “cliente de escritorio ChatGPT” ya ha sido detectado en Asia, África, Europa y América.
Cómo usar ChatGPT de una forma segura
Para empezar, ten en cuenta que no existe un cliente oficial de ChatGPT para ordenadores de sobremesa, móviles u otros dispositivos, solo la versión web. Además, el propio chatbot hace esta misma observación cuando se le pide que escriba una entrada de blog sobre esta estafa.
Lo que piensa el propio ChatGPT sobre este fraude.
Por supuesto, tampoco es necesario utilizar cuentas “precreadas”. Actualmente, la única función de pago de OpenAI es una suscripción mensual que proporciona un acceso prioritario; por lo demás, el acceso a ChatGPT es completamente gratuito. Así que puedes registrar una cuenta real de ChatGPT gratis, sin condiciones. Incluso si tu número de teléfono no sirve debido a las restricciones de algunos países, puedes pedirle a un amigo en el extranjero que te compre una tarjeta SIM desechable o utilizar un número de teléfono temporal: solo lo necesitas una vez, para activar la cuenta. Hay muchos servicios que ofrecen números de teléfono temporales para recibir códigos de verificación por SMS: basta con buscar en Google “one-time phone number”.
Lo principal es asegurarse de estar en el sitio oficial (https://chat.openai.com/). Para ello, no sigas un enlace e introduce tú mismo la URL en la barra de direcciones.
Y ten una buena solución de seguridad instalada en tu ordenador. ChatGPT no hace más que ganar popularidad, y los atacantes están obligados a idear más campañas centradas en este nuevo y revolucionario chatbot. Por supuesto, la vigilancia es vital pero, a veces, hasta los más atentos y caen en el phishing o en sitios muy bien falsificados, así que es mejor ir a lo seguro. Todas las soluciones de seguridad de Kaspersky detectan el Trojan-PSW.Win64.Fobo y lo mantendrán fuera de tu ordenador.
En cuanto a las versiones de escritorio de ChatGPT, tarde o temprano aparecerán, si no oficiales, de terceros. Pero piensa siempre tres veces antes de usar cualquier tipo de cliente de terceros. Hablar en esta parte de un antivirus es una obviedad total.
Consejos