È nata la truffa del falso abbonamento a ChatGPT: come si fa a riconoscerla?

123rf

• Una nuova ondata di phishing sfrutta il nome ChatGPT inviando false mail di pagamento per carpire dati di utenti ignari.
• La truffa usa oggetti allarmanti e pulsanti "Verifica stato pagamento" che rimandano a pagine clone per rubare carte e credenziali.
• Per difendersi bisogna non cliccare link sospetti e verificare direttamente dall'account ufficiale su OpenAI/ChatGPT eventuali addebiti.

È un furbissimo tentativo di sfruttare il nome di ChatGPT: il nuovo raggiro che starebbe flagellando alcune zone d’Italia si muove sulla consapevolezza che gli abbonati al chatbot sono sempre di più, dunque è diventato davvero semplice pescare nel mucchio.

Il fenomeno starebbe colpendo le caselle di posta di tutta Italia, e a finire nel mirino sono anche utenti che non hanno mai sottoscritto alcun piano a pagamento. Il meccanismo, come da manuale, è quello classico del phishing, costruito attorno a un senso di urgenza che spinge a cliccare prima di ragionare.

• L'oggetto della mail e il finto problema di pagamento
• Come funziona la truffa?
• Come riconoscere la mail e proteggersi

L’oggetto della mail e il finto problema di pagamento

Potremmo davvero fare una lunga lista di raggiri simili, raffinate (o meno) truffe via mail che giocano sull’urgenza: da PagoPA al pedaggio autostradale, lo schema è sempre molto, molto simile. Stando al Quotidiano del Piave, tutto partirebbe da un oggetto allarmante: Pagamento fallito – Verifica richiesta.

Chi ha diversi abbonamenti all’attivo sa quanto sia verosimile: è un “titolo” perfetto, studiato per attirare l’attenzione del destinatario prima ancora che apra il messaggio. Il testo prosegue con un tono volutamente formale, rivolgendosi al lettore come “gentile cliente” e segnalando che l’ultimo pagamento previsto nell’ambito della fatturazione periodica non sarebbe andato a buon fine.

La conseguenza dichiarata, ovviamente, è che l’abbonamento non risulterebbe più in stato di rinnovo attivo. A rendere il tutto credibile contribuiscono le presunte cause del mancato addebito, elencate con dovizia di dettagli: informazioni di pagamento incomplete o non aggiornate, un rifiuto temporaneo da parte dell’istituto di credito oppure fondi insufficienti al momento del prelievo. Una serie di scenari plausibili che mirano a togliere ogni dubbio a chi legge.

Come funziona la truffa?

A questo punto si procede sempre da manuale. Lo abbiamo visto con la truffa Atac e Atm, con quella del finto rimborso fiscale, con quella degli interventi bancari e persino con quella di Booking: il cuore della truffa è l’invito ad aggiornare i dati di pagamento salvati nell’account, presentato come l’unico modo per continuare a usare i servizi senza limitazioni.

Per facilitare l’operazione, la mail propone un comodo pulsante con la dicitura Verifica stato pagamento, accompagnato dalla rassicurazione che, una volta registrati i dati, l’accesso all’abbonamento tornerebbe automaticamente disponibile. Quel bottone, in realtà, conduce a un sito clone costruito per imitare l’aspetto grafico delle interfacce ufficiali di OpenAI.

L’indirizzo di destinazione, spesso mascherato dietro il testo del pulsante o nascosto tramite servizi di accorciamento dei link, non corrisponde mai ai domini autentici chatgpt.com o openai.com: a un controllo attento si rivelano stringhe anomale, errori di battitura o estensioni sospette.

Sulla pagina fasulla viene richiesto di inserire numero di carta, data di scadenza, codice CVV e talvolta anche le credenziali di accesso all’home banking. Si tratta di una tecnica di data harvesting: i dati digitati non vengono usati per ripristinare alcun abbonamento (che non è mai esistito), ma raccolti in tempo reale dai criminali e rivenduti oppure sfruttati subito per transazioni fraudolente.

In alcune varianti la pagina installa anche script di tracciamento o tenta il download di componenti malevoli, trasformando il semplice furto di dati in un potenziale compromesso del dispositivo.

Come riconoscere la mail e proteggersi

Il primo campanello d’allarme riguarda il mittente. OpenAI, l’azienda che gestisce ChatGPT, non utilizza indirizzi hotmail, outlook, gmail o altri servizi di posta gratuiti per le comunicazioni ufficiali: una mail proveniente da questi domini è quasi sicuramente fraudolenta. Anche la richiesta di aggiornare con urgenza i dati tramite un link è un segnale tipico del phishing, da trattare sempre con sospetto.

Chi ha effettivamente attivato un abbonamento e teme un problema reale può verificare la situazione in modo sicuro: basta accedere direttamente al sito ufficiale di OpenAI ChatGPT e controllare le impostazioni dell’account, dove vengono segnalate eventuali anomalie di fatturazione. La regola d’oro resta non cliccare mai sui link contenuti in queste mail e non inserire dati personali in pagine raggiunte attraverso comunicazioni non richieste.