Хакери се възползват от популярността на ChatGPT с фалшиви известия за плащане, насочени към кредитни карти и еднократни пароли

Хакери се представят за OpenAI във фалшиви имейли за фактуриране на ChatGPT Plus, които отвеждат потребителите до страници за плащане, предназначени да крадат данни от кредитни карти и еднократни пароли (OTP).

Кампанията комбинира убедителни предупреждения за абонамент с реален оператор в реално време, който може да реши кога да поиска код за потвърждение, което потенциално помага за одобряване на неоторизирано плащане.

Имейлите твърдят, че плащането за абонамент е неуспешно, и призовават получателите да актуализират своята информация за фактуриране. Този натиск наподобява други кампании за имитация на AI брандове, които злоупотребяват с доверието в популярни услуги, за да събират финансова информация.

В тази операция страницата за плащане кара жертвите да чакат, докато атакуващият контролира какво ще се появи след това. Изследователи от Fortra идентифицираха фишинг операцията и документираха нейната инфраструктура в проучване, публикувано на 26 октомври 2026 г.

Важно е да се отбележи, че те са наблюдавали фишинг, а не разпространение на зловреден софтуер: по време на разследването не е установено изтегляне на изпълними файлове или компрометиране на компютрите на жертвите.

Хакери се възползват от популярността на ChatGPT с фалшиви известия за плащане

Атаката започва с имейл, маскиран като известие за плащане от OpenAI. Връзките преминават през услуги за проследяване или пренасочващи обвивки, преди да достигнат до фалшива страница за плащане, хоствана на краткотрайни WordPress инстанции.

Изследователите установиха, че една и съща целева страница се използва повторно за множество получатели в рамките на една вълна от изпращания, което предполага споделена инфраструктура зад отделно проследяваните съобщения.

Страницата за плащане имитира платежен формуляр, като разпознава марките на картите и форматира номерата на картите, датите на валидност и кодовете за сигурност, докато потребителите пишат.

Подобни схеми за фишинг на плащания чрез WordPress са използвали убедителни интерфейси за плащане за кражба на данни от карти и кодове за потвърждение, въпреки че Fortra не установи връзка с тези операции.

След изпращане страницата предава номера на картата, датата на валидност, кода за сигурност и името на картодържателя към сървъра. След това тя показва анимация за зареждане за неопределено време.

Прихванатият код изрично инструктира страницата да поддържа анимацията за зареждане активна, вместо да обработи отговор или да премине напред автоматично.

Междувременно браузърът многократно се свързва с контролен панел на оператора, като поддържа сесията на жертвата и проверява за инструкции.

Човешки оператор може да пренасочи жертвата към страница за прихващане на еднократна парола, да покаже грешка или да прекрати сесията. Един тест с продължителност четири минути и три секунди е генерирал 969 заявки, предимно трафик от запитвания към контролния панел.

Това създава възможност за прихващане на банков код за потвърждение, докато жертвата вярва, че тече актуализация на абонамента.

Сравнимо прихващане на еднократни пароли в реално време се среща и в други комплекти за платежни измами, но наблюдаваната операция, злоупотребяваща с името на ChatGPT, използва многократни запитвания за получаване на инструкции. Прихващането на код може да помогне за оторизиране на измама, но това не означава, че всяко изпращане води до успешна трансакция.

Fortra откри идентичен клиентски код и споделен идентификатор на приложението в независимо разположени сайтове, изследвани с разлика от около една седмица.

Сайтовете са изчезвали и са били заменяни по време на разследването. Остава неизяснено дали атакуващите сами са закупили хостинг акаунти, или са компрометирали съществуващи клиентски сайтове.

Инфраструктурата също така усложнява разследването. Неочакваните заявки са получавали общи грешки, докато път за генериране на токени изглежда е влияел на достъпа.

Изследователите съобщават, че анализът, базиран на прихващане на трафика, е нарушавал потока на сесията, докато пасивната инспекция през браузъра е успяла да улови изпращането на плащането и поведението при запитванията, без да го прекъсва.

За специалистите по защита повтарящите се структури на страниците и трафикът към контролния панел предлагат по-добри възможности за откриване, отколкото изолираните адреси. По-мащабните финансови фишинг операции в реално време показват защо откраднатите кодове за потвърждение изискват спешно внимание.

Потребителите трябва да проверяват фактурирането през своя акаунт, а не чрез връзка в имейл, докато организациите трябва да разследват съвпадащи съобщения и да докладват за злонамерен хостинг. Широките блокирания на инфраструктура изискват внимание, тъй като легитимни клиенти споделят същата платформа.

Индикатори за компрометиране (IoC):-

Забележка: IP адресите и домейните са умишлено деактивирани (напр. [.]), за да се предотврати случайно зареждане или превръщане в активни хипервръзки. Възстановявайте ги само в контролирани платформи за анализ на заплахи като MISP, VirusTotal или вашия SIEM.