اكتشفت كاسبرسكي أسلوبًا احتياليًا جديدًا يستغل منصة OpenAI للذكاء الاصطناعي، إذ يستغل المهاجمون ميزات إنشاء مؤسسة ودعوة الفرق في منصة OpenAI لإرسال رسائل بريد إلكتروني عشوائية من عناوين رسمية تابعة لـ OpenAI، ما يخدع المستخدمين المستهدفين ويدفعهم إلى النقر على روابط احتيالية أو الاتصال بأرقام هواتف محمولة وهمية.
موضوعات مقترحة
تنطلق حملة البريد العشوائي بتسجيل المهاجمين حسابًا جديدًا على منصة OpenAI. وخلال عملية التسجيل، تطلب المنصة إدخال اسم المؤسسة، والذي يمكن أن يتكوّن من أي مجموعة من الرموز. ويستغل المحتالون هذا الأمر لإدخال نصوص مضللة وروابط وأرقام هواتف وهمية في حقل اسم المؤسسة.
حالما ينشئ المحتالون «ملف المؤسسة الجديد»، تتيح لهم منصة OpenAI خيار «دعوة أعضاء الفريق»، فيستغلون ذلك لإدخال عناوين البريد الإلكتروني للضحايا. وهكذا تُرسَل الدعوات من عناوين رسمية تابعة لـ OpenAI، فلا يشتبه بها المستخدمون لأنها تبدو شرعية من الناحية التقنية.
بدورها، اكتشفت كاسبرسكي أنواعًا مختلفة من الرسائل التي تتضمن تهديدات سيبرانية مرسلة عبر البريد الإلكتروني بهذه الطريقة. وتروّج هذه الرسائل الاحتيالية لعروض وهمية، من ضمنها خدمات موجّهة للبالغين. وتشمل أساليب الاحتيال الأخرى التصيّد الاحتيالي الصوتي، وهي إشعارات وهمية تدّعي تجديد الاشتراك بإحدى الخدمات مقابل مبلغ كبير، ويطلب فيها المحتالون من الضحايا الاتصال برقم هاتف «لإلغاء» الرسوم، أو اتخاذ إجراءات أخرى تؤدي إلى اختراقات أكبر. وربما تنتشر تهديدات أخرى عبر البريد الإلكتروني من خلال منصة OpenAI.
ومن الملفت أن النص الذي وضعه المحتالون ليقرأه المستخدمون (والمظلّل بخط عريض في نموذج البريد الإلكتروني) لا يتناسق مع البنية الأصلية للبريد الإلكتروني المصمّم لدعوة الأفراد إلى المشاركة في المشروع، إلا أنهم يعوّلون على غفلة الضحايا وعدم التفاتهم إلى التفاصيل الدقيقة.
نموذج لرسالة بريد إلكتروني احتيالية
تعلّق على هذه المسألة آنا لازاريتشيفا، كبيرة محللي مكافحة البريد العشوائي في كاسبرسكي، قائلة: «تسلّط عمليات الاحتيال هذه الضوء على ثغرة أمنية خطيرة تتعلق بكيفية استغلال ميزات وأدوات المنصات في هجمات الهندسة الاجتماعية عبر البريد الإلكتروني، إذ يستغل المحتالون حقولًا معينة، مثل أسماء المؤسسات في المنصات، لإدخال عناصر احتيالية، ويحاولون تجاوز أدوات تصفية البريد الإلكتروني التقليدية واستغلال ثقة المستخدمين بهذه المنصات والخدمات. لذلك، ندعو جميع المستخدمين إلى التحقق من الدعوات المستلمة بعناية، والامتناع عن النقر على الروابط المضمّنة في رسائل البريد الإلكتروني دون تدقيق. كما نوصي العلامات التجارية بمراقبة خدماتها أو منصاتها الإلكترونية والانتباه إلى قابليتها للاستغلال من قبل المجرمين السيبرانيين».
توصي كاسبرسكي باتباع الخطوات التالية:
• التعامل بحذر مع الدعوات التي تصلك ولم تقم بطلبها من أي منصة، حتى وإن كانت مرسلة من جهات رسمية وموثوقة.
• فحص الروابط بعناية ودقة قبل النقر عليها.
• الامتناع عن الاتصال بأي أرقام هواتف مذكورة في رسائل البريد الإلكتروني المشبوهة. وإذا اضطررت إلى الاتصال بخدمة دعم معيّنة، فيُستحسن استخدام رقم الهاتف المذكور في الموقع الإلكتروني الرسمي لتلك الخدمة.
• إبلاغ فريق المنصة عن رسائل البريد الإلكتروني المشبوهة، وتفعيل خيار المصادقة متعددة العوامل لجميع حساباتك.