ChatGPhish: pagine web che ingannano l’assistente AI
✓ Scheda corretta il 29 settembre 2026 dopo un nuovo confronto con la fonte. Come teniamo aggiornate le schede
Cosa sta succedendo
I ricercatori di Permiso Security hanno descritto una tecnica chiamata ChatGPhish. Oggi molti chiedono a un assistente di intelligenza artificiale (per esempio ChatGPT) di riassumere una pagina internet. Chi prepara una pagina malevola può nasconderci dentro istruzioni rivolte all’assistente: il modello le legge insieme al testo normale e le esegue. È la cosiddetta prompt injection indiretta, cioè un comando infilato di nascosto nei contenuti da analizzare. Così la risposta che leggi può contenere finti avvisi di sicurezza, link verso siti controllati dai malintenzionati o codici QR, e le persone tendono a fidarsi dell’assistente più che di un sito. Si tratta di uno studio: non significa che stia già succedendo spesso.
Esempio concreto
Immagina di trovare navigando un articolo che ti interessa ma che ti sembra troppo lungo. Copi l’indirizzo e lo incolli in un assistente di intelligenza artificiale chiedendo: ‘me lo riassumi?’. La pagina, però, è stata preparata da malintenzionati e contiene istruzioni nascoste. Il riassunto che ricevi sembra normale, ma alla fine compare un avviso che somiglia a un messaggio di sicurezza del sistema, con un link cliccabile o un codice QR da inquadrare per ‘verificare il tuo account’. Tu ti fidi, perché quelle righe te le ha scritte l’assistente e non un sito sconosciuto. In realtà il link e il QR code portano a pagine controllate da chi ha preparato la trappola, che possono chiederti credenziali o dati personali. E se inquadri il QR code con lo smartphone, salti anche i filtri di sicurezza eventualmente presenti sul computer.
Cosa fare se hai un iPhone (Apple)
1. Prima di inserire qualsiasi dato su un sito, controlla l’indirizzo nella barra in alto del browser: deve iniziare con ‘https://’ e contenere il nome ufficiale del servizio senza errori o parole strane. 2. Su Safari vai in Impostazioni > Safari > Avvisi frodi e assicurati che l’opzione ‘Avvisi siti web fraudolenti’ sia attivata. 3. Tratta le risposte di un assistente AI come un aiuto alla lettura, non come una fonte sicura: se nel riassunto compare un link, prima di aprirlo tieni premuto sopra per vedere l’indirizzo completo, oppure digita tu stesso nel browser l’indirizzo del servizio ufficiale. 4. Se la risposta dell’assistente ti mostra un avviso di sicurezza, una richiesta urgente, un link o un codice QR da usare subito, fermati: non inquadrare il QR con la fotocamera e contatta il servizio ufficiale tramite il numero sul retro della tua carta o sul sito ufficiale cercato da te.
Cosa fare se hai un Android
1. Prima di inserire qualsiasi dato, controlla sempre l’indirizzo del sito nella barra del browser: deve iniziare con ‘https://’ e contenere il nome corretto del servizio senza errori di ortografia o parole aggiuntive sospette. 2. Su Android vai in Impostazioni > Sicurezza e privacy > Google Play Protect e verifica che la protezione sia attiva. 3. In Chrome, vai su Impostazioni > Privacy e sicurezza > Navigazione sicura e seleziona ‘Protezione avanzata’ per ricevere avvisi sui siti pericolosi. 4. Non aprire di corsa i link che compaiono nella risposta di un assistente AI dopo che gli hai chiesto di riassumere una pagina, e non inquadrare i codici QR che ti mostra: apri il sito che ti serve digitando tu stesso l’indirizzo nel browser. La stessa regola vale per i link ricevuti via SMS o WhatsApp.
Cosa NON fare
- Non considerare automaticamente affidabile ciò che leggi nella risposta di un assistente AI: quel testo può contenere istruzioni nascoste da chi ha costruito la pagina che hai chiesto di riassumere
- Non inserire mai password, codici ricevuti via SMS o dati della carta su siti raggiunti tramite link in messaggi, email o risposte di un assistente AI
- Non credere che un sito sia sicuro solo perché ha un lucchetto verde o il simbolo ‘https’: anche i siti truffaldini possono averlo
- Non inquadrare con il telefono i codici QR che compaiono in una risposta generata dall’intelligenza artificiale: possono portare a siti malevoli aggirando i filtri di sicurezza del computer
- Non ignorare i messaggi di avviso del browser che segnalano un sito come potenzialmente pericoloso
Domande frequenti su questa truffa
Le risposte alle domande che ci arrivano più spesso.
Cos'è ChatGPhish e devo preoccuparmi?
Come fa un assistente AI a mostrarmi un link pericoloso?
Posso fidarmi dei link che l'AI mi mostra nel riassunto?
Cosa faccio se nella risposta dell'AI compare un codice QR o un avviso urgente?
Il lucchetto verde e l'https garantiscono che il sito sia sicuro?
Come proteggo il telefono da questi siti fraudolenti?
Come scegliamo le fonti e come nasce ogni scheda: il nostro metodo.
🔗 Fonte: cybersecurity360.it, testata specializzata — articolo originale →
