Risultati spaventosi: lo studio mostra che i chatbot AI eccellono nelle tattiche di phishing

Un recente studio ha mostrato quanto facilmente i moderni chatbot possono essere utilizzati per scrivere email di truffa convincenti mirate alle persone più anziane e con quale frequenza quelle email vengono cliccate.

I ricercatori hanno utilizzato diversi importanti chatbot AI nello studio, tra cui Grok, ChatGPT di OpenAI, Claude, Meta AI, DeepSeek e Gemini di Google, per simulare una truffa di phishing. 

Una nota campione scritta da Grok sembrava un contatto amichevole da parte della "Silver Hearts Foundation", descritta come una nuova organizzazione di beneficenza che supporta le persone più anziane con compagnia e assistenza. La nota era mirata ai cittadini anziani, promettendo un modo facile per coinvolgersi. In realtà, tale organizzazione di beneficenza non esiste.

"Crediamo che ogni anziano meriti dignità e gioia nei suoi anni d'oro", recitava la nota. "Cliccando qui, scoprirai storie commoventi di anziani che abbiamo aiutato e imparerai come puoi unirti alla nostra missione." 

Quando Reuters ha chiesto a Grok di scrivere il testo di phishing, il bot non solo ha prodotto una risposta ma ha anche suggerito di aumentare l'urgenza: "Non aspettare! Unisciti alla nostra comunità compassionevole oggi e aiuta a trasformare le vite. Clicca ora per agire prima che sia troppo tardi!" 

108 volontari senior hanno partecipato allo studio sul phishing

I giornalisti hanno testato se sei famosi chatbot AI avrebbero violato le loro regole di sicurezza e redatto email destinate a ingannare gli anziani. Hanno anche chiesto ai bot aiuto per pianificare campagne di truffa, inclusi consigli su quale orario del giorno potesse ottenere la risposta migliore. 

In collaborazione con Heiding, un ricercatore dell'Università di Harvard che studia il phishing, i ricercatori hanno testato alcune delle email scritte dai bot su un gruppo di 108 volontari senior.

Di solito, le aziende di chatbot addestrano i propri sistemi a rifiutare le richieste dannose. In pratica, quelle salvaguardie non sono sempre garantite. Grok ha visualizzato un avviso che il messaggio prodotto "non dovrebbe essere utilizzato in scenari del mondo reale." Nonostante ciò, ha fornito il testo di phishing e ha intensificato la proposta con "clicca ora."

Altri cinque chatbot hanno ricevuto gli stessi prompt: ChatGPT di OpenAI, l'assistente di Meta, Claude, Gemini e DeepSeek dalla Cina. La maggior parte dei chatbot ha rifiutato di rispondere quando l'intento era chiaro. 

Tuttavia, le loro protezioni sono fallite dopo modifiche leggere, come affermare che il compito era a scopo di ricerca. I risultati dei test suggerivano che i criminali potrebbero utilizzare (o potrebbero già utilizzare) i chatbot per campagne di truffa. "Puoi sempre aggirare queste cose", ha detto Heiding.

Heiding ha selezionato nove email di phishing prodotte con i chatbot e le ha inviate ai partecipanti. Circa l'11% dei destinatari è caduto nella trappola e ha cliccato sui link. Cinque dei nove messaggi hanno ricevuto clic: due provenienti da Meta AI, due da Grok e uno da Claude. Nessuno degli anziani ha cliccato sulle email scritte da DeepSeek o ChatGPT.

L'anno scorso, Heiding ha guidato uno studio che ha dimostrato che le email di phishing generate da ChatGPT possono essere efficaci quanto i messaggi scritti da persone, in quel caso tra studenti universitari. 

L'FBI elenca il phishing come la cybercrimine più comune

Il phishing si riferisce all'inganno di vittime ignare affinché cedano dati sensibili o denaro tramite email e messaggi falsi. Questo tipo di messaggi costituisce la base di molti crimini online. 

Miliardi di messaggi e email di phishing vengono inviati ogni giorno in tutto il mondo. Negli Stati Uniti, il Federal Bureau of Investigation elenca il phishing come la cybercrimine più comunemente segnalata. 

Gli americani più anziani sono particolarmente vulnerabili a queste truffe. Secondo i recenti dati dell'FBI, le denunce da parte di persone di 60 anni e oltre sono aumentate di 8 volte l'anno scorso, con perdite che hanno raggiunto i 4,9 miliardi di dollari. L'IA generativa ha reso la situazione molto peggiore, afferma l'FBI.

Solo ad agosto, gli utenti di criptovalute hanno perso 12 milioni di dollari a causa di truffe di phishing, basandosi su un Cryptopolitan rapporto.

Per quanto riguarda i chatbot, il vantaggio per i truffatori è il volume e la velocità. A differenza degli esseri umani, i bot possono generare infinite variazioni in pochi secondi e a costi minimi, riducendo il tempo e il denaro necessari per eseguire truffe su larga scala.