黑客盯上 ChatGPT 热潮：假网站假应用泛滥，暗藏窃密木马与扣费陷阱

如果你这阵子打算下载一个 ChatGPT 的桌面客户端，劝你先停一下手。因为 OpenAI 官方压根就没出过什么 Windows 安装包。

随着 ChatGPT 几个月内成为历史上增长最快的应用，黑客们早就闻着味赶过来了。网络安全研究人员最近发现，网上突然冒出了数百个带有 ChatGPT 关键词的新注册域名，其中不少已经成了黑客传播恶意软件、盗取个人隐私的工具。

假装成桌面客户端，背地里掏空浏览器

安全研究员 Dominic Alvieri 在社交媒体上曝光了这波钓鱼套路，科技媒体 Bleeping Computer 也对此进行了报道。

其中一个叫作 chat-gpt-pc.online 的假网站，谎称自己提供 ChatGPT 的 Windows 本地应用下载。一旦有人信以为真下载安装，电脑就会被植入臭名昭著的 RedLine 窃密木马。

这个木马干的事情特别损：它会专门去翻你电脑各种软件里存的数据，特别是像 Google Chrome 这类浏览器。如果你习惯让浏览器帮你记密码或者信用卡号，RedLine 就会把这些凭证一股脑打包发送给黑客。

除了盯上 Windows 用户，Dominic Alvieri 还在 Google Play 商店里发现了假冒的 ChatGPT 应用，同样是打着 AI 的幌子搞钓鱼窃密。

网络安全机构 Cyble 发布的最新报告显示，这类山寨货的泛滥程度远超想象。他们已经发现了超过 50 个假冒的 ChatGPT 应用。

黑客敛财的手段也是花样百出。比如 Cyble 发现其中一款名为 chatGPT1 的伪装程序，里面根本没有任何 AI 功能，装上之后唯一的动作，就是在后台悄悄给用户的手机开通各种昂贵的付费服务，也就是俗称的短信扣费诈骗。

目前正版的 ChatGPT 只能通过 OpenAI 的官方网址访问，也就是 chat.openai.com，或者他们最近拿下的 AI.com。它根本没有独立的桌面客户端。

为什么重要

对普通用户来说，防范这波攻击并不需要多高深的技术，关键是建立一个认知：不要去任何非官方渠道搜所谓的破解版或桌面版。随着 OpenAI 推出每月 20 美元的付费订阅，贪便宜或者图省事搜第三方安装包的人，最容易掉进陷阱。

我们认为，AI 爆火背后的灰色黑产正在快速工业化。黑客甚至不需要懂任何大语言模型技术，他们只是把十几年前的假冒热门游戏、假冒杀毒软件的套路换了个壳，依然屡试不爽。RedLine 木马和短信扣费也不是什么新鲜技术，但套上 ChatGPT 这个光环，转化率就会变得惊人。

这种现象也给平台方敲了警钟。应用商店在审核带有生成式 AI 标签的应用时，显然动作慢了半拍。如果苹果和谷歌的应用商店不能及时清理这些仿冒品，不仅用户的钱包要遭殃，好不容易建立起来的生成式 AI 信任度也会被严重消耗。