駭客盯上 ChatGPT 熱潮：假網站假應用氾濫，暗藏竊密木馬與扣費陷阱

如果你這陣子打算下載一個 ChatGPT 的桌面客戶端，勸你先停一下手。因為 OpenAI 官方壓根就沒出過什麼 Windows 安裝包。

隨著 ChatGPT 幾個月內成為歷史上增長最快的應用，駭客們早就聞著味趕過來了。網路安全研究人員最近發現，網上突然冒出了數百個帶有 ChatGPT 關鍵詞的新註冊域名，其中不少已經成了駭客傳播惡意軟體、盜取個人隱私的工具。

假裝成桌面客戶端，背地裡掏空瀏覽器

安全研究員 Dominic Alvieri 在社交媒體上曝光了這波釣魚套路，科技媒體 Bleeping Computer 也對此進行了報道。

其中一個叫作 chat-gpt-pc.online 的假網站，謊稱自己提供 ChatGPT 的 Windows 本地應用下載。一旦有人信以為真下載安裝，電腦就會被植入臭名昭著的 RedLine 竊密木馬。

這個木馬乾的事情特別損：它會專門去翻你電腦各種軟體裡存的資料，特別是像 Google Chrome 這類瀏覽器。如果你習慣讓瀏覽器幫你記密碼或者信用卡號，RedLine 就會把這些憑證一股腦打包傳送給駭客。

除了盯上 Windows 使用者，Dominic Alvieri 還在 Google Play 商店裡發現了假冒的 ChatGPT 應用，同樣是打著 AI 的幌子搞釣魚竊密。

網路安全機構 Cyble 釋出的最新報告顯示，這類山寨貨的泛濫程度遠超想像。他們已經發現了超過 50 個假冒的 ChatGPT 應用。

駭客斂財的手段也是花樣百出。比如 Cyble 發現其中一款名為 chatGPT1 的偽裝程式，裡面根本沒有任何 AI 功能，裝上之後唯一的動作，就是在後臺悄悄給使用者的手機開通各種昂貴的付費服務，也就是俗稱的簡訊扣費詐騙。

目前正版的 ChatGPT 只能通過 OpenAI 的官方網址訪問，也就是 chat.openai.com，或者他們最近拿下的 AI.com。它根本沒有獨立的桌面客戶端。

為什麼重要

對普通使用者來說，防範這波攻擊並不需要多高深的技術，關鍵是建立一個認知：不要去任何非官方渠道搜所謂的破解版或桌面版。隨著 OpenAI 推出每月 20 美元的付費訂閱，貪便宜或者圖省事搜第三方安裝包的人，最容易掉進陷阱。

我們認為，AI 爆火背後的灰色黑產正在快速工業化。駭客甚至不需要懂任何大語言模型技術，他們只是把十幾年前的假冒熱門遊戲、假冒防毒軟體的套路換了個殼，依然屢試不爽。RedLine 木馬和簡訊扣費也不是什麼新鮮技術，但套上 ChatGPT 這個光環，轉化率就會變得驚人。

這種現象也給平臺方敲了警鐘。應用商店在稽核帶有生成式 AI 標籤的應用時，顯然動作慢了半拍。如果蘋果和谷歌的應用商店不能及時清理這些仿冒品，不僅使用者的錢包要遭殃，好不容易建立起來的生成式 AI 信任度也會被嚴重消耗。