Aumento de ciberataques explotando la seguridad del ChatGPT para robo de claves API.
La reciente investigación de seguridad de ESET desvela una tendencia alarmante en la que los ciberatacantes explotan el renombre de ChatGPT para hacerse con claves API válidas de OpenAI. Esta IA, que se lanzó en noviembre de 2022, se ha vuelto rápidamente famosa a nivel mundial y es una herramienta clave para programadores.
En la segunda mitad de 2023, los investigadores de seguridad informática observaron más de 650,000 intentos de acceso a sitios web fraudulentos que se hacían pasar por ChatGPT.
Estos sitios buscaban engañar a los usuarios imitando al sitio legítimo open.ia.com, aprovechando el interés en esta tecnología.
Las amenazas
Se detectaron amenazas como aplicaciones web que gestionan las claves API de OpenAI de manera insegura y extensiones malintencionadas para el navegador Google Chrome que perjudican a los usuarios de ChatGPT.
Camilo Gutiérrez Amaya, líder del laboratorio de ESET Latinoamérica, señaló que el uso indebido de la fama de ChatGPT no es novedoso, ya que los criminales crean sitios web falsos y distribuyen malware para el hurto de información.
La clave API, esencial para el acceso a los servicios de IA de OpenAI, debe manejarse con cuidado, advierte ESET. Sitios como chat.apple000[.]top son un ejemplo de cómo se piden y transfieren claves API a servidores sospechosos.
Gutiérrez Amaya hace hincapié en que es fundamental estar alerta ante las solicitudes de claves API por parte de desarrolladores de aplicaciones, debido a los riesgos de filtraciones o usos indebidos.
Además, la telemetría de ESET ha identificado dominios dañinos y extensiones de Chrome como JS/Chromex.Agent.BZ en la segunda mitad de 2023, por ejemplo, gptforchrome[.]com, que redirige a la extensión nociva ‘ChatGPT for Search – Support GPT-4’, ya reportada a Google.
Para salvaguardar las claves API, los expertos sugieren:
- No compartir la clave API.
- Usar un administrador de contraseñas seguro.
- Generar una clave con cifrado robusto.
- Cambiar la clave API ante sospechas de compromiso.
- Eliminar extensiones maliciosas del navegador, sobre todo si se usa la sincronización.
- Examinar con detenimiento las extensiones antes de instalarlas.
- Implementar una solución de seguridad fiable que detecte sitios y extensiones peligrosos.
La seguridad ChatGPT es vital en un mundo digital complejo, donde la protección de claves API es esencial para la integridad de proyectos y datos importantes.