L’evoluzione dell’intelligenza artificiale sta portando a nuove e sofisticate minacce per la sicurezza online. Un recente allarme lanciato da un consulente di sicurezza di Microsoft Sam Mitrovic mette in guardia su una truffa AI “estremamente realistica”. Questo nuovo tipo di attacco sfrutta tecnologie avanzate; se portato a termine riesce a mettere a rischio la sicurezza dei dati personali di milioni di persone in tutto il mondo.
La truffa combina in modo ingegnoso diverse tecniche. Tra queste, spoofing del numero di telefono, email falsificate e soprattuto una conversazione telefonica usando un modello AI estremamente realistico. L’obiettivo finale è quello di ottenere le credenziali degli account Google.
Data la diffusione capillare di Gmail, con quasi 2 miliardi di utenti attivi, l’impatto potenziale è enorme. È fondamentale quindi conoscere il funzionamento di questa nuova minaccia e adottare le giuste precauzioni per proteggere i propri dati sensibili.
Come funziona la truffa AI contro gli account Gmail
Il modus operandi di questa nuova truffa è stato dettagliatamente descritto da Sam Mitrovic, consulente di sicurezza Microsoft. Lui ha sperimentato personalmente un tentativo di attacco.
La sequenza inizia con una notifica apparentemente legittima di Gmail che richiede l’approvazione di un tentativo di recupero dell’account. Questo è un primo segnale d’allarme, poiché Google non invia normalmente tali richieste se non sono state effettivamente avviate dall’utente.
Poco dopo, la vittima riceve una chiamata telefonica da un numero che sembra appartenere a Google, l’ID chiamante è Google Sidney. La voce al telefono, generata in tempo reale tramite AI, si presenta come un dipendente del supporto Google.
Nel caso dell’attacco ricevuto da Sam Mitrovic era una voce americana, realistica, educata e professionale. Il numero del chiamante era australiano. La voce si presenta e dice che sono state rilevate attività sospette sul suo account gmail. Inoltre ha chiesto a Sam se era in viaggio, ed altre domande.
A quel punto Sam diventa sospettoso, tiene l’operatore in attesa e fa un controllo a questa pagina web di Google per verificare il numero del chiamante. Effettivamente legge che Google potrebbe chiamare dall’Australia.
Richiesta di una email all’ “operatore Google”
Ma Sam ha ancora qualche dubbio e chiede all’operatore Google di inviargli una email per verificare questa strana richiesta. L’operatore risponde che non ci sono problemi e che avrebbe inviato l’email in breve tempo. Sam sente digitare l’operatore sulla tastiera e subito dopo riceve un email apparentemente da Google; nel mittente è indicato il dominio google.com. Nonostante tutto Sam ancora non è convinto e chiude la chiamata, perchè a un certo punto della discussione sospetta di aver parlato con una voce di un modello AI; chiude la comunicazione e decide di ricontrollare l’email ricevuta a casa.
Se fosse rimasto in chiamata probabilmente il passo successivo sarebbe stata la richiesta di approvare la notifica di recupero dell’account via email e successivamente avrebbero acquisito il controllo dell’account.
Sam ha poi potuto verificare che l’email apparentemente da Google in realtà era un email spoofing e il vero indirizzo era InternalCaseTracking dot com . La chiamata vocale estremamente realistica stava per far cascare nel tranello un esperto informatico come Sam Mitrovic. Solo l’esperienza e il sospetto hanno evitato di farlo cadere nella trappola.
La chiamata vocale in IA in grado di soddisfare anche le richieste dell’interlocutore, come la richiesta soddisfatta di una verifica in email, rende l’attacco molto ingegnoso e sicuramente difficile da identificare dai meno esperti o più vulnerabili.
Come riconoscere e difendersi dall’attacco AI a Gmail
Per proteggersi da questa sofisticata truffa AI, è fondamentale conoscere i segnali d’allarme. Inoltre, bisogna adottare le giuste precauzioni. Innanzitutto, è bene ricordare che Google non contatta mai direttamente gli utenti personali via telefonica per segnalare problemi di sicurezza; potrebbe farlo solo per account email associati ad un profilo business.
Se si ha il sospetto che la chiamata vocale provenga da un modello di intelligenza artificiale, Sam consiglia anche di mettere alla prova l’operatore con domande bizzare come provare a chiedere il meteo, provare a chiedere di cantare un canzone o altro, e vedere come reagisce a queste “provocazioni”.
Un altro elemento sospetto è la presenza di indirizzi email aggiuntivi nel campo “A” dell’email ricevuta. Per un’analisi più approfondita, è possibile esaminare l’intestazione completa dell’email (header) per individuare eventuali incongruenze. In caso di dubbi, è meglio interrompere la comunicazione e contattare direttamente il supporto Google attraverso i canali ufficiali. È anche consigliabile attivare la passkey o l’autenticazione a due fattori sull’account Gmail. In questo modo, si ottiene un ulteriore livello di protezione.
Infine, è importante mantenere sempre un atteggiamento critico e cauto di fronte a richieste inaspettate di informazioni sensibili, anche se sembrano provenire da fonti affidabili. La consapevolezza e la vigilanza rimangono le migliori difese contro questo tipo di minacce in continua evoluzione.
Truffa AI: conclusioni
L’emergere di questa nuova truffa AI evidenzia come l’intelligenza artificiale stia ridefinendo anche la sicurezza online. La capacità di generare interazioni vocali altamente realistiche e personalizzate rende questi attacchi particolarmente insidiosi; mettono alla prova anche gli utilizzatori più esperti.
Quindi, è importante e necessario sviluppare nuove strategie di difesa che tengano conto dell’evoluzione tecnologica. Ma è fondamentale mantenere un approccio critico e informato.
Questa nuova minaccia AI ci ricorda che la tecnologia, pur offrendo enormi opportunità, porta con sé anche nuove sfide che richiedono una costante vigilanza e adattamento delle nostre pratiche di sicurezza online.
