Pułapka na prawdziwej stronie ChatGPT. Zdradza ją jedna prośba

W części przypadków wystarczyło wpisać w Google słowo „chatgpt” i kliknąć sponsorowany wynik. Prowadził na prawdziwy adres chatgpt.com, do asystenta o nazwie „Plus 5.6”, łudząco podobnego do nowego modelu OpenAI. Kilka kroków dalej strona prosiła o wklejenie polecenia do systemu Windows. Ta jedna prośba zdradzała pułapkę.

Kampanię opisała 28 września firma Huntress, amerykański specjalista od bezpieczeństwa komputerów. Jej zespół reagowania obsłużył co najmniej 40 zakażeń powiązanych z jedną stroną-pułapką. W dwóch przypadkach potwierdził, że droga ofiary wiodła przez fałszywego asystenta na chatgpt.com. Każde zaczęło się od wklejenia.

Własny GPT to wersja ChatGPT z dopisanymi instrukcjami. Zbudować i udostępnić ją może użytkownik ChatGPT. Działa pod adresem chatgpt.com, z własną nazwą u góry strony. Przestępcy nazwali swoją wersję „Plus 5.6” i opłacili reklamę w Google, żeby link wyskakiwał nad zwykłymi wynikami. Pod nazwą widniał dopisek o autorze ze społeczności (»community builder«). Według Huntress to zdradza podróbkę komuś obeznanemu z własnymi GPT. Reszta widzi rozmowę z nowym modelem.

Na każdą wiadomość asystent odpowiadał tak samo: usługa ma ograniczoną dostępność, a dalej można przejść przez „domenę zapasową”. Zapasowa domena była stroną w Google Sites, darmowym kreatorze stron Google. Udawała test CAPTCHA firmy Cloudflare (CAPTCHA to zagadka sprawdzająca, czy przy komputerze siedzi człowiek). Test kazał skopiować polecenie i wkleić je w systemie. Tak działa ClickFix.

Tą nazwą badacze określają atak oparty na namowie: ofiara sama kopiuje i uruchamia złośliwy kod. Polecenie trafia do PowerShella, okna poleceń Windows zdolnego pobrać i zainstalować dowolny program. Według ISI Enterprises, amerykańskiej firmy od bezpieczeństwa informatycznego, wykrycie może wtedy przyjść dopiero po fakcie. Tak było i tym razem.

Wklejone polecenie po cichu instaluje program podszyty pod narzędzie do drukarek. Instalator chowa się przed listą zainstalowanych programów w Windows. Szukanie go w ustawieniach nic nie da. Potem instalator uruchamia prawdziwą, podpisaną aplikację firmy Canon i przez nią ładuje złośliwy kod. Na końcu działa trojan zdalnego dostępu, czyli program do sterowania komputerem na odległość. Daje przestępcy podgląd ekranu, kamerę, mikrofon, przeszukiwanie plików i instalowanie kolejnych programów.

W co najmniej jednym przypadku Microsoft Defender, antywirus wbudowany w Windows, wrzucił instalator do kwarantanny. Instalator zdążył się już wykonać. Atak ciągnęły dalej wpis w autostarcie i zaplanowane zadanie, oba nazwane „Canon Configuration Reader”. Komunikat antywirusa przyszedł za późno.

Po usunięciu pierwszego asystenta przestępcy zmienili opakowanie. W drugiej fali miejsce programu Canon zajęła podpisana aplikacja firmy Stardock, innego producenta oprogramowania. Trojan był identyczny co do bajtu.

Fałszywa CAPTCHA krąży od dawna. W sierpniu 2025 serwis android.com.pl przestrzegał przed nią, powołując się na CERT Polska. Ten sam CERT Polska, zespół reagowania na incydenty działający w instytucie NASK, opisał 17 lutego 2026 atak na dużą polską organizację. Przestępca działał w jej sieci, a według CERT cała sprawa pokazuje, ile szkody robi jeden oszukany użytkownik. Zespół pisze też o rosnącej liczbie takich ataków w Polsce. Kampania z ChatGPT dokłada tylko wiarygodny adres.

Huntress wylicza wcześniejsze odmiany na platformach AI. Były udostępnione rozmowy z ChatGPT i Grokiem podszyte pod porady dla użytkowników Maców, sponsorowany wynik Google prowadzący do rozmowy z Claude, czatem firmy Anthropic, i fałszywa strona pobierania aplikacji Claude. Przy poradach dla Maców polecenie wkleja się do Terminala. Fałszywa strona pobierania Claude działała inaczej: przekierowywała wprost do złośliwego programu.

• Strona każe nacisnąć Win+R, potem Ctrl+V i Enter. Win+R otwiera okno Uruchom, Ctrl+V wkleja skopiowany wcześniej kod, Enter go uruchamia. Według CERT Polska, cytowanego przez android.com.pl, prawdziwa CAPTCHA nigdy nie wymaga opuszczenia strony.
• Jakakolwiek prośba o wklejenie czegoś do okna Uruchom, PowerShella, Terminala albo wiersza poleceń. Help Net Security pisze wprost: żadna uczciwa strona, test ani „naprawa” o to nie prosi.
• Pierwszy wynik w Google bywa reklamą. Zapłacić za nią może każdy. ISI radzi wchodzić na zaufane strony bezpośrednio, więc do ChatGPT z zakładki albo przez ręcznie wpisany adres chatgpt.com.
• Asystent na chatgpt.com odsyła na inną stronę albo do „domeny zapasowej”. Prawdziwy adres w pasku przeglądarki nie gwarantuje, że po drugiej stronie jest OpenAI.

Procedurę na taki wypadek ISI opublikowała 11 lutego 2026. Huntress dokłada obserwację z zakażonych komputerów. Przy sprzątaniu liczy się kolejność.

1. 1

   Odłącz komputer od internetu

   Wyłącz Wi-Fi albo wyjmij kabel sieciowy. Trojan zdalnego dostępu potrzebuje połączenia, żeby przyjmować polecenia.

2. 2

   Nie loguj się z tego komputera

   Ani do poczty, ani do banku, ani do systemów firmy. Wszystko wpisane na zakażonym komputerze może trafić do przestępcy.

3. 3

   Zmień hasła z innego urządzenia

   Potem przejrzyj ostatnie logowania do kont i szukaj podejrzanych wejść.

4. 4

   Nie sprzątaj na własną rękę

   Usunięcie wpisu z autostartu nic nie da, póki program działa: według Huntress odtwarza go w ciągu kilku minut. Komputer powinien przejrzeć informatyk albo serwis.

5. 5

   W razie wątpliwości postaw system od nowa

   ISI zaleca reinstalację z czystej kopii, jeśli nie da się potwierdzić, że komputer jest czysty.

Według centrum pomocy OpenAI, cytowanego 20 września przez blog iTechnically Kan, własne GPT przestaną działać 11 grudnia 2026. Wycofanie może zamknąć ten wariant ataku. Okno Uruchom zostanie w każdym Windowsie, a Huntress już zapowiada kolejne przebrania tej samej kampanii.