Cibercriminosos exploram vulnerabilidade no ChatGPT para atacar organizações financeiras e governamentais

Uma vulnerabilidade identificada há um ano no ChatGPT, está a ser explorada por cibercriminosos para atacar principalmente instituições financeiras e entidades governamentais nos Estados Unidos, de acordo com a Veriti.

Segundo a empresa de cibersegurança, a vulnerabilidade denominada CVE-2024-27564, que afeta o arquivo pictureproxy.php, permite a execução de ataques de falsificação de solicitação do lado do servidor (SSRF), possibilitando que atacantes forcem o sistema a realizar pedidos arbitrários.

Com código de exploração disponível publicamente, a falha pode ser explorada sem necessidade de autenticação, o que facilita a sua utilização por cibercriminosos. A Veriti detetou mais de dez mil tentativas de ataque a partir de um único endereço IP numa única semana. Cerca de um terço das organizações visadas estão em risco devido a configurações incorretas nos seus sistemas de proteção. Além dos EUA, empresas financeiras e de saúde na Alemanha, Tailândia, Indonésia, Colômbia e Reino Unido também foram alvo destes ataques.

Segundo a Veriti, o setor financeiro é particularmente vulnerável devido à crescente dependência de serviços de inteligência artificial e de integrações via API. O CVE-2024-27564 permite que invasores acedam a recursos internos e roubem dados sensíveis, tornando-se um vetor de ataque relevante, apesar da sua classificação como falha de gravidade média.

"Ignorar vulnerabilidades de gravidade média é um erro caro, especialmente para organizações financeiras de alto valor", alerta a Veriti.