OpenAI ha sido atacada. Un grupo de ciberdelincuentes ha logrado explotar una vulnerabilidad denominada CVE-2024-27564 y catalogada como riesgo medio por la compañía detrás de ChatGPT, según el último informe de la firma de ciberseguridad Veriti.

A pesar de su gravedad media, los atacantes han logrado llevar a cabo uno de los peores golpes para la seguridad, lo que se conoce como la falsificación de peticiones desde el lado del servidor, o SSRF por sus siglas en inglés.

Los pasos para llevar a cabo un ataque SSRF son relativamente sencillos. Primero, el atacante identifica la vulnerabilidad, CVE-2024-27564 en este caso, hasta que pueda procesar URLs del usuario o realizar peticiones HTTP.

La segunda fase consiste en crear la solicitud URL para acceder a recursos internos o datos sensibles y, a continuación, explotar la vulnerabilidad para conseguir que el servidor procese este tipo de solicitud.

Finalmente, los datos internos a los que ha accedido el atacante pasan a su lado del servidor, por lo que acaban en manos de hackers maliciosos.

Dicho de otra forma, este tipo de ataques permite que un ciberdelincuente pueda inyectar enlaces maliciosos forzando a ChatGPT a realizar solicitudes arbitrarias, como se puede comprobar en la base de datos nacional de vulnerabilidades conocidas por Estados Unidos.

Precisamente, la región más afectada a nivel mundial ha sido el país norteamericano, con una prevalencia de los ataques del 33%, seguido por Alemania y Tailandia, con un 7%, o Colombia y Reino Unido, con un 3%.

Según la firma de seguridad, se han podido registrar 10.479 intentos de ataques en solo una semana desde la misma dirección IP maliciosa, aunque se han identificado algunas más; en cualquier caso, los atacantes siempre van cambiando estas para dificultar la defensa.

A pesar de que Veriti no ha mencionado los servicios afectados, sí ha confirmado que el objetivo de los ciberdelincuentes son las instituciones financieras, como bancos o firmas de tecnología que utilizan servicios impulsados por inteligencia artificial o la integración de la API de ChatGPT.

Esto supone un gran riesgo reputacional para dichas compañías, más aún teniendo en cuenta que este ataque comenzó en enero y, aunque ha disminuido ligeramente en febrero y marzo, el 35% de las empresas analizadas no están preparadas para este tipo de riesgos.

Las consecuencias de esta modalidad, no obstante, pueden ser catastróficas para los servicios financieros, ya que se pueden realizar transacciones no autorizadas o infracciones de datos, con las consiguientes sanciones reglamentarias.

Dicho esto, la firma ha recordado que esto se puede evitar, o al menos mitigar, con una configuración correcta de los sistemas de prevención de intrusiones o IPS, que ayudan a identificar el tráfico malicioso o del firewall, algo que un tercio de las empresas atacadas no había cumplido.

Fuentes:

https://computerhoy.20minutos.es/ciberseguridad/hackers-llevan-meses-explotando-vulnerabilidad-chatgpt-pero-openai-no-hace-nada-1449103