Hackeraggio degli account di ChatGPT: aprendo un link condiviso, gli attaccanti potevano rubare conversazioni private

Come funziona

Un sito web dove scrivi messaggi e ricevi risposte da un'intelligenza artificiale.

1. 👥Condividi una conversazione con ChatGPT e ti verrà dato un link.
2. 📨Qualcuno ti invia quel link condiviso.
3. 🖱️Clicchi sul link e lo apri nel browser.
4. ⚡Del codice nascosto parte automaticamente sulla pagina.

Parole da sapere

• sandbox: Una funzionalità di sicurezza che mantiene isolato il codice non fidato per impedirgli di accedere ai tuoi dati personali o ad altre parti di un sito web
• iframe: Un modo per incorporare una pagina web all'interno di un'altra, come una finestra dentro un'altra finestra
• JSONP: Una tecnica web obsoleta che permette ai siti web di caricare dati da altri siti utilizzando parametri di callback speciali

Un esempioInventato per spiegare

un utente di nome Marco che controlla un link ricevuto tramite messaggistica

CollegaQuesta chat AI ha qualche trucco figo, vuoi vedere?

MarcoCerto, mandami il link così provo.

CollegaEcco qui: https://chatgpt.com/share/abc123

MarcoLo apro adesso…

Le conversazioni private di Marco sono finite sotto gli occhi dell'attaccante.

La vulnerabilità

Nel mese di ottobre 2026, un team di ricercatori ha scoperto un modo per trasformare una normale condivisione pubblica di ChatGPT in JavaScript controllato dall'attaccante ed eseguito sul dispositivo di chi lo apriva ¹.

Un attaccante poteva creare una conversazione ingannevole, condividerla tramite lo strumento di condivisione integrato di ChatGPT e inoltrare il link risultante a un utente bersaglio. Quando il destinatario apriva il link condiviso, il payload dannoso veniva eseguito nel dominio chatgpt.com e otteneva l'accesso alla sessione web già autenticata della vittima ¹.

I ricercatori hanno verificato che il codice poteva elencare le conversazioni della vittima, estrarre materiale da una chat privata che l'attaccante non aveva mai visto e inviare quel contenuto a un server esterno ¹.

Come funzionava

L'attacco sfruttava due funzionalità che singolarmente sembravano innocue: uno strumento grafico e Anteprima HTML ¹.

La funzione Anteprima di ChatGPT può renderingare un blocco di codice HTML in una mini-pagina web funzionante. Dato che quella pagina potrebbe contenere codice arbitrario, ChatGPT lo esegue all'interno di un frame limitato su un diverso indirizzo web ¹.

Sotto il cofano, il grafico caricava una libreria matematica chiamata MathLive. Aprendola si inseriva un listener di messaggi all'interno della pagina principale di ChatGPT, configurato per catturare messaggi collegati alla tastiera virtuale dello schermo di MathLive ¹.

I browser usano postMessage per permettere a due frame di scambiarsi informazioni anche quando non possono leggere le pagine dell'altro. Funziona come una cassetta della posta: la pagina Anteprima sandboxed non può entrare nella pagina principale, ma può comunque passare biglietti attraverso la fessura ¹.

MathLive accettava il messaggio senza verificare la provenienza. Il listener intercettava un comando che alterava il layout della tastiera virtuale, e tale layout poteva includere HTML ¹.

Una volta comparsa la tastiera, MathLive iniettava un iframe tramite srcdoc, una capacità del browser che incorpora HTML direttamente all'interno di un attributo del tag del frame ¹.

Il frame era creato senza attributo sandbox. Dato che la pagina principale di ChatGPT aveva creato il frame, il browser gli assegnava l'origine chatgpt.com. Il codice all'interno del nuovo frame poteva quindi accedere alla sua pagina principale ¹.

Nessuna azione richiesta dalla vittima

La vittima non doveva installare nulla, partecipare a un progetto, incollare codice o accedere agli strumenti per sviluppatori. L'unica azione richiesta era aprire il link condiviso.

Questo è insolito per i takeover di account basati su browser, che tipicamente richiedono che gli utenti scarichino file sospetti o incollino codice nelle console per sviluppatori.

Indovina

Che grado di gravità ha assegnato OpenAI a questa vulnerabilità?

MedioNon valutatoP1 (il più alto)

La correzione

OpenAI ha corretto la vulnerabilità il 26 ottobre e ha classificato la segnalazione come P1, il livello di gravità più alto ¹.

Cosa significa per gli utenti

Questa vulnerabilità interessa chiunque utilizzi la funzione di condivisione delle conversazioni di ChatGPT. Se condividi o apri regolarmente link condivisi di ChatGPT, fai attenzione alle richieste impreviste di visualizzare conversazioni.

L'attacco dimostra come combinare due funzionalità sicure possa creare un percorso insicuro. Gli sviluppatori dovrebbero rivedere integrazioni simili in cui librerie di terze parti ascoltano messaggi senza verificarne l'origine.

Questa storia illustra solo una tendenza a scopo informativo. Non costituisce un consiglio né un incoraggiamento a fare alcunché.

In caso di difficoltà, c'è aiuto disponibile: in Italia chiama il 112 o Telefono Amico allo 02 2327 2327; altrimenti, il numero di emergenza locale.

Correzioni e aggiornamenti

• Corretto l'11 novembre 2026. Una versione precedente di questa storia includeva dettagli che le fonti non supportano. Sono stati corretti o rimossi.

I fatti principali

• Aprire un link condiviso di ChatGPT poteva permettere agli attaccanti di dirottare il tuo account
• Non era richiesta l'installazione di alcun'app né l'incollaggio di codice — bastava cliccare su un link
• Gli attaccanti potevano leggere conversazioni private e inviare dati a server esterni
• OpenAI ha corretto il bug il 26 ottobre 2026 e lo ha classificato come gravità P1
• La vulnerabilità derivava dalla combinazione di uno strumento grafico con le funzionalità di Anteprima HTML

Fonti

1. Do the Math: How We Took Over ChatGPT Accounts — parameter.ai