Cos’è GhostGPT e perché dovrebbe interessare alla tua azienda
Nel sottobosco del cybercrime è arrivato un nuovo strumento che sta cambiando le regole del gioco. GhostGPT è un chatbot di AI senza censure, progettato apposta per aiutare i threat actor a scrivere email di phishing, sviluppare malware ed eseguire attacchi di ingegneria sociale con una rapidità e una precisione mai viste. A differenza dei modelli di AI più diffusi come ChatGPT o Claude, che hanno barriere di sicurezza integrate, GhostGPT elimina ogni restrizione etica e offre ai criminali un assistente potente che non dice mai di no.
Individuato per la prima volta dai ricercatori di Abnormal Security all’inizio del 2025, GhostGPT viene venduto tramite canali Telegram come un servizio comodo e senza domande. Gli utenti non devono fare il jailbreak di un modello legittimo né possedere competenze tecniche avanzate. Pagano un abbonamento e ottengono subito l’accesso a un motore di AI disposto a generare, su richiesta, modelli di phishing convincenti, codice di exploit e comunicazioni aziendali fraudolente.
Per le PMI europee, in particolare quelle di Italia e UE, è un’escalation significativa del panorama delle minacce. La barriera d’ingresso per attacchi informatici sofisticati è di fatto crollata.
Come GhostGPT sta rimodellando il panorama delle minacce informatiche
Phishing su larga scala con grammatica perfetta
Uno dei pericoli più immediati di GhostGPT è la capacità di generare email di phishing impeccabili in più lingue, tra cui italiano, tedesco, francese e spagnolo. I tentativi di phishing tradizionali contenevano spesso formulazioni goffe o errori grammaticali che i dipendenti formati sapevano individuare. Quella rete di sicurezza non c’è più.
Secondo il Verizon Data Breach Investigations Report 2024, phishing e pretexting hanno rappresentato oltre il 73% delle violazioni basate sull’ingegneria sociale. Con strumenti basati sull’AI come GhostGPT che producono messaggi linguisticamente perfetti, calibrati su settori e regioni specifici, questa percentuale è destinata a salire sensibilmente. Una PMI italiana potrebbe ricevere un’email convincente che imita alla perfezione le comunicazioni dell’Agenzia delle Entrate o di un fornitore di fiducia, con terminologia e formattazione corrette.
Sviluppo di malware senza competenze
GhostGPT può generare codice malevolo funzionante, inclusi script per l’esfiltrazione dei dati, componenti ransomware e strumenti per il furto di credenziali. Ciò che prima richiedeva mesi di conoscenze di programmazione ora si produce in pochi minuti. La Internet Organised Crime Threat Assessment 2024 di Europol aveva avvertito che la creazione di malware assistita dall’AI sarebbe diventata una caratteristica distintiva del cybercrime entro il 2025, e la previsione si è avverata più in fretta del previsto.
Questa democratizzazione delle capacità di attacco significa che anche i threat actor poco esperti possono ora colpire le aziende con malware personalizzato che elude gli antivirus di base. Le PMI, che spesso non hanno un security operations center dedicato, sono particolarmente vulnerabili.
Business email compromise ai massimi livelli
Secondo l’Internet Crime Complaint Center dell’FBI, gli attacchi di business email compromise (BEC) sono costati alle organizzazioni di tutto il mondo oltre 50 miliardi di dollari dal 2013. GhostGPT li potenzia generando corrispondenza realistica che si spaccia per dirigenti, commercialisti o consulenti legali. L’AI può imitare gli stili di scrittura, richiamare processi aziendali reali e creare un senso di urgenza che spinge i dipendenti a trasferire fondi o a condividere dati sensibili.
Per le aziende italiane che operano in catene di fornitura complesse, dove le frodi sulle fatture e le truffe di reindirizzamento dei pagamenti sono già diffuse, il rischio è alto.
Cosa significa il quadro normativo UE per le tue difese
Le imprese europee operano sotto alcune delle normative più solide al mondo in materia di protezione dei dati e cybersecurity, e questi quadri sono più rilevanti che mai nell’epoca delle minacce guidate dall’AI.
La direttiva NIS2, che ha ampliato il proprio ambito di applicazione a ottobre 2024, copre ora una gamma più ampia di settori e impone requisiti più stringenti sulla notifica degli incidenti. Molte PMI italiane che prima restavano fuori dalla direttiva NIS originaria ora devono adottare misure obbligatorie di gestione del rischio di cybersecurity. La mancata conformità può comportare sanzioni fino a 10 milioni di euro o al 2% del fatturato annuo globale.
L’AI Act europeo, la prima regolamentazione completa al mondo sull’AI, classifica i sistemi di AI in base al livello di rischio e affronta esplicitamente l’uso improprio delle tecnologie di AI. Pur rivolgendosi soprattutto ai fornitori e agli utilizzatori di AI nei mercati legittimi, rafforza anche la base giuridica per l’azione delle forze dell’ordine contro strumenti come GhostGPT.
Con il GDPR, le organizzazioni restano pienamente responsabili della protezione dei dati personali, a prescindere da come venga condotto un attacco. Un’email di phishing generata dall’AI che porta a una violazione dei dati non riduce la tua responsabilità. Le aziende italiane devono dimostrare di aver adottato misure tecniche e organizzative adeguate, come il Garante per la Protezione dei Dati Personali ha chiarito in diversi provvedimenti.
Passi pratici per proteggere la tua azienda
Difendersi da minacce potenziate dall’AI non richiede un budget da grande impresa, ma richiede un approccio strategico. Ecco le misure concrete che le PMI europee dovrebbero mettere in cima alla lista.
Potenzia la sicurezza della posta elettronica
I filtri antispam tradizionali non bastano contro i messaggi creati dall’AI. Investi in soluzioni di sicurezza email che usano analisi comportamentale e rilevamento delle anomalie, invece di affidarsi solo al filtraggio basato sulle firme. Le soluzioni che segnalano comportamenti insoliti del mittente, tipi di allegato inattesi o schemi di richiesta atipici aggiungono un livello di difesa decisivo.
Attiva una formazione continua per i dipendenti
Il tuo personale resta la prima e l’ultima linea di difesa. È essenziale una formazione regolare, basata su scenari, che includa esempi di phishing generato dall’AI. Le simulazioni di phishing vanno fatte almeno ogni trimestre, con particolare attenzione ai ruoli di amministrazione e finanza, risorse umane e assistenza alla direzione. Secondo ENISA, le organizzazioni che svolgono formazione periodica sulla consapevolezza della sicurezza riducono fino al 60% gli attacchi di phishing riusciti.
Imponi l’autenticazione a più fattori e lo zero trust
L’autenticazione a più fattori (MFA) dovrebbe essere obbligatoria su tutte le applicazioni aziendali, in particolare posta elettronica, piattaforme bancarie e strumenti di accesso remoto. Adottare un approccio zero trust, in cui nessun utente o dispositivo è considerato attendibile in automatico, limita in modo significativo i danni che può causare un attacco di phishing andato a buon fine.
Definisci un piano di risposta agli incidenti
Ogni PMI dovrebbe avere un piano di risposta agli incidenti documentato e testato. Il piano dovrebbe includere procedure di escalation chiare, i recapiti del tuo fornitore IT o del servizio di sicurezza gestito, le procedure di notifica secondo le tempistiche della NIS2 e del GDPR e simulazioni periodiche a tavolino di scenari di attacco guidati dall’AI.
Monitora il dark web e i feed di threat intelligence
Valuta l’abbonamento a servizi di threat intelligence che monitorano i marketplace clandestini e i canali Telegram in cui si commerciano strumenti come GhostGPT. Conoscere in anticipo le nuove tecniche di attacco dà alla tua organizzazione il tempo di adattare le difese prima che vengano usate su larga scala.
La strada davanti alle PMI esposte alle minacce basate sull’AI
GhostGPT non è un fenomeno isolato. Fa parte di una tendenza più ampia in cui l’intelligenza artificiale amplifica sia le capacità difensive sia quelle offensive della cybersecurity. Strumenti come WormGPT e FraudGPT l’hanno preceduto e inevitabilmente arriveranno successori più sofisticati.
Il punto da portare a casa per gli imprenditori europei è semplice: gli attacchi rivolti alla tua organizzazione stanno diventando più convincenti, più personalizzati e più difficili da individuare con i mezzi tradizionali. Le aziende che investono ora in sicurezza a più livelli, consapevolezza dei dipendenti e conformità normativa saranno molto meglio attrezzate per resistere a questa nuova generazione di minacce.
Aspettare non è una strategia. I criminali, di certo, non aspettano.