GPT falso no ChatGPT.com instala RAT em pelo menos 40 vítimas

A empresa de cibersegurança Huntress identificou uma campanha de malware que usa o recurso de Custom GPTs do próprio ChatGPT como isca para instalar um trojan de acesso remoto (RAT) em computadores Windows. Segundo o relatório publicado pela Huntress, os criminosos criaram um Custom GPT batizado de "Plus 5.6", hospedado dentro do próprio domínio oficial chatgpt.com, e o promoveram por meio de anúncios pagos no Google que apareciam no topo dos resultados de busca por "ChatGPT". A equipe de resposta a incidentes da Huntress já atendeu pelo menos 40 casos ligados a essa campanha.

O golpe funciona em cadeia. Ao abrir o GPT falso e enviar qualquer mensagem, a vítima recebe um aviso dizendo que o domínio principal do ChatGPT está com "disponibilidade limitada" e que deveria acessar um "domínio alternativo" para continuar usando o serviço. Esse link leva a uma página hospedada no Google Sites, disfarçada de verificação de segurança da Cloudflare, que instrui o usuário a copiar um comando e colar na janela "Executar" do Windows, uma técnica conhecida no setor como "ClickFix". Esse comando baixa um script que instala, de forma silenciosa, um executável assinado digitalmente (associado à Canon) ao lado de uma biblioteca maliciosa, que por sua vez extrai um carregador escondido dentro de um arquivo de áudio .wav, até finalmente executar o RAT completo. A OpenAI removeu o Custom GPT original em 25 de setembro, depois do alerta da Huntress, mas os atacantes já criaram uma segunda versão com o mesmo nome dois dias depois.

Como o "ClickFix" se tornou a porta de entrada favorita dos golpistas

A técnica ClickFix não é exclusiva desse caso: ela se popularizou nos últimos dois anos justamente porque engana um dos reflexos de segurança mais comuns do usuário comum, a desconfiança de arquivos executáveis. Em vez de pedir para a vítima baixar e abrir um programa, o que boa parte dos antivírus e do bom senso já associa a risco, o ataque pede para a pessoa copiar e colar um comando de texto em uma janela do próprio sistema operacional, um gesto que parece inofensivo e tecnicamente "normal" demais para levantar suspeita. O RAT final instalado nessa campanha, segundo a Huntress, tem recursos avançados: permite sessões de área de trabalho remota e transmissão de tela em tempo real, acesso à câmera, ao microfone e ao áudio do sistema, além de um gerenciador de arquivos embutido com busca avançada, o que dá ao criminoso controle quase total sobre a máquina infectada.

O caso também expõe uma fragilidade específica do ecossistema de Custom GPTs, o recurso que permite qualquer usuário publicar uma versão personalizada do ChatGPT dentro do próprio domínio oficial da OpenAI. Como o GPT falso roda em chatgpt.com, ele herda uma camada extra de credibilidade visual que um site qualquer não tem, e o fato de a página identificar seu criador apenas como um "community builder" (construtor da comunidade) passa despercebido pela maioria dos usuários apressados. Esse tipo de abuso de infraestrutura legítima não é isolado: em agosto, a Cisco Talos já havia documentado uma campanha de malware que usava agentes de IA autônomos para se disfarçar de tráfego legítimo, mostrando como ferramentas de IA, legítimas ou maliciosas, vêm sendo cada vez mais incorporadas à infraestrutura de ataque.

Por que isso importa para você

Se você usa o ChatGPT no trabalho ou no próprio negócio, o ponto prático desta notícia é que o perigo não está em usar a ferramenta oficial, mas em confiar demais em qualquer coisa que pareça estar "dentro" dela. Um Custom GPT publicado por terceiros não passa pelo mesmo nível de revisão que os modelos oficiais da OpenAI, e o simples fato de estar hospedado em chatgpt.com não garante que seja seguro. A regra prática que vale para qualquer funcionário ou empreendedor brasileiro é nunca copiar e colar comandos recebidos de um chatbot, de um link de busca patrocinado ou de uma mensagem urgente dizendo que um serviço "está fora do ar" e que existe um "link alternativo", porque essa combinação de urgência artificial mais instrução técnica é exatamente o padrão que ataques ClickFix exploram.

Para quem administra computadores de uma equipe ou terceiriza suporte de TI, vale também revisar com calma o nosso checklist de como escolher ferramenta de IA com segurança, que ajuda a separar o que é uma ferramenta oficial validada do que é apenas uma camada de terceiros rodando por cima, sem o mesmo nível de garantia. Isso vale tanto para Custom GPTs quanto para extensões de navegador, plugins e qualquer coisa que peça permissão de acesso ao sistema em nome de uma IA "mais rápida" ou "sem fila".

Um padrão que já apareceu em golpes de voz e agora chega ao desktop

Essa campanha se encaixa num padrão mais amplo de golpes que usam o prestígio e a confiança em marcas de IA para baixar a guarda da vítima. Em maio, um banco italiano perdeu cerca de € 95 milhões em uma fraude que usou clonagem de voz por IA para se passar por um executivo da própria instituição, e relatórios recentes de segurança, como o DBIR 2026 da Verizon, já apontavam que abordagens por voz e texto convencem até 40% mais vítimas do que o phishing tradicional por e-mail, justamente porque soam ou parecem mais "oficiais". O caso do ChatGPT falso é a versão desktop dessa mesma lógica: usar a legitimidade de uma marca de IA conhecida para reduzir a desconfiança do usuário antes do golpe técnico propriamente dito.

A velocidade de reação dos atacantes também chama atenção: dois dias depois de a OpenAI remover o primeiro Custom GPT malicioso, uma segunda versão idêntica já estava ativa. Isso mostra que a moderação reativa, agir depois que um pesquisador de segurança denuncia um caso específico, dificilmente vai conseguir acompanhar o ritmo de recriação desses golpes, o que reforça a importância de cada usuário desenvolver seus próprios reflexos de desconfiança, em vez de depender só da curadoria da própria OpenAI.

O que fazer se você já colou algum comando suspeito

Quem seguiu instruções parecidas com as descritas aqui, mesmo sem saber ao certo o que o comando fez, deve tratar a máquina como potencialmente comprometida: desconectar da internet, trocar senhas de contas importantes a partir de outro dispositivo limpo e, se possível, formatar o computador ou chamar suporte técnico especializado em resposta a incidentes. Vale também desconfiar de qualquer aviso de "instabilidade" ou "domínio alternativo" vindo de dentro de um chatbot, pedir para um colega de TI validar antes de agir, e manter o hábito de digitar o endereço do ChatGPT direto na barra do navegador em vez de clicar em anúncios patrocinados de busca, já que foi exatamente esse caminho que levou as primeiras vítimas até o golpe.