Sikkerhedshul i ChatGPT gav hackere adgang til Gmail

En nylig sårbarhed i ChatGPT gjorde det muligt for angribere at stjæle private oplysninger fra brugernes forbundne Gmail-konti

15. september 2026 Lars Bennetzen Nyheder, Nyhedsbrev, Sikkerhed, Tophistorier
Illustration: Gemini (AI)

Sårbarheden, som nu er lukket, blev opdaget af forskere fra Check Point Research. Fejlen lå i ChatGPTs interne infrastruktur og gjorde det muligt at etablere en skjult kommunikationskanal mellem to ellers fuldstændig adskilte ChatGPT-konti.

Angrebet krævede ikke direkte adgang til offerets indbakke. I stedet skulle brugeren lokkes til at interagere med en manipuleret prompt, en delt ChatGPT-samtale eller en specialbygget GPT.

Når brugeren skrev en besked i den kompromitterede samtale, fungerede AI-assistenten præcis som forventet udadtil, men i baggrunden udførte den en skjult instruks. Havde brugeren forbundet sin Gmail til ChatGPT, kunne systemet trække data ud af indbakken og videresende informationerne til angriberen. Det eneste synlige bevis på dataudtrækket var en lille notifikation med teksten “Talked to Gmail”, som dukkede op over svaret.

Eksemplet viser med al tydelighed, hvilke risici der opstår, når AI-assistenter får adgang til stadig flere dele af vores digitale liv. I forsøget var det mails, men det kunne lige så godt være fortrolige dokumenter, kildekode eller kritiske virksomhedsdata. Jo mere adgang vi giver AI-assistenterne, desto mere attraktive bliver de også som mål for angribere. Fremover bliver det derfor mindst lige så vigtigt at beskytte, hvad AI må gøre på vores vegne, som at beskytte vores egne loginoplysninger.

Balder Borup, Security Engineer Team Leader hos Check Point Software Technologies i Danmark

Metoden demonstrerer en voksende it-sikkerhedsudfordring, hvor kunstig intelligens udnyttes som en manipuleret insider. Selve sprogmodellen er ikke ondsindet, men den kan instrueres i at misbruge de adgange og rettigheder, den rettmæssige bruger allerede har tildelt den.

Det er ikke længere nok, at virksomheder har styr på hvilke AI-værktøjer medarbejderne bruger, det er også en nødvendighed at kortlægge, hvad de enkelte værktøjer har adgang til. En AI-assistent bør i praksis behandles som enhver anden bruger i systemet og kun have adgang til de data, der er nødvendige, for at den kan udføre en opgave.

Balder Borup, Security Engineer Team Leader hos Check Point Software Technologies i Danmark

Del artiklen på

Relaterede Artikler

Ingen billede
Nyheder fra gl. site

Smartphones med præ-installeret malware

17. marts 2017 Lars Bennetzen Nyheder fra gl. site, Nyhedsbrev, Tophistorier
Når det kommer til Android-enheder, så er malware ikke noget nyt, der findes rigtig mange apps der indeholder både ransomware som keyloggers og meget mere. Men at din smartphone nu kommer med malware installeret inden du pakker den ud er noget helt nyt. Men det israelske it-sikkerhedsfirma, Check Point, har nu fundet 38 forskellige Android smartphones og tablets fra forskellige Android-producenter. Naturligvis er de ondsindede apps ikke en del af den officielle ROM og digitale hukommelse, men er blevet tilføjet senere i løbet af enhedens produktion. Hovedparten af den præinstallerede malware på telefonerne er lavet til at stjæle information og indgå i reklamenetværk, som malwaren Loki, der viser uautoriserede reklamer til at skaffe omsætning til bagmændene. Eksperterne opdagede også en mobil ransomware under navnet Slocker, der potentielt kan forhindre adgang til telefonen og dens filer gennem kryptering mod opkrævning af løsepenge. Check Points eksperter var både i stand til at fastslå, hvornår fabrikanten færdiggjorde installationen af de originale systemapplikationer på enheden, hvornår den skadelige malware blev installeret og hvornår brugeren i sidste ende modtog enheden. Check Point ønsker dog ikke at oplyse, hvem der er der har installeret den skadelige malware. De har informeret producenterne, og så er det op til dem at tage aktion. Samtidig ønsker de heller ikke at oplyse mærker eller modeller på de inficerede modeller, så vi må håbe at de inficerede mærker er trykket tilbage. Risikoen ved præinstalleret malware Som en generel tommelfingerregel bør brugere forsøge at undgå risikable hjemmesider og kun downloade apps, de …. (læs mere her)
Business

E-mail-angreb driller nordiske virksomheder

21. marts 2023 Lars Bennetzen Business, Nyheder fra gl. site, Nyhedsbrev, Sikkerhed, Tophistorier
Nordiske virksomheder føler sig dårligt forberedt på at håndtere e-mail-baserede angreb som insidertrusler og lateral phishing angreb. Det viser tal fra en ny undersøgelse foretaget af analysefirmaet Vanson Bourne på vegne af Barracuda Networks. Undersøgelsen er baseret på svar fra IT-professionelle med ledelsesstillinger i virksomheder med 100 til 2.500 ansatte i en række forskellige brancher i USA, EMEA- og APAC-landene. Et lateral phishing angreb er et angreb, hvor hackeren kommer ind i organisationen via en overtaget e-mailkonto og herefter sender phishing e-mails til nære kontakter. De har ofte en høj succesrate, da de ser ud til at komme fra en betroet kollega eller partner. Denne type phishing er normalt et internt angreb, hvilket betyder, at en e-mail-gateway ikke vil opdage angrebet.  Virksomheder i Australien er ifølge rapporten bedst klædt på til at håndtere angreb. Her angiver mindre end en femtedel (19 pct.), at de er dårligt forberedt på denne type cyberangreb. Det er lidt lavere end i USA, som ligger tæt efter med 20 pct.  Det er naturligvis alvorligt, når så stor en andel af de nordiske virksomheder ikke mener, at de er i stand til at håndtere insidertrusler. Mange tror fejlagtigt, at insidertrusler primært kommer fra utilfredse medarbejdere. Hackerne finder også vej via medarbejdere, der er modtagelige for påvirkning fra cyberkriminelle, og medarbejdere, der ikke følger sikkerhedsprocedurerne, og som er blevet kompromitteret uden at vide det. Peter Graymon, chef for Barracuda Networks i Norden Forsikring dækker ikke dårligt omdømme  Ifølge undersøgelsen angiver 80 pct. af de nordiske virksomheder, at …. (læs mere her)
Nyheder fra gl. site

Ny sikkerhedsbrist gør din smartphone sårbar overfor SMS-phishingangreb

5. september 2019 Lars Bennetzen Nyheder fra gl. site, Nyhedsbrev, Sikkerhed, Tophistorier
Check Point Software Technologies har opdaget en ny sikkerhedsbrist, der gør brugere af Android smartphones sårbar overfor SMS-phishingangreb. Sikkerhedsfejlen kan potentielt have ramt alle, der benytter en Android smartphone fra mærker som Samsung, Huawei, LG og Sony. Phishingangreb er, når hackere forsøger at narre godtroende internetbrugere til at frigive deres brugernavn, adgangskode, kreditkort eller netbanksoplysninger, fx i form af sms’er og mails. De berørte Android telefoner bruger over-the-air (OTA), hvorigennem mobilnetværksoperatører kan distribuere netværksspecifikke indstillinger til en ny telefon, der slutter sig til deres netværk. Check Point Research fandt imidlertid ud af, at industristandarden for OTA, Open Mobile Alliance Client Provisioning (OMA CP), indeholder begrænsede godkendelsesmetoder. Ondsindede hackere kan udnytte dette til at fremstå som netværksoperatører, og sende vildledende OMA CP-meddelelser til brugere. Meddelelsen narrer herigennem brugere til at acceptere ondsindede indstillinger, der for eksempel dirigerer deres internettrafik gennem en proxyserver, der er ejet af en hacker. Forskere fra Check Point konstaterede, at visse Samsung telefoner er mest sårbare over for denne form for SMS-phishingangreb, idet de ikke har en godkendelsesproces, der afgør om afsenderen af OMA CP-meddelelserne er ægte. Brugeren behøver kun at acceptere CP-meddelelserne, hvorefter den ondsindede software bliver installeret. Huawei, LG og Sony telefoner har, modsat Samsung, en form for godkendelsesproces. Den kan dog let omgås af hackere, idet hackeren kun har brug for brugerens internationale mobilabonnentsidentitet (IMSI), for at få bekræftet deres identitet og derved omgå godkendelsesprocessen. Hackerne kan tilgå en brugers IMSI på flere forskellige måder, herunder oprette en Android-app, der læser telefonens IMSI, når …. (læs mere her)