Stregoneria oscura: pagine web avvelenate, 374 marchi e risposte che nessuno ha verificato

Il 23 settembre 2026 la società di sicurezza Vigilance Security ha pubblicato una ricerca che descrive una campagna attiva da essa denominata Dark Sourcery: gli attaccanti inondano il web aperto con post ottimizzati, PDF, recensioni e false pagine di assistenza affinché ChatGPT, Google Gemini e Google AI Overviews restituiscano numeri di telefono, indirizzi email e pagine di accesso fraudolenti come recapiti ufficiali di un'azienda. Dark Reading ha riportato la ricerca lo stesso giorno, citando Delta, Lufthansa, Qatar Airways, Chase, Bank of America, Airbnb e TripAdvisor tra almeno 374 aziende coinvolte, con decine di migliaia di pagine dannose alle spalle. Nessun modello è stato violato — le pagine avvelenate erano semplicemente ciò che i modelli leggevano, e la frode arrivava con la credibilità stessa dell'assistente. Questo record è una voce in the OrcaRouter AI Incident Archive, che tiene traccia di incidenti AI e risultati di ricerca con gli stessi campi usati qui: gravità, affidabilità, stato contestato e danno reale.

Che cosa ha effettivamente pubblicato Vigilance Security

La ricerca è un post su Medium di Ariel Simon, vicepresidente della ricerca presso Vigilance, intitolato "Dark Sourcery: How Hackers Manipulate AI to Scam You", pubblicato il 23 settembre 2026. Il resoconto di Dark Reading, a firma della scrittrice collaboratrice Elizabeth Montalbano e con marca temporale 14:47 UTC di quel giorno, rimanda direttamente ad esso e cita Simon in tutto l'articolo. Il post descrive un'operazione di contenuti più che un exploit: nessuna vulnerabilità viene sfruttata, nessuna credenziale viene rubata direttamente dall'attaccante e nulla viene inviato a un modello che un modello potrebbe imparare a rifiutare.

Vigilance afferma di aver identificato «decine di migliaia di pagine malevole» contenenti falsi numeri di assistenza, indirizzi email, pagine di accesso, informazioni sugli aggiornamenti software e altri dettagli fraudolenti, creati per influenzare ciò che dicono i chatbot. Stima che il numero di aziende coinvolte sia «almeno 374», descritte come comprendenti organizzazioni della Fortune 100, importanti compagnie aeree, banche, società di viaggi e fornitori di software. I marchi citati nel rapporto di Dark Reading sono Delta, Lufthansa, Qatar Airways, Chase, Bank of America, Airbnb e TripAdvisor.

Né il post di ricerca né i resoconti che ne sono seguiti forniscono una ripartizione per marca – quale numero falso appartenesse a quale azienda, quante pagine avvelenate fossero state indirizzate a ciascuna, o quando sia stata pubblicata ogni singola pagina. La cifra 374 è presentata come un totale, e il documento la riporta allo stesso modo.

Simon cita anche uno studio di Exploding Topics, pubblicato nell'agosto 2026, secondo cui il 91% delle persone che utilizzano chatbot AI non verifica le risposte fornite. Quel numero è la premessa della campagna più che la sua misurazione: è citato nella ricerca e ripetuto da Dark Reading e IANS, e la sua stessa metodologia non è descritta in nessuna delle fonti esaminate qui. Nella formulazione di Simon, «se gli attaccanti controllano l'IA e noi ci fidiamo ciecamente di essa, in pratica ci controllano».

Come viene costruito l'avvelenamento

Il meccanismo ha tre parti, e solo la prima appartiene all’attaccante in qualsiasi senso convenzionale. Primo, seminare il web con pagine che riportano il falso dettaglio di contatto. Secondo, far sembrare che quelle pagine provengano da una fonte di cui un sistema di recupero delle informazioni dovrebbe fidarsi. Terzo, lasciare che sia l’assistente a occuparsi delle citazioni.

Il secondo passo è quello su cui Vigilance concentra la maggior parte della propria enfasi. «Sospettiamo che i domini ad alta autorità (università, governo) combinati con fonti di opinione pubblica (social media, forum, recensioni degli utenti) abbiano ottenuto un alto tasso di successo nell'avvelenare le risposte dell'IA», ha dichiarato Simon a Dark Reading. «A seconda del modello, l'IA esamina la fonte e si fida maggiormente del contenuto se proviene da un'entità autorevole». Questa è una descrizione della reputazione presa in prestito: una pagina universitaria compromessa o abusata fornisce l'autorità, e una serie sparsa di post nei forum e recensioni fornisce l'apparenza che l'affermazione sia corroborata altrove.

Ground Truth, una testata che verifica le affermazioni dell'IA confrontandole con le relative fonti, ha riassunto le tattiche di seeding elencate nel post di Simon: lo stesso contatto falso, o uno simile, diffuso attraverso post generati dagli utenti, PDF, pagine ospitate, recensioni, piattaforme di raccolta fondi e di lavoro e contenuti in stile domande e risposte; dettagli ottimizzati per il recupero con formattazione e frasi ripetute come "24/7" e "aggiornato 2026"; e lo stesso numero di telefono reso con spazi, punti, emoji, caratteri Unicode simili o parole scritte per esteso. Quest'ultima tecnica svolge un duplice compito: elude il rilevamento di stringhe duplicate mentre un modello continua comunque a leggere un unico numero. Ground Truth descrive l'obiettivo con precisione: non una pagina virale, ma "l'apparenza di una corroborazione indipendente".

L'articolo di GIGAZINE sulla ricerca offre un esempio concreto: un post e un'immagine falsificati di assistenza per stampanti HP che riportavano un numero di telefono non appartenente a HP. È un esempio dello schema piuttosto che un caso verificato, e la testata lo attribuisce alla ricerca di Vigilance anziché a un'indagine propria.

Non si tratta di prompt injection — ma è stato archiviato come tale

La distinzione è importante, e Simon la traccia esplicitamente. Dark Reading lo cita dicendo che la campagna si differenzia dal prompt injection «in quanto non prevede che l'attaccante dia all'IA istruzioni o prompt espliciti, che potrebbero essere sventati dalle difese dell'IA». La sua formulazione più incisiva: «Qui, la disinformazione presentata come fatti induce l'IA a rispondere all'utente con le informazioni false, senza mai seguire alcuna istruzione/prompt da parte dell'attaccante, aggirando essenzialmente tutte le difese».

Si differenzia anche dall'avvelenamento dei dati di addestramento, che corrompe ciò che un modello ha appreso prima della distribuzione. Tutto qui avviene al momento del recupero, contro il web in tempo reale, dopo il rilascio del modello — ecco perché nessun riaddestramento lo risolve e perché la pagina avvelenata può essere rimossa senza che la risposta cambi necessariamente.

L'archivio classifica questo record sotto IPI, il suo tag indirect-prompt-injection. Leggete attentamente: il tag e la ricerca descrivono aspetti adiacenti: IPI copre i contenuti che raggiungono un modello indirettamente, all'interno di materiale che al modello viene chiesto di elaborare, anziché digitati dal suo utente. Dark Sourcery è quel canale con l'istruzione rimossa: il payload è un fatto, non un comando. Il tag è una decisione di archiviazione sul canale; il resoconto di Simon è un'affermazione sul payload, e i due non sono in conflitto. Ciò che il tag non deve essere letto come è un'asserzione che sia stato recapitato un prompt dell'attaccante, perché secondo il resoconto stesso della ricerca non ne è stato recapitato alcuno.

Cosa stabilisce il verbale, e cosa non stabilisce

L'archivio assegna a questo record il grado B — documentato, ma da una fonte unica o secondaria — e quel grado è la cosa più utile che contiene. Nulla nella documentazione esaminata qui contraddice la ricerca. Il problema non è la contraddizione; è che la catena di prove è larga quanto un singolo documento.

• Accertato: Vigilance Security ha pubblicato la ricerca il 23 settembre 2026 a nome di Simon, e in essa vengono formulate le affermazioni descritte sopra — le 374 aziende, le decine di migliaia di pagine, i marchi citati, il meccanismo, la tattica dell'autorità presa in prestito.

• Stabilito: la ricerca è stata ripresa lo stesso giorno da Dark Reading e, nel giro di cinque giorni, da IANS (24 settembre), GIGAZINE e Ground Truth (25 settembre), NEWSru.co.il citando la testata israeliana Israel Defense (27 settembre), nonché dalle pagine di ricerca del fornitore di Aviatrix (23 settembre) e Kronus Intelligence Group (28 settembre).

• Non dimostrato da ciò: verifica indipendente. Ognuno di quegli articoli risale al post di Simon o al resoconto che ne ha fatto Dark Reading, quindi diffondono le affermazioni anziché verificarle. Il secondo URL citato dall'archivio stesso, bestsec.net, è un digest di notizie sulla cybersicurezza che viene aggiornato quotidianamente; il 26 ottobre 2026 la sua pagina iniziale non conteneva alcun elemento su Dark Sourcery, perciò l'articolo di Dark Reading è la citazione duratura.

• Non stabilito: la scala. Ground Truth afferma chiaramente che "le affermazioni della divulgazione relative a 374 aziende colpite e a decine di migliaia di pagine non sono state verificate in modo indipendente" e che non è stato rilasciato alcun dataset pubblico, corpus di pagine malevole o registro delle query riproducibile. L'analisi del 28 settembre di Kronus Intelligence Group giunge alla stessa conclusione e propone un'etichetta utile: descrivere il meccanismo come stabilito e la scala come "riportata ma non verificata".

• Non stabilito: riproducibilità, secondo gli stessi ricercatori. Ground Truth riporta che Simon ha descritto i risultati come statistici e ha detto che non si riproducevano ogni volta che veniva eseguita una query. Questa è una proprietà ordinaria dei sistemi aumentati dal recupero — classifiche, versioni dei modelli, posizione, tempistica e formulazione cambiano tutti — ed è anche il motivo per cui il risultato non poteva essere dimostrato su richiesta.

Non stabilito: l’entità del danno. L’archivio documenta la presenza di un danno reale, e la base su cui si fonda è esigua. Simon ha detto a Dark Reading che Vigilance aveva visto "alcuni episodi" di persone che si lamentavano di essere state truffate e indotte a fornire dati di pagamento o dati della carta di pagamento da numeri fraudolenti forniti nelle risposte del chatbot. I ricercatori hanno anche chiamato direttamente alcuni dei numeri falsi e hanno contattato un rappresentante che si è offerto di "spostare il nostro volo" o "sbloccare il nostro conto bancario", per poi chiedere i dati della carta. Nessuna vittima viene nominata, nessuna perdita viene quantificata e non viene citata alcuna denuncia o azione di contrasto.

• Non contestato: {{1}}l'archivio registra la voce come non contestata, e ciò regge{{/1}} — le questioni aperte nella trattazione sono omissioni nell'informativa, non disaccordi con essa.

Che cosa hanno detto le due piattaforme

Secondo NEWSru.co.il, citando Israel Defense, i ricercatori hanno segnalato il comportamento a entrambi i fornitori. La posizione riportata di Google era che questo tipo di disinformazione esula dall'ambito del suo programma di segnalazione delle vulnerabilità. Secondo quanto riportato, OpenAI ha chiuso il report perché i risultati non potevano essere riprodotti in modo affidabile, data la variabilità delle risposte dei modelli linguistici. Entrambi i riepiloghi sono parafrasi: l'articolo non nomina alcun portavoce di nessuna delle due aziende, non fornisce citazioni dirette e non data le risposte.

Nessuna delle due risposte nega che le risposte avvelenate esistano. Lette come decisioni di triage anziché come confutazioni, entrambe sono almeno internamente coerenti — un bug bounty è pensato per premiare un difetto riproducibile nel codice, e questo non è né riproducibile su richiesta né un difetto nel codice. La pagina avvelenata si trova sul sito web di qualcun altro. Ciò che lo scambio dimostra è una lacuna: il danno è abbastanza reale da produrre vittime e il comportamento è abbastanza variabile da fallire un test di riproduzione, quindi si colloca nello spazio tra “vulnerabilità di sicurezza” e “problema di contenuto”, dove non c’è alcun canale di segnalazione ad attenderlo.

Né OpenAI né Google avevano confermato o smentito pubblicamente il dato delle 374 aziende al momento dell’analisi di Kronus del 28 settembre, e nessuna dichiarazione di nessuna delle due società compare in alcuno dei resoconti esaminati qui.

Cosa è cambiato in seguito

Non è stato annunciato alcun cambiamento della piattaforma in risposta. La campagna è stata descritta come in corso al momento della pubblicazione, il 23 settembre, e la valutazione dello stesso Simon è che il conteggio non è completo: "Riteniamo che il vero impatto di queste truffe si stia verificando ora e che non siamo ancora in grado di comprendere o misurare appieno il loro impatto complessivo."

Quello che esiste, invece, sono consigli. Le raccomandazioni di Simon, come riportato da Dark Reading, si articolano in tre direzioni. Per gli utenti: verificare ciò che un assistente ti dice invece di considerarlo infallibile. Per i marchi: prendere sul serio le lamentele dei clienti riguardo alle truffe, monitorare le risposte dell'AI che i clienti ricevono effettivamente e le fonti che tali risposte citano, e dare priorità alle categorie in cui un numero errato è costoso — assistenza, recupero account, rimborsi, pagamenti e download di software. Per le organizzazioni che gestiscono agenti: monitorare durante l'esecuzione, verificare ogni fonte e ogni contenuto che entra nel contesto del modello, e controllare i dettagli critici — numeri di telefono, link, pacchetti software, righe di comando — prima di agire su di essi. La fase di confronto che suggerisce è deliberatamente manuale: "Confrontare i numeri di telefono, gli indirizzi email e gli URL restituiti con i dati aziendali verificati, poi investigare dettagli insoliti e indicatori ricorrenti su siti web non correlati."

IANS ha sottoposto lo stesso consiglio alla revisione della propria faculty, con Josh More che colloca la campagna in una linea di continuità — «Lo vediamo sui motori di ricerca da anni» — e George Gerchow che condensa il meccanismo in una frase da ricordare: «Nessuno è entrato nel modello. Hanno seminato le fonti di cui si fida e lo hanno lasciato parlare. Il chatbot non è stato hackerato; è stato nutrito». Le raccomandazioni della faculty di IANS aggiungono il monitoraggio del marchio e limiti all'autonomia degli agenti ai consigli sulla verifica, e nessuna di esse costituisce una soluzione.

Perché vale la pena conservare il documento

Il poisoning dei risultati di ricerca è roba vecchia. Ciò che questo record descrive è il punto in cui il risultato di ricerca ha smesso di essere ciò che l'utente vede. Nella versione convenzionale, una vittima approda su una pagina, e la pagina è la prova: scritta male, ospitata in modo strano, visibilmente non la banca. Qui la pagina non viene mai visualizzata. Un modello la legge, le dà ragione e scrive una frase che inizia con il nome del brand e finisce con il numero dell'attaccante. La citazione può esserci, ma il giudizio che una citazione normalmente supporta è già stato formulato da qualcosa che non si stanca né diventa sospettoso.

È anche per questo che il grado di affidabilità della registrazione sta svolgendo un lavoro reale anziché di semplice routine. Il meccanismo non è seriamente in dubbio — è così che vengono costruiti i sistemi aumentati dal recupero, e gli analisti di settore che ne hanno scritto lo hanno considerato plausibile a prima vista. La scala è in dubbio, e lo resterà finché qualcuno non rilascerà un corpus o un registro delle query. La misurazione di una singola azienda, diffusa da testate che citano tutte lo stesso post, è un motivo per registrare l'incidente e un motivo per non ripetere il numero come se fosse stato contato due volte.

L'inquadramento dell'archivio stesso la colloca ad alta gravità, con coinvolgimento dell'IA confermato, danno reale registrato e nessuna contestazione allegata. Ciò che la voce documenta davvero è un trasferimento di fiducia: la reputazione del marchio è la materia prima, la scorrevolezza dell'assistente è il meccanismo di erogazione, e la fase di verifica che avrebbe potuto intercettarlo è quella che, secondo quanto si dice, il 91% degli utenti salta.