Infractorii cibernetici exploatează instrumente AI precum ChatGPT pentru a crea atacuri de phishing mai convingătoare, alarmând experții în securitate cibernetică

Dacă ați observat o creștere a e-mailurilor cu aspect suspect în ultimul an și ceva, s-ar putea datora parțial unuia dintre chatboții noștri AI favoriți - ChatGPT. Știu - mulți dintre noi am avut conversații intime și private în care am aflat despre noi înșine cu ChatGPT și nu vrem să credem că ChatGPT ne-ar ajuta să ne înșelem.

Potrivit firmei de securitate cibernetică SlashNext, ChatGPT și cohortele sale de inteligență artificială sunt folosite pentru a difuza e-mailuri de phishing într-un ritm accelerat. Raportul se bazează pe expertiza în amenințări a companiei și a chestionat peste trei sute de profesioniști în securitate cibernetică din America de Nord. Și anume, se susține că e-mailurile rău intenționate de phishing au crescut cu 1.265% - în special phishing-ul de acreditări, care a crescut cu 967% - începând cu al patrulea trimestru al anului 2022. phishingul de acreditări vizează informațiile dvs. personale, cum ar fi numele de utilizator, ID-urile, parolele sau codurile personale prin uzurparea identității unui persoană, grup sau organizație de încredere prin e-mailuri sau un canal de comunicare similar.

Actorii rău intenționați folosesc instrumente generative de inteligență artificială, cum ar fi ChatGPT, pentru a compune mesaje de phishing clare și specifice. Pe lângă phishing, mesajele de compromitere a e-mailurilor de afaceri (BEC) sunt un alt tip comun de înșelătorie cibernetică, având ca scop fraudarea finanțelor companiilor. Raportul concluzionează că aceste amenințări alimentate de inteligență artificială cresc cu o viteză vertiginoasă, crescând rapid în volum și cât de sofisticate sunt.

Raportul indică faptul că atacurile de phishing au fost în medie de 31.000 pe zi și aproximativ jumătate dintre profesioniștii în securitate cibernetică intervievați au raportat că au primit un atac BEC. Când vine vorba de phishing, 77% dintre acești profesioniști au raportat că au primit atacuri de phishing.

Experții cântăresc

CEO-ul SlashNext, Patrick Harr, a transmis că aceste descoperiri „solidifică îngrijorările cu privire la utilizarea AI generativă, contribuind la o creștere exponențială a phishingului”. El a explicat că tehnologia generativă de inteligență artificială le permite infractorilor cibernetici să supraalimenteze cât de repede lansează atacurile, sporind în același timp varietatea atacurilor lor. Ele pot produce mii de atacuri concepute social cu mii de variații - și trebuie să te îndrăgostești doar de una.

Harr continuă să arate cu degetul către ChatGPT, care a cunoscut o creștere importantă spre sfârșitul anului trecut. El presupune că roboții generativi de inteligență artificială au făcut ca începătorilor să intre mult mai ușor în jocul de phishing și escrocherie și au devenit acum un instrument suplimentar în arsenalul celor mai pricepuți și mai experimentați - care își pot extinde acum și își pot viza mai mult atacurile. uşor. Aceste instrumente pot ajuta la generarea de mesaje mai convingătoare și formulate mai persuasiv, despre care escrocii speră că vor phishing oamenii imediat.

Chris Steffen, director de cercetare la Enterprise Management Associates, a confirmat acest lucru atunci când a vorbit cu CNBC, afirmând: „Au dispărut vremurile „Prințului Nigeria””. El a continuat să extindă că e-mailurile au acum „un sunet extrem de convingător și legitim”. Actorii răi îi imită în mod persuasiv și îi uzurmă pe alții în ton și stil, sau chiar trimit corespondență cu aspect oficial, care pare să provină de la agenții guvernamentale și furnizori de servicii financiare. Ei pot face acest lucru mai bine decât înainte, folosind instrumente AI pentru a analiza scrierile și informațiile publice ale persoanelor sau organizațiilor pentru a-și personaliza mesajele, făcând ca e-mailurile și comunicările lor să pară adevărate.

În plus, există dovezi că aceste strategii au deja profit pentru actorii răi. Harr se referă la Internet Crime Report al FBI, unde se presupune că atacurile BEC au costat afacerile în jur de 2,7 miliarde de dolari, împreună cu pierderi de 52 de milioane de dolari din cauza altor tipuri de phishing. Moartea maternă este profitabilă, iar escrocii sunt motivați și mai mult să-și multiplice eforturile de phishing și BEC.

Ce va fi nevoie pentru a submina amenințările

Unii experți și giganți tehnologici resping, Amazon, Google, Meta și Microsoft s-au angajat că vor efectua teste pentru a combate riscurile de securitate cibernetică. Companiile folosesc, de asemenea, inteligența artificială în mod defensiv, folosind-o pentru a-și îmbunătăți sistemele de detectare, filtrele și altele. Harr a reiterat că cercetările SlashNext subliniază totuși că acest lucru este complet garantat, deoarece infractorii cibernetici folosesc deja instrumente precum ChatGPT pentru a pune în aplicare aceste atacuri.

SlashNext a găsit un anumit BEC în iulie care a folosit ChatGPT, însoțit de WormGPT. WormGPT este un instrument de criminalitate cibernetică care este mediatizat ca „o alternativă de pălărie neagră la modelele GPT, concepută special pentru activități rău intenționate, cum ar fi crearea și lansarea de atacuri BEC”, potrivit Harr. Un alt chatbot rău intenționat, FraudGPT, a fost, de asemenea, raportat că circulă. Harr spune că FraudGPT a fost promovat ca un instrument „exclusiv” conceput pentru fraudatori, hackeri, spammeri și persoane similare, oferind o listă extinsă de caracteristici.

O parte a cercetării SlashNext a vizat dezvoltarea „jailbreak-urilor” AI, care sunt atacuri concepute destul de ingenios asupra chatbot-urilor AI care, atunci când sunt introduse, provoacă eliminarea barajelor de siguranță și legalitate ale chatbot-urilor AI. Acesta este, de asemenea, un domeniu major de investigație la multe instituții de cercetare legate de IA.

Cum ar trebui să procedeze companiile și utilizatorii

Dacă simțiți că acest lucru ar putea reprezenta o amenințare serioasă pe plan profesional sau personal, aveți dreptate - dar nu este totul fără speranță. Experții în securitate cibernetică intensifică și analizează modalități de a contracara și de a răspunde acestor atacuri. O măsură pe care o desfășoară multe companii este educarea și formarea continuă a utilizatorilor finali pentru a vedea dacă angajații și utilizatorii sunt de fapt surprinși de aceste e-mailuri.

Volumul crescut de e-mailuri suspecte și direcționate înseamnă că un memento aici și colo ar putea să nu mai fie suficient, iar companiile vor trebui acum să exerseze cu multă persistență să pună în aplicare conștientizarea securității în rândul utilizatorilor. De asemenea, utilizatorilor finali ar trebui nu doar să li se reamintească, ci să fie încurajați să raporteze e-mailurile care par frauduloase și să discute preocupările lor legate de securitate. Acest lucru nu se aplică numai companiilor și securității la nivel de companie, ci și nouă, ca utilizatori individuali. Dacă giganții tehnologiei vor să avem încredere în serviciile lor de e-mail pentru nevoile noastre personale de e-mail, atunci vor trebui să continue să-și construiască apărarea în astfel de moduri.

Pe lângă această schimbare la nivel de cultură în afaceri și firme, Steffen reiterează și importanța instrumentelor de filtrare a e-mailurilor care pot încorpora capabilități AI și pot ajuta la prevenirea transmiterii mesajelor rău intenționate chiar și la utilizatori. Este o bătălie perpetuă care necesită teste și audituri regulate, deoarece amenințările evoluează mereu și, pe măsură ce abilitățile software-ului AI se îmbunătățesc, la fel se vor îmbunătăți și amenințările care le folosesc.

Companiile trebuie să-și îmbunătățească sistemele de securitate și nicio soluție nu poate aborda pe deplin toate pericolele generate de atacurile prin e-mail generate de AI. Steffen susține că o strategie de zero-trust poate ajuta la umplerea golurilor de control cauzate de atacuri și poate oferi o apărare pentru majoritatea organizațiilor. Utilizatorii individuali ar trebui să fie mai atenți la posibilitatea de a fi phishing și păcăliți, deoarece aceasta a crescut.

Poate fi ușor să cedezi în pesimism cu privire la aceste tipuri de probleme, dar putem fi mai atenți la ceea ce alegem să facem clic. Luați un moment în plus, apoi altul și verificați toate informațiile - puteți chiar să căutați adresa de e-mail de la care ați primit un anumit e-mail și să vedeți dacă altcineva a avut probleme legate de acesta. Este o lume oglindă complicată online și merită din ce în ce mai util să vă păstrați inteligența cu privire la dvs.