Киберпреступники используют инструменты искусственного интеллекта, такие как ChatGPT, для создания более убедительных фишинговых атак, что тревожит экспертов по кибербезопасности.

Если вы заметили всплеск количества подозрительных писем за последний год или около того, это может быть отчасти связано с одним из наших любимых чат-ботов с искусственным интеллектом — ChatGPT. Я знаю: у многих из нас были интимные и частные беседы, в которых мы узнавали о себе с помощью ChatGPT, и мы не хотим верить, что ChatGPT поможет нас обмануть.

По данным компании SlashNext, занимающейся кибербезопасностью, ChatGPT и его искусственный интеллект используются для ускоренной рассылки фишинговых писем. Отчет основан на опыте компании в области угроз и опросе более трехсот специалистов по кибербезопасности в Северной Америке. А именно, утверждается, что с четвертого квартала 2022 года количество вредоносных фишинговых писем увеличилось на 1265 % (в частности, фишинга учетных данных, который вырос на 967 %). Фишинг учетных данных нацелен на вашу личную информацию, такую ​​как имена пользователей, идентификаторы, пароли или личные контакты, выдавая себя за доверенное лицо, группа или организация по электронной почте или аналогичному каналу связи.

Злоумышленники используют генерирующие инструменты искусственного интеллекта, такие как ChatGPT, для составления тщательно продуманных и целенаправленных фишинговых сообщений. Помимо фишинга, сообщения о компрометации деловой электронной почты (BEC) являются еще одним распространенным типом мошенничества киберпреступников, целью которого является выманивание у компаний финансовых средств. В отчете делается вывод, что эти угрозы, основанные на искусственном интеллекте, растут с головокружительной скоростью, быстро растут в объеме и сложности.

В отчете указывается, что количество фишинговых атак составляет в среднем 31 000 в день, и примерно половина опрошенных специалистов по кибербезопасности сообщили, что подверглись атаке BEC. Что касается фишинга, 77% этих специалистов сообщили, что подверглись фишинговым атакам.

Эксперты взвешивают

Генеральный директор SlashNext Патрик Харр сообщил, что эти результаты «укрепляют обеспокоенность по поводу использования генеративного искусственного интеллекта, способствующего экспоненциальному росту фишинга». Он уточнил, что генеративная технология искусственного интеллекта позволяет киберпреступникам увеличивать скорость проведения атак, одновременно увеличивая разнообразие их атак. Они могут производить тысячи атак с использованием социальной инженерии в тысячах вариаций — и вам нужно поддаться только одной из них.

Далее Харр указывает пальцем на ChatGPT, который к концу прошлого года продемонстрировал значительный рост. Он утверждает, что боты с генеративным искусственным интеллектом значительно облегчили новичкам участие в игре с фишингом и мошенничеством и теперь стали дополнительным инструментом в арсенале более опытных и опытных людей, которые теперь могут масштабировать и нацеливать свои атаки более эффективно. легко. Эти инструменты могут помочь генерировать более убедительные и убедительно сформулированные сообщения, которые, как надеются мошенники, смогут обмануть людей.

Крис Стеффен, директор по исследованиям Enterprise Management Associates, подтвердил это в разговоре с CNBC, заявив: «Прошли времена «принца Нигерии»». Далее он добавил, что электронные письма теперь «чрезвычайно убедительны и звучат законно». Злоумышленники убедительно имитируют и выдают себя за других по тону и стилю или даже отправляют официальную корреспонденцию, которая выглядит так, как будто она исходит от правительственных учреждений и поставщиков финансовых услуг. Они могут сделать это лучше, чем раньше, используя инструменты искусственного интеллекта для анализа сочинений и общедоступной информации отдельных лиц или организаций, чтобы адаптировать свои сообщения, делая их электронные письма и сообщения похожими на настоящие.

Более того, есть свидетельства того, что эти стратегии уже приносят прибыль злоумышленникам. Харр ссылается на отчет ФБР об интернет-преступлениях, в котором утверждается, что атаки BEC обошлись предприятиям примерно в 2,7 миллиарда долларов, а также 52 миллиона долларов убытков из-за других видов фишинга. Эта жила прибыльна, и мошенники дополнительно заинтересованы в умножении своих усилий по фишингу и BEC.

Что потребуется для устранения угроз

Некоторые эксперты и технологические гиганты сопротивляются: Amazon, Google, Meta и Microsoft пообещали провести тестирование для борьбы с рисками кибербезопасности. Компании также используют искусственный интеллект для защиты, используя его для улучшения своих систем обнаружения, фильтров и т. д. Харр повторил, что исследование SlashNext, однако, подчеркивает, что это полностью оправдано, поскольку киберпреступники уже используют такие инструменты, как ChatGPT, для проведения таких атак.

В июле SlashNext обнаружил конкретный BEC, который использовал ChatGPT в сочетании с WormGPT. По словам Харра, WormGPT — это инструмент для борьбы с киберпреступностью, который рекламируется как «черная альтернатива моделям GPT, разработанная специально для вредоносных действий, таких как создание и запуск BEC-атак». Сообщается, что распространяется еще один вредоносный чат-бот FraudGPT. Харр говорит, что FraudGPT рекламируется как «эксклюзивный» инструмент, предназначенный для мошенников, хакеров, спамеров и подобных лиц, и обладающий обширным списком функций.

Часть исследований SlashNext была направлена ​​на разработку «джейлбрейков» ИИ, которые представляют собой довольно изобретательно спланированные атаки на чат-ботов ИИ, которые при проникновении приводят к снятию барьеров безопасности и законности чат-ботов ИИ. Это также основная область исследований во многих исследовательских институтах, связанных с ИИ.

Как действовать компаниям и пользователям

Если вы чувствуете, что это может представлять серьезную профессиональную или личную угрозу, вы правы, но не все так безнадежно. Эксперты по кибербезопасности активизируют свои усилия и обсуждают способы противодействия этим атакам и реагирования на них. Одной из мер, которую принимают многие компании, является постоянное обучение и обучение конечных пользователей, чтобы увидеть, действительно ли сотрудники и пользователи попадают в ловушку этих электронных писем.

Увеличение объема подозрительных и целевых электронных писем означает, что напоминаний здесь и там может быть недостаточно, и теперь компаниям придется очень настойчиво практиковать повышение осведомленности пользователей о безопасности. Конечным пользователям также следует не просто напоминать, но и поощрять сообщать об электронных письмах, которые выглядят мошенническими, и обсуждать свои проблемы, связанные с безопасностью. Это относится не только к компаниям и безопасности в целом, но и к нам, как к отдельным пользователям. Если технологические гиганты хотят, чтобы мы доверяли их почтовым службам для удовлетворения наших личных потребностей в электронной почте, им придется продолжать строить свою защиту такими способами.

Помимо этих изменений на уровне культуры в бизнесе и фирмах, Штеффен также подчеркивает важность инструментов фильтрации электронной почты, которые могут включать в себя возможности искусственного интеллекта и помочь предотвратить попадание вредоносных сообщений даже к пользователям. Это постоянная битва, которая требует регулярных тестов и проверок, поскольку угрозы постоянно развиваются, а по мере совершенствования возможностей программного обеспечения ИИ будут улучшаться и угрозы, которые его используют.

Компаниям необходимо совершенствовать свои системы безопасности, и ни одно решение не может полностью устранить все опасности, связанные с атаками по электронной почте, генерируемыми ИИ. Стеффен утверждает, что стратегия нулевого доверия может помочь заполнить пробелы в контроле, вызванные атаками, и обеспечить защиту для большинства организаций. Отдельные пользователи должны быть более внимательны к возможности стать жертвами фишинга и обмана, поскольку эта вероятность возросла.

Может быть легко впасть в пессимизм по поводу подобных вопросов, но мы можем более осторожно относиться к тому, на что мы решаем нажать. Уделите еще минуту, затем еще одну и проверьте всю информацию — вы даже можете выполнить поиск по адресу электронной почты, с которого вы получили конкретное письмо, и посмотреть, не возникали ли у кого-нибудь еще проблемы, связанные с ним. Это сложный зеркальный онлайн-мир, и все более важно сохранять рассудок.