Siber suçlular, daha inandırıcı kimlik avı saldırıları gerçekleştirmek için ChatGPT gibi yapay zeka araçlarından yararlanıyor ve siber güvenlik uzmanları alarma geçiyor

Geçtiğimiz yıl içinde şüpheli görünen e-postalarda bir artış fark ettiyseniz, bunun nedeni kısmen favori yapay zeka sohbet robotlarımızdan biri olan ChatGPT olabilir. Biliyorum; çoğumuz ChatGPT ile kendimiz hakkında bilgi edindiğimiz samimi ve özel konuşmalar yaptık ve ChatGPT'nin bizi dolandırmaya yardımcı olacağına inanmak istemiyoruz.

Siber güvenlik firması SlashNext'e göre ChatGPT ve yapay zeka grupları, kimlik avı e-postalarını hızlandırılmış bir oranda dağıtmak için kullanılıyor. Rapor, firmanın tehdit uzmanlığına dayanıyor ve Kuzey Amerika'daki üç yüzden fazla siber güvenlik uzmanıyla anket yapıyor. Yani, kötü amaçlı kimlik avı e-postalarının 2022'nin dördüncü çeyreğinden bu yana %1.265 arttığı, özellikle de kimlik bilgisi kimlik avının %967 oranında arttığı iddia ediliyor. Kimlik bilgisi avı, bir kullanıcıyı taklit ederek kullanıcı adları, kimlikler, şifreler veya kişisel pinler gibi kişisel bilgilerinizi hedefler. güvenilir kişi, grup veya kuruluşa e-posta veya benzer bir iletişim kanalı aracılığıyla.

Kötü niyetli aktörler, gösterişli ve özel olarak hedeflenmiş kimlik avı mesajları oluşturmak için ChatGPT gibi üretken yapay zeka araçlarını kullanıyor. Kimlik avının yanı sıra, iş e-postası gizliliği ihlali (BEC) mesajları da şirketleri mali açıdan dolandırmayı amaçlayan bir başka yaygın siber suç dolandırıcılığı türüdür. Rapor, yapay zeka destekli bu tehditlerin baş döndürücü bir hızla arttığı, hacim olarak hızla büyüdüğü ve ne kadar karmaşık oldukları sonucuna varıyor.

Rapor, kimlik avı saldırılarının günde ortalama 31.000 olduğunu ve ankete katılan siber güvenlik uzmanlarının yaklaşık yarısının bir BEC saldırısı aldıklarını bildirdiğini belirtiyor. Kimlik avı söz konusu olduğunda bu profesyonellerin %77'si kimlik avı saldırılarına maruz kaldıklarını bildirdi.

Uzmanlar ağırlık veriyor

SlashNext'in CEO'su Patrick Harr, bu bulguların "kimlik avının katlanarak büyümesine katkıda bulunan üretken yapay zeka kullanımına ilişkin endişeleri güçlendirdiğini" ifade etti. Yapay zeka üretken teknolojisinin, siber suçluların saldırıları ne kadar hızlı gerçekleştirebileceklerini artırmalarına olanak sağladığını ve aynı zamanda saldırılarının çeşitliliğini de artırdığını belirtti. Binlerce varyasyona sahip binlerce sosyal mühendislik saldırısı üretebilirler ve sizin yalnızca birine kanmanız yeterlidir.

Harr, geçen yılın sonuna doğru önemli bir büyüme kaydeden ChatGPT'yi işaret etmeye devam ediyor. Üretken yapay zeka botlarının, acemilerin kimlik avı ve dolandırıcılık oyununa girmesini çok daha kolay hale getirdiğini ve artık saldırılarını daha fazla ölçeklendirip hedefleyebilen daha yetenekli ve deneyimli kişilerin cephaneliğinde ekstra bir araç haline geldiğini öne sürüyor. kolayca. Bu araçlar, dolandırıcıların insanları dolandıracağını umduğu daha inandırıcı ve ikna edici bir şekilde ifade edilmiş mesajlar oluşturmaya yardımcı olabilir.

Enterprise Management Associates araştırma direktörü Chris Steffen, CNBC ile yaptığı konuşmada bunu doğruladı ve şunları söyledi: "'Nijerya Prensi'nin günleri geride kaldı". E-postaların artık "son derece ikna edici ve meşru göründüğünü" söyleyerek sözlerine devam etti. Kötü aktörler ikna edici bir şekilde başkalarını ton ve üslupla taklit eder ve taklit ederler, hatta devlet kurumlarından ve finansal hizmet sağlayıcılarından geliyormuş gibi görünen resmi görünümlü yazışmalar bile gönderirler. Bireylerin veya kuruluşların mesajlarını uyarlamak, e-postalarını ve iletişimlerini gerçekmiş gibi göstermek için yazılarını ve kamuya açık bilgilerini analiz etmek için yapay zeka araçlarını kullanarak bunu eskisinden daha iyi yapabilirler.

Dahası, bu stratejilerin halihazırda kötü oyunculara fayda sağladığına dair kanıtlar var. Harr, BEC saldırılarının işletmelere yaklaşık 2,7 milyar dolara mal olduğu ve diğer kimlik avı türlerinden dolayı 52 milyon dolar zarara yol açtığının iddia edildiği FBI'ın İnternet Suç Raporuna atıfta bulunuyor. Ana kod kazançlıdır ve dolandırıcılar, kimlik avı ve BEC çabalarını artırma konusunda daha da motive olurlar.

Tehditleri ortadan kaldırmak için ne gerekecek?

Bazı uzmanlar ve teknoloji devleri Amazon, Google, Meta ve Microsoft'un siber güvenlik riskleriyle mücadele etmek için testler yapacaklarının sözünü vermesiyle geri adım attı. Şirketler ayrıca tespit sistemlerini, filtrelerini ve benzerlerini geliştirmek için yapay zekayı savunma amaçlı olarak kullanıyor. Ancak Harr, SlashNext'in araştırmasının, siber suçluların bu saldırıları gerçekleştirmek için halihazırda ChatGPT gibi araçları kullandığından bunun tamamen garanti altına alındığının altını çizdiğini yineledi.

SlashNext, Temmuz ayında WormGPT'nin eşlik ettiği ChatGPT'yi kullanan belirli bir BEC buldu. Harr'a göre WormGPT, "BEC saldırıları oluşturmak ve başlatmak gibi kötü amaçlı faaliyetler için özel olarak tasarlanmış, GPT modellerine siyah şapka alternatifi" olarak tanıtılan bir siber suç aracıdır. Başka bir kötü amaçlı chatbot olan FraudGPT'nin de dolaşımda olduğu bildirildi. Harr, FraudGPT'nin dolandırıcılar, bilgisayar korsanları, spam gönderenler ve benzeri kişiler için tasarlanmış, kapsamlı bir özellik listesine sahip 'özel' bir araç olarak tanıtıldığını söylüyor.

SlashNext'in araştırmasının bir kısmı, yapay zeka sohbet robotlarına yönelik oldukça ustaca tasarlanmış saldırılar olan ve girildiğinde yapay zeka sohbet robotlarının güvenlik ve yasallık korkuluklarının kaldırılmasına neden olan yapay zeka "jailbreak'lerinin" geliştirilmesi üzerine olmuştur. Bu aynı zamanda yapay zeka ile ilgili birçok araştırma kurumunun da önemli bir araştırma alanıdır.

Şirketler ve kullanıcılar nasıl ilerlemeli?

Bunun profesyonel veya kişisel olarak ciddi bir tehdit oluşturabileceğini düşünüyorsanız haklısınız ancak durum tamamen umutsuz değil. Siber güvenlik uzmanları bu saldırılara karşı koymanın ve bunlara yanıt vermenin yollarını gösteriyor ve beyin fırtınası yapıyor. Birçok şirketin uyguladığı önlemlerden biri, çalışanların ve kullanıcıların gerçekten bu e-postalara yakalanıp yakalanmadığını görmek için sürekli son kullanıcı eğitimi ve öğretimidir.

Şüpheli ve hedefe yönelik e-postaların artan hacmi, burada ve orada yapılan hatırlatmaların artık yeterli olmayabileceği anlamına geliyor ve şirketlerin artık kullanıcılar arasında güvenlik bilincini oluşturmak için çok ısrarlı bir şekilde pratik yapması gerekecek. Son kullanıcılara sahte görünen e-postaları bildirmeleri ve güvenlikle ilgili kaygılarını tartışmaları hatırlatılmalı, aynı zamanda teşvik edilmelidir. Bu sadece şirketler ve şirket çapındaki güvenlik için değil, aynı zamanda bireysel kullanıcılar olarak bizler için de geçerlidir. Teknoloji devleri kişisel e-posta ihtiyaçlarımız için e-posta hizmetlerine güvenmemizi istiyorlarsa savunmalarını bu tür yollarla oluşturmaya devam etmeleri gerekecek.

Steffen, işletmelerde ve firmalarda kültür düzeyindeki bu değişimin yanı sıra, yapay zeka yeteneklerini bir araya getirebilen ve kötü amaçlı mesajların kullanıcılara ulaşmasını bile engellemeye yardımcı olan e-posta filtreleme araçlarının önemini de yineliyor. Tehditlerin sürekli gelişmesi ve yapay zeka yazılımının yetenekleri geliştikçe bunları kullanan tehditlerin de artması nedeniyle bu, düzenli testler ve denetimler gerektiren sürekli bir savaştır.

Şirketlerin güvenlik sistemlerini iyileştirmesi gerekiyor ve hiçbir çözüm, yapay zeka tarafından oluşturulan e-posta saldırılarının oluşturduğu tüm tehlikeleri tam olarak ortadan kaldıramaz. Steffen, sıfır güven stratejisinin saldırıların neden olduğu kontrol boşluklarını doldurmaya ve çoğu kuruluş için savunma sağlamaya yardımcı olabileceğini öne sürüyor. Bireysel kullanıcıların kimlik avı ve kandırılma olasılığına karşı daha dikkatli olmaları gerekiyor çünkü bu oranlar arttı.

Bu tür konularda karamsarlığa kapılmak kolay olabilir, ancak neye tıklamayı seçtiğimiz konusunda daha dikkatli olabiliriz. Biraz daha zaman ayırın, ardından bir dakika daha ayırın ve tüm bilgilere göz atın; hatta belirli bir e-postayı aldığınız e-posta adresini arayabilir ve başka birinin bu e-postayla ilgili sorun yaşayıp yaşamadığını görebilirsiniz. Bu, çevrimiçi ortamda aldatıcı bir ayna dünyasıdır ve aklınızı başınıza almak giderek daha değerli hale gelmektedir.