AI właśnie przekształcił zasady BEC: Czy Twoje obrony są gotowe?

Dziś średni phishingowy e-mail, który trafia do skrzynki odbiorczej Twojego dyrektora generalnego, jest doskonały. Używa perfekcyjnej gramatyki, zawiera intymne zrozumienie obecnego krajobrazu biznesowego Twojej organizacji i kończy się pilnym, kontekstowo istotnym wnioskiem. To nie jest dzieło typowego cyberprzestępcy; to cecha uzbrojonej sztucznej inteligencji, przekształcającej inżynierię społeczną z gry liczbowej w celowy atak.

Ta napędzana sztuczną inteligencją ewolucja oznacza, że phishing i kompromitacja biznesowych e-maili (BEC) są aktywnie wzmacniane do bezprecedensowych poziomów. Dla specjalistów ds. cyberbezpieczeństwa zrozumienie tej szybkiej ewolucji nie jest już opcjonalne; jest kluczowe dla zapobiegania potencjalnie niszczycielskim stratom finansowym i reputacyjnym.

Ten blog bada nową rzeczywistość phishingu wzbogaconego o AI i BEC. Odkryjemy, jak napastnicy wykorzystują AI do ultra-realistycznych kampanii, dlaczego te zaawansowane ataki często omijają tradycyjne zabezpieczenia i - co najważniejsze - jakie strategiczne obrony i proaktywne kroki liderzy bezpieczeństwa muszą teraz wprowadzić. Krajobraz cyberbezpieczeństwa ewoluuje tak szybko, jak AI; czy twoje zabezpieczenia są wystarczające?

Jak sztuczna inteligencja wspomaga ataki phishingowe i ataki BEC

Elastyczność generatywnej sztucznej inteligencji to właśnie to, co czyni ją tak potężnym narzędziem dla cyberprzestępców. Napastnicy nie są już ograniczeni swoimi umiejętnościami pisarskimi, biegłością w języku ani nawet potrzebą ręcznego tworzenia każdej wiadomości. Sztuczna inteligencja daje im możliwości zwiększenia zarówno zaawansowania, jak i tempa ich operacji phishingowych i BEC.

Tworzenie hiperrealistycznych przynęt za pomocą LLM-ów

Duże modele językowe (LLM), ta sama technologia napędzająca popularne chatboty AI, takie jak ChatGPT od OpenAI czy Gemini od Google, są na czołowej pozycji w zakresie wprowadzania w błąd przez sztuczną inteligencję. Atakujący wykorzystują teraz LLM do generowania nowej generacji wiadomości phishingowych i BEC, które są praktycznie nie do odróżnienia od autentycznych komunikacji. Modele te potrafią produkować tekst z doskonałą gramatyką i pisownią, przyjmować określone tonacje oraz wprowadzać kontekstowo istotne szczegóły, aby tworzyć wysoce spersonalizowane i przekonujące narracje. Ten poziom dopracowania często ułatwia dostosowanie ataków do konkretnych osób lub ról w organizacji, znacznie zwiększając ich prawdopodobieństwo sukcesu.

Oprócz poprawy języka, LLM-y zasadniczo przezwyciężają tradycyjne bariery dla napastników. Na przykład, LLM-y mogą bez trudu tłumaczyć i komponować wiadomości w wielu językach, co pozwala aktorom zagrożeń na rozszerzanie swoich kampanii globalnie bez charakterystycznych błędów, które kiedyś służyły jako czerwone flagi. Naturalnie brzmiący tekst również oznacza, że te złośliwe e-maile są coraz bardziej zdolne do omijania tradycyjnych filtrów bezpieczeństwa e-mail. Wiele starych systemów polega na wykrywaniu słabej gramatyki, podejrzanych słów kluczowych lub znanych złośliwych podpisów - wszystko to, czego treści generowane przez AI można specjalnie zaprojektować, aby unikać.

Deepfake'i wchodzą na scenę: Naśladowanie głosu i wideo

Niestety, uzbrojenie sztucznej inteligencji rozprzestrzenia się poza ataki oparte na tekście na inne media, często określane jako „deepfake”. To rozszerzenie obejmuje phishing głosowy (vishing), w którym zdolność sztucznej inteligencji do klonowania głosów na podstawie stosunkowo małych próbek audio tworzy wysoce przekonujące imitacje.

Wyobraź sobie, że otrzymujesz telefon rzekomo od swojego dyrektora generalnego, którego głos jest idealnie naśladowany, prosząc cię o potwierdzenie pilnego przelewu funduszy. Ten scenariusz to coraz bardziej możliwy wektor ataku. Generowane przez AI fałsze głosowe dodają potężną warstwę autentyczności i pilności do oszustw BEC, szczególnie, gdy są połączone z przekonywującym e-mailem. Poza dźwiękiem, zagrożenie związane z deepfake'ami wideo w BEC i inżynierii społecznej również szybko się pojawia. Choć może być to mniej powszechne z uwagi na większe wymagania techniczne, atakujący mogą potencjalnie wykorzystać AI do tworzenia krótkich klipów wideo, podając się za menedżerów w rozmowach wideo lub nagranych wiadomościach. Te taktyki mogą oszukać pracowników, aby zatwierdzali fałszywe transakcje lub dzielili się poufnymi informacjami.

Możliwość połączenia doskonałego tekstu generowanego przez AI z przekonującym syntetycznym głosem, a w końcu wideo, stanowi poważne zaostrzenie w zaawansowaniu ataków naśladowniczych - stanowiąc wyzwanie dla tradycyjnych metod weryfikacji tożsamości.

Nowa twarz BEC: ewolucja oszustw napędzanych przez AI

Sztuczna inteligencja nie tylko sprawia, że istniejące wiadomości phishingowe i BEC wyglądają i brzmią lepiej - aktywnie napędza ewolucję w złożoności i celowaniu w samych oszustwach. Napastnicy wykorzystują AI, aby wyjść poza podstawowe taktyki, opracowując bardziej skomplikowane schematy oszustw i precyzyjnie wskazując swoje ofiary z niepokojącą dokładnością.

Przechodzenie poza podstawowe oszustwa

Niedawno wiele prób BEC było stosunkowo prostych, często polegających na źle sformułowanym e-mailu od "CEO" z prośbą o pilne zakupy kart podarunkowych. Chociaż to nadal się zdarza, teraz widzimy próby wzbogacone o AI, polegające na skomplikowanej manipulacji fakturami, przekierowywaniu płatności i przekonujących wieloetapowych impersonacjach dostawców. AI przyczynia się do bardziej rozwiniętej oszukańczej komunikacji, wzmacniając aspekty takie jak:

• Tworzenie wszystkich komunikacji z wyższym poziomem staranności
• Generowanie bardziej przekonujących fałszywych dokumentów i narracji dla wniosków
• Przygotowywanie wiadomości follow-up, które przeciwstawiają się początkowemu sceptycyzmowi.

Podstawowy oszustwo BEC ewoluowało, co sprawia, że te skomplikowane oszustwa są trudniejsze do wykrycia i ograniczenia przez pracowników.

Precyzyjne celowanie za pomocą rozpoznania AI

Reconnaissance phishing to początkowa faza, w której napastnicy zbierają informacje o celu przed rozpoczęciem ataku phishingowego. Sztuczna inteligencja znacznie zwiększyła zdolności napastników do prowadzenia rozpoznania, umożliwiając im szybkie przeszukiwanie ogromnych ilości dostępnych publicznie danych w celu identyfikacji wartościowych celów i zbierania kontekstowej inteligencji. To, co kiedyś zajmowało tygodnie przeszukiwania stron internetowych firm, mediów społecznościowych i publicznych zasobów informacyjnych, aby dopracować cyberatak, można teraz dokładnie zrealizować w mniej niż kilka minut.

Wsparcie w zakresie sztucznej inteligencji pozwala na hiperpersonalizowane ataki BEC, w których oszukańcze wiadomości wiarygodnie odnoszą się do konkretnych projektów wewnętrznych, roli danej osoby, niedawnych wydarzeń w firmie lub dokładnie naśladują styl komunikacji podszywanej strony, co sprawia, że oszustwo jest niezwykle specyficzne i znacznie bardziej prawdopodobne, że zostanie zaufa przez odbiorcę.

Naśladowanie komunikacji wewnętrznej

Umiejętność AI do nauki i naśladowania wzorców językowych jest szczególnie niebezpieczna, gdy chodzi o udawanie wewnętrznych komunikacji - kluczowego wektora ataku w BEC. Napastnicy mogą trenować modele na przykładach stylu firmy lub używać AI do generowania wiadomości, które bezbłędnie przyjmują ton, formatowanie i żargon zazwyczaj używane w organizacji. Rozważ te potencjalne przykłady twórczości AI:

• Pilny e-mail, rzekomo z działu IT, szczegółowo opisujący krytyczną (ale fałszywą) aktualizację systemu, która wymaga od pracowników natychmiastowego kliknięcia w link i wprowadzenia swoich danych logowania, używając technicznie wiarygodnego języka.
• Powiadomienie wydające się od działu kadr dotyczące nowego, pilnego zapisania się na świadczenia lub zaktualizowanej polityki pracy zdalnej, stworzone, aby wyglądać na wiarygodne i istotne dla pracowników.
• Dyrektywa od "starszego kierownika" lub "szefa działu finansowego" żądająca pilnego przelewu na rzecz nowego dostawcy, wspominająca o rzekomo poufnym projekcie lub zbliżającym się terminie, wszystko zakomunikowane z oczekiwaną dozą autorytetu i kontekstu wewnętrznego.

Dlaczego ataki wspomagane przez sztuczną inteligencję są trudniejsze do wykrycia

Wyrafinowanie, jakie sztuczna inteligencja wprowadza do phishingu i BEC, nie tylko sprawia, że ataki są bardziej przekonujące; zasadniczo sprawia, że są one znacznie trudniejsze do wykrycia zarówno dla pracowników, jak i tradycyjnych systemów bezpieczeństwa. Stare, niepokojące sygnały zanikają, zastąpione taktykami, które wykorzystują zaufanie i kontekst z znacznie większą finezją.

Zniknięcie oczywistych czerwonych flag

E-maile phishingowe zazwyczaj mają oczywiste czerwone flagi, które wielu użytkowników zostało przeszkolonych, aby dostrzegać. Te oznaki, takie jak słaba gramatyka, rażące błędy ortograficzne, niezręczne sformułowania lub ogólne powitania, kiedyś były wiarygodnymi wskaźnikami próby phishingu. Jednak AI i zaawansowane LLM w dużej mierze eliminują te czerwone flagi, produkując teksty, które są prawie gramatycznie doskonałe, stylistycznie odpowiednie i wolne od tych powszechnych błędów. Końcowy wynik? Złośliwe wiadomości, które na pierwszy rzut oka wydają się całkowicie legalne i przechodzą przez standardowe kontrole ludzkie.

Oszuństwo uwzględniające kontekst

Obok dopracowanego tekstu, sztuczna inteligencja doskonale radzi sobie również w tworzeniu kontekstowo istotnych oszustw. Napastnicy mogą generować wiadomości, które odnoszą się do wcześniejszych, prawdziwych rozmów, trwających projektów, konkretnych ról zawodowych lub ostatnich wydarzeń w firmie (szczególnie jeśli połączone z asystowaną przez AI rekonesansową). Fałszywe prośby stają się znacznie bardziej wiarygodne, gdy są związane z istniejącym kontekstem. Na przykład, pilna prośba o płatność, która wspomina o rzeczywistym dostawcy lub konkretnej umowie w toku, może łatwo oszukać pracownika, aby obniżył swoją czujność i zatwierdził oszukańcze płatności.

Wzrost ataków wielokanałowych

Napastnicy coraz częściej wykorzystują sztuczną inteligencję do organizowania bardziej złożonych, wielokanałowych kampanii inżynierii społecznej, które nie polegają wyłącznie na e-mailu. Sztuczna inteligencja może być używana do tworzenia spójnych narracji i komunikacji w różnych platformach, aby budować Wiarygodność lub wywierać presję. Na przykład, wysoce przekonujący e-mail wygenerowany przez AI może być follow-upowany przez ukierunkowaną wiadomość na LinkedIn wysłaną z pozornie wiarygodnego profilu, który odnosi się do treści e-maila, a nawet przez złośliwy telefon wykonany przez AI, który wzmacnia nieuczciwą prośbę. To ukierunkowane podejście, wykorzystujące wiele punktów kontaktowych, sprawia, że każdy pojedynczy element wydaje się bardziej wiarygodny i zwiększa ogólną trudność w wykrywaniu złośliwych prób phishingu.

Dostosowywanie swoich defensyw: Odpieranie zagrożeń napędzanych przez sztuczną inteligencję

Chociaż sztuczna inteligencja znacząco zwiększa możliwości atakujących, nie oznacza to, że organizacje są bezbronne. Dostosowanie swojej postawy bezpieczeństwa wymaga szczegółowej strategii, która wzmacnia kontrole techniczne, podnosi świadomość pracowników i proaktywnie monitoruje próby podszywania się. Rozważ następujące strategie, aby przeciwdziałać wzrostowi phishingu i ataków w zakresie BEC napędzanych sztuczną inteligencją.

Zwiększanie czujności ludzi: bezpieczeństwo następnej generacji

AI staje się coraz bardziej inteligentne, więc ludzki element twojej obrony również musi ewoluować. Szkolenia bezpieczeństwa nowej generacji muszą skoncentrować się na subtelnościach ataków generowanych przez AI, wychodząc poza dostrzeganie jedynie błędów w pisowni. Oznacza to edukowanie pracowników, aby krytycznie oceniać kontekst próśb, rozpoznawać zaawansowane taktyki pilności i rozwijać początkową świadomość potencjalnych wskaźników deepfake. Twoim celem jest kształtowanie bardziej wnikliwej i ostrożnej siły roboczej. Przy budowaniu programu szkoleniowego dotyczącego bezpieczeństwa, rozważ uwzględnienie następujących strategii:

• Szkolenie na temat subtelności AI-fishingu i deepfake'ów przy użyciu realistycznych przykładów
• Przeprowadzaj symulacje phishingowe naśladujące zaawansowanie i kontekstową trafność AI
• Zarządzenie weryfikacji poza pasmem dla pilnych lub wrażliwych próśb.
• Kultywuj silną kulturę zgłaszania podejrzanych wiadomości bez obaw

Zaawansowane techniczne zabezpieczenia e-mail

Ewolucja twojej ludzkiej obrony jest kluczowa, ale równie ważne jest wzmocnienie twojej technicznej obrony w przypadku e-maili. Choć żadna pojedyncza technologia nie jest rozwiązaniem idealnym, połączenie podstawowych protokołów i nowoczesnych technik detekcji jest kluczowe w walce z zaawansowaniem AI. Techniki te obejmują nie tylko weryfikację legalności nadawcy, ale także identyfikację anormalnych wzorców, które ataki generowane przez AI mogą nadal wykazywać pomimo ich dopracowanego wyglądu. Wzmocnij swoje środki zabezpieczające e-maile, wdrażając następujące:

• Wprowadź DMARC (p=odrzuć/kwarantanna), SPF i DKIM na wszystkich domenach
• Użyj zabezpieczeń e-mailowych z wykrywaniem anomalii opartym na zachowaniu/AI oraz piaskownicą.
• Ustaw bramki do oznaczania podszywania się (nazwy wyświetlane, nowi nadawcy itp.)
• Regularnie przeglądaj i dostosowuj polityki zabezpieczeń poczty elektronicznej do ewoluujących zagrożeń

Proaktywna ochrona domeny i marki

Napastnicy często używają domen podobnych lub podszywających się, które naśladują legitymowaną domenę twojej organizacji, aby oszukiwać odbiorców w atakach phishingowych i BEC. Domeny podszywające się mogą w pierwszej chwili oszukać pracowników, dlatego kluczowe jest zidentyfikowanie i zareagowanie na te próby podszywania się, zanim staną się powszechnie stosowane. Chroń swoją domenę i markę poprzez:

• Nieprzerwanie monitorować nowo zarejestrowane lub zduplikowane domeny
• Śledzenie nieautoryzowanego użycia Twojej marki, nazwisk kierownictwa i własności intelektualnej w Internecie
• Określenie jasnego procesu dotyczącego badania i inicjowania usunięć domen
• Szkolenie personelu, aby zawsze dokładnie analizował adresy nadawców i adresy URL.

Generatywna sztuczna inteligencja niewątpliwie podniosła stawkę w zakresie phishingu i BEC, tworząc ataki, które są hiperrealistyczne, łatwo skalowalne i znacznie trudniejsze do wykrycia zarówno dla ludzi, jak i tradycyjnych systemów. Skuteczne przeciwdziałanie temu rozwijającemu się krajobrazowi zagrożeń wymaga bardziej zaawansowanej, warstwowej strategii obronnej - takiej, która inteligentnie łączy zaawansowaną technologię, ciągłą świadomość użytkowników i czujność organizacyjną.

UpGuard Breach Risk odgrywa kluczową rolę w tej warstwie obrony, zapewniając organizacjom zewnętrzną widoczność i proaktywne zdolności detekcji w celu złagodzenia ryzyk związanych z tymi zaawansowanymi atakami. Funkcje zaprojektowane w celu łagodzenia zagrożeń napędzanych przez AI obejmują:

• Monitorowanie powierzchni ataku: Ciężkie monitorowanie zewnętrznej powierzchni ataku pod względem luk lub narażeń, które mogą być wykorzystane przez atakujących.
• Wykrywanie wycieków danych: Wykrywaj wyciekłe dane uwierzytelniające krążące w Internecie, które są głównym paliwem dla prób BEC i przejęcia kont.
• Identyfikacja typosquattingu: Zidentyfikuj domeny typosquattingowe i fałszywe strony internetowe, które zostały specjalnie utworzone w celu podszywania się pod Twoją markę w zaawansowanych kampaniach phishingowych.

W erze, w której zagrożenia cybernetyczne ewoluują tak szybko, jak sama sztuczna inteligencja, aby być na czołowej pozycji, należy nieustannie dostosowywać się i korzystać z zaawansowanych narzędzi, które dostarczają jasnych informacji o Twoich zewnętrznych ryzykach.