V digitalni dobi, kjer tehnologija napreduje z neverjetno hitrostjo, se tudi taktike kibernetskih napadalcev razvijajo. Ena izmed najpomembnejših sprememb, ki jih opažamo, je uporaba umetne inteligence (UI) za izboljšanje družbenega inženiringa – manipulativnih tehnik, s katerimi napadalci izkoriščajo človeško naravo za pridobitev nepooblaščenega dostopa do informacij ali sistemov.
Kaj je družbeni inženiring?
Družbeni inženiring je praksa vplivanja na ljudi, da razkrijejo občutljive informacije ali izvajajo določena dejanja. To vključuje različne tehnike, kot so:
- Phishing: Pošiljanje lažnih e-poštnih sporočil, ki posnemajo legitimne vire, da bi prejemnike prevarali v deljenje gesel ali drugih občutljivih podatkov.
- Pretexting: Uporaba izmišljenih scenarijev za pridobitev informacij od tarče.
- Baiting: Ponujanje nečesa privlačnega za pridobitev dostopa do sistemov ali podatkov.
Ti napadi temeljijo na izkoriščanju človeških lastnosti, kot so zaupanje, radovednost ali strah.
Vpliv umetne inteligence na družbeni inženiring
Z napredkom UI so napadalci pridobili orodja za ustvarjanje bolj prepričljivih in ciljno usmerjenih napadov. Generativna UI, kot je ChatGPT, omogoča:
- Personalizirana sporočila: Ustvarjanje e-poštnih sporočil ali sporočil SMS, prilagojenih posameznikom, z uporabo podatkov iz družbenih omrežij in drugih virov.
- Deepfake vsebine: Ustvarjanje ponarejenih video ali avdio posnetkov, ki posnemajo resnične osebe, kar povečuje verodostojnost prevar.
Po poročanju SecurityWeek je pričakovati, da bodo napadi družbenega inženiringa v letu 2025 postali še bolj sofisticirani zaradi uporabe UI. Napadalci ne bodo več omejeni na phishing e-poštna sporočila, temveč bodo izvajali dinamične kampanje prek SMS-ov, deepfake klicev in lažnih profilov na družbenih omrežjih, ki se bodo sproti prilagajali.
Michael Adjei, direktor sistemskega inženiringa pri Illumio, opozarja, da bodo običajni uporabniki postali nenamerni udeleženci množičnih napadov, saj bodo napadalci izkoriščali priljubljene aplikacije, funkcije družbenih omrežij in celo orodja UI za zavajanje ljudi v izvajanje zlonamernih dejanj.
Primeri napadov z uporabo UI
- Deepfake intervjuji: Napadalci lahko uporabijo deepfake tehnologijo za ustvarjanje lažnih video intervjujev, kjer se predstavljajo kot kandidati za zaposlitev, da pridobijo dostop do notranjih informacij podjetja.
- Lažni klici vodstva: S pomočjo UI lahko ustvarijo avdio posnetke, ki posnemajo glasove vodilnih v podjetju, in tako prepričajo zaposlene v izvajanje nepooblaščenih dejanj.
Brian Fox, tehnični direktor pri Sonatype, opozarja, da smo v letu 2024 sicer uspeli preprečiti nekatere napade, vendar podobne kampanje že potekajo, pri čemer napadalci uporabljajo UI za izboljšanje svojih tehnik.
Kako se zaščititi pred napadi, podprtimi z UI?
- Izobraževanje in ozaveščanje: Redno usposabljanje zaposlenih o najnovejših tehnikah družbenega inženiringa ter o tem, kako prepoznati sumljiva sporočila ali zahteve.
- Tehnološke rešitve: Uporaba naprednih varnostnih orodij, ki lahko zaznajo nenavadne vzorce vedenja ali komunikacije.
- Preverjanje identitete: Vzpostavitev postopkov za preverjanje identitete, zlasti pri nenavadnih ali nepričakovanih zahtevah.
- Omejevanje deljenja informacij: Spodbujanje zaposlenih, da omejijo deljenje osebnih in poklicnih informacij na spletu, saj lahko napadalci te podatke uporabijo za prilagoditev svojih napadov.
Paige Schaffer, izvršna direktorica pri Iris Powered by Generali, poudarja, da lahko napadalci z uporabo UI analizirajo velike količine podatkov in prepoznajo posameznike, ki so bolj dovzetni za napade družbenega inženiringa.
Prihodnost družbenega inženiringa
Z napredkom UI bodo napadi družbenega inženiringa postali bolj prepričljivi, prilagojeni in težje prepoznavni. Čeprav lahko UI pomaga tudi pri obrambi, na primer pri zaznavanju nenavadnih vzorcev, moramo biti pripravljeni na nenehno prilagajanje našega pristopa k varnosti.
Danny Jenkins, izvršni direktor in soustanovitelj podjetja ThreatLocker, opozarja, da se bodo napadalci vedno prilagajali novim varnostnim ukrepom, zato moramo biti pripravljeni na nenehno prilagajanje naših obrambnih strategij.
Končni cilj vseh varnostnih ukrepov in procesov mora biti odpornost podjetja, saj popolna zaščita pred družbenim inženiringom ni mogoča.
Zgornji članek je povzetek besedila preoblikovan v blog zapis za potrebe naše spletne strani, ki je v originalu objavljen na Securityweek spletnem mestu. Nanaša se na vidik umetne inteligence, kot ene od 10 področij, ki bodo oblikovala pristope in rešitve h kibernetski varnosti v letu 2025.