Socialni inženiring je že leta najpogostejša metoda, ki jo kibernetski napadalci uporabljajo za vdor v organizacije. Z napredkom umetne inteligence (UI) pa ti napadi postajajo vse bolj sofisticirani, avtomatizirani in prepričljivi.

V zadnjem času smo priča razvoju t. i. agentne UI, ki lahko deluje avtonomno in izvaja kompleksne naloge brez človeškega posredovanja. To pomeni, da bodo tudi kibernetski kriminalci to tehnologijo izkoristili za izvajanje naprednih napadov s socialnim inženiringom.

Kako deluje socialni inženiring v dobi agentne UI?

Večstopenjski napadi

Agentna UI omogoča izvajanje večstopenjskih napadov, kjer se podatki, pridobljeni v eni fazi, uporabijo za izboljšanje naslednje. Napadalci lahko na primer s phishing e-pošto pridobijo osnovne informacije o žrtvi (ime, funkcijo v podjetju) in nato UI uporabi te podatke za izvedbo bolj prepričljivega nadaljnjega napada prek druge komunikacijske poti.

Večkanalni napadi

Napadi niso več omejeni le na e-pošto. Agentna UI lahko kombinira različne komunikacijske kanale – e-pošto, SMS, telefonske klice, družbena omrežja – da poveča možnosti uspeha.

Če žrtev ignorira phishing e-pošto, lahko UI pošlje prilagojen SMS ali izvede deepfake glasovni klic, ki se zdi popolnoma avtentičen. Takšna večkanalna strategija močno poveča možnosti, da bo tarča prevarana.

Kako se lahko organizacije zaščitijo?

Boj proti agentni UI z agentno UI

Organizacije se lahko pred naprednimi napadi socialnega inženiringa zaščitijo z lastnimi AI varnostnimi agenti, ki zaznavajo nepravilnosti, analizirajo grožnje in prepoznavajo vedenjske anomalije. Seveda gre razumeti, da vsako podjetje ne bo imelo možnosti (znanja, sredstev) lastnega razvoja takšne tehnologije, zato bo bistvenega pomena analiza ponujenih rešitev na trgu in strokovno podprta izbira takšne tehnologije v podjetju.

AI-podprto varnostno ozaveščanje zaposlenih

Klasična letna izobraževanja o varnosti niso več dovolj. Organizacije morajo investirati v dinamično, AI-podprto usposabljanje, ki se prilagaja tveganju posameznika, generira realne phishing scenarije in zagotavlja redne osvežitvene treninge.

Eden največjih izzivov klasičnih varnostnih izobraževanj je, da so pogosto enolična in splošna, kar pomeni, da zaposleni hitro pozabijo naučeno ali ga ne povežejo s svojo vsakodnevno prakso. S pomočjo umetne inteligence pa je mogoče usposabljanja prilagoditi posameznemu zaposlenemu glede na njegovo vlogo, izpostavljenost tveganjem in preteklo vedenje. Na primer, če nekdo pogosto odpira sumljive e-poštne povezave ali se ne odziva na varnostna opozorila, mu lahko sistem dodeli dodatne interaktivne scenarije in personalizirane treninge.

AI lahko tudi simulira napade v realnem času, tako da zaposleni niso le pasivni poslušalci predavanj, temveč dejansko doživijo phishing ali socialni inženiring napad v varnem okolju. Na podlagi odziva sistem analizira njihovo ravnanje in poda takojšnje povratne informacije, kar močno izboljša sposobnost prepoznavanja in odzivanja na grožnje.

Priprava zaposlenih na AI-generirane napade

Ljudje so še vedno zadnja obrambna linija. Podjetja morajo zato vlagati v izobraževanje o prepoznavanju socialnega inženiringa, vzpostaviti učinkovite mehanizme za prijavo sumljivih sporočil ter spodbujati kulturo kibernetske varnosti.

Priprava na prihodnost

Po Gartnerjevih napovedih bo do leta 2028 tretjina interakcij z UI potekala prek avtonomnih agentov, ki bodo samostojno izvajali naloge. Kibernetski kriminalci ne bodo zaostajali in bodo ta napredek hitro izkoristili.

To pomeni, da bomo v prihodnjih letih priča dramatični spremembi v načinu delovanja tako legitimnih organizacij kot tudi kibernetskih napadalcev. Medtem ko bodo podjetja UI agente uporabljala za avtomatizacijo nalog, analizo podatkov in izboljšanje produktivnosti, bodo napadalci te iste tehnologije izkoristili za izvajanje bolj prepričljivih, vztrajnih in inteligentnih kibernetskih napadov.

Eden največjih izzivov bo ločevanje zakonitih UI interakcij od zlonamernih. UI agenti bodo lahko samostojno upravljali poslovno komunikacijo, rezervirali sestanke, obdelovali zahteve za podporo in celo sodelovali pri odločanju. To odpira vrata za nove oblike napadov, kjer bodo kibernetski kriminalci uporabili agentne UI sisteme za prikrito vmešavanje v poslovne procese, manipulacijo s podatki ali ustvarjanje lažnih avtoritet.

Organizacije se bodo morale pravočasno pripraviti na ta scenarij in sprejeti strategije za zaščito pred avtonomnimi grožnjami. To vključuje razvoj naprednih sistemov za preverjanje pristnosti, uvedbo UI-podprtih varnostnih rešitev ter krepitev zavedanja zaposlenih o novi generaciji groženj. Le proaktivna prilagoditev tem spremembam bo organizacijam omogočila, da ostanejo korak pred napadalci in varno delujejo v prihodnosti, kjer bodo UI agenti igrali ključno vlogo tako v produktivnosti kot tudi v varnostnih tveganjih.

Kako UI pomaga napadalcem pri socialnem inženiringu?

Personalizirani phishing napadi

UI lahko analizira socialna omrežja, OSINT vire in druge podatke, da ustvari izjemno prepričljive phishing napade, prilagojene posameznim ciljem. S pomočjo algoritmov strojnega učenja lahko napadalci hitro pridobijo podrobne informacije o svoji tarči, vključno z njenimi poklicnimi povezavami, interesi, nedavnimi objavami in celo specifičnim jezikovnim slogom. Na podlagi teh podatkov UI sestavi izjemno avtentično sporočilo, ki ga je težko prepoznati kot prevaro.

Takšni napadi so še posebej nevarni, ker izkoriščajo človeško naravo – zaupanje v avtoriteto, nujnost situacije ali željo po poslovnih priložnostih. Če na primer UI zazna, da je oseba nedavno obiskala določeno konferenco, ji lahko pošlje prilagojen e-mail s ponarejenimi gradivi ali “nadaljnjimi informacijami”, ki vsebujejo zlonamerno povezavo. Z avtomatizirano analizo in prilagajanjem sporočil vsakemu posamezniku posebej, phishing napadi postajajo bolj učinkoviti kot kadar koli prej.

Lokalizacija in kontekstualizacija

Generativna UI orodja, kot so ChatGPT, Copilot in Gemini, lahko pišejo slovnično pravilne in kontekstualno ustrezne phishing e-pošte v kateremkoli jeziku ter jih prilagodijo tonu določene osebe ali organizacije. To pomeni, da lahko napadalci s pomočjo UI generirajo e-pošto, ki ne vsebuje očitnih slovničnih napak ali nelogičnih formulacij, zaradi katerih so bili klasični phishing napadi pogosto lažje prepoznavni.

Še več, UI lahko analizira preteklo komunikacijo določene organizacije in ustvari sporočila, ki posnemajo njen notranji slog – od formalnega poslovnega jezika do sproščenih interna e-poštnih sporočil. Tako lahko na primer napadalec ponaredi e-pošto vodje kadrovske službe in pošlje zaposlenim zahtevo za posodobitev podatkov v lažni interni aplikaciji, kar poveča verjetnost, da bodo žrtve vnesle svoje prijavne podatke.

Poleg tega lahko UI upošteva lokalne kulturne specifike in prilagodi phishing sporočila tako, da se zdijo bolj pristna. Na primer, v državah, kjer je običajna formalna komunikacija, bo UI uporabila spoštljiv in uraden ton, medtem ko bo v bolj sproščenih poslovnih okoljih sporočilo oblikovano na način, ki ustreza pričakovanjem prejemnika.

Deepfake napadi

Napadalci lahko uporabijo deepfake glasovne ali video simulacije, s katerimi posnemajo vodilne v podjetjih in tako zvabijo zaposlene v deljenje občutljivih podatkov, izvajanje nakazil ali odobritev dostopov. Z napredkom umetne inteligence so deepfake tehnologije postale izjemno prepričljive – dovolj je nekaj minut javno dostopnih posnetkov posameznika, da UI ustvari skoraj popoln posnetek njegovega glasu ali obraza.

To pomeni, da lahko zaposleni prejmejo telefonski klic od “direktorja” ali “vodje financ”, ki jih prosi, naj takoj izvedejo nujno plačilo ali posredujejo dostop do poslovnih sistemov. Napad lahko vključuje tudi video sestanek, kjer deepfake različica vodilne osebe navidezno potrjuje avtentičnost zahteve. Takšni napadi so še posebej nevarni, ker lahko izkoriščajo časovni pritisk in občutek avtoritete, zaradi česar zaposleni težje prepoznajo prevaro in ukrepajo razumno.

Dodatno tveganje predstavlja možnost, da napadalci deepfake tehnologijo uporabijo za kompromitiranje poslovnih odnosov. Na primer, ustvarijo ponarejen video ključne osebe podjetja, ki daje izjave, ki bi lahko škodile ugledu podjetja ali vplivale na njegovo tržno vrednost.

Evolucija agentne UI in njene grožnje

Od decembra 2022, ko je bila prva velika jezikovna UI (LLM) prosto dostopna javnosti, do danes smo priča hitremu napredku generativne UI. V drugi polovici leta 2024 smo vstopili v novo fazo – agentna UI, ki lahko deluje avtonomno in izvaja kompleksne naloge brez človeškega posredovanja.

Ker je UI zdaj dostopna vsem, bodo kibernetski kriminalci hitro začeli izkoriščati agentno UI za obsežne socialne inženiring napade.

Kaj to pomeni za prihodnost kibernetske varnosti?

• Napadi bodo vse bolj prilagodljivi in vztrajni. UI se uči iz vsake interakcije in prilagaja tehnike, kar pomeni, da bo vsaka nova phishing kampanja bolj prepričljiva kot prejšnja.
• Avtomatizirani spear phishing – agentna UI lahko samodejno zbira podatke o ciljih, oblikuje phishing sporočila in jih prilagaja glede na odziv žrtve.
• Dinamična ciljna usmeritev – napadi bodo odzivni in prilagodljivi. Če žrtev ignorira phishing e-pošto, bo AI poslal bolj prepričljivo nadaljnje sporočilo.

Zaključek

Napadi s socialnim inženiringom so vstopili v novo dobo. Napadalci lahko zdaj izvajajo večkanalne, personalizirane in prilagodljive napade, ki se učijo, izboljšujejo in nikoli ne odnehajo. Ravno ta vztrajnost, “neskončna” povratna zanka in samoučenje so lastnosti, ki lahko ljudem tako dolgo predstavljajo verzijo resnice, da se bodo na koncu vdali in izpolnili želeni cilj – odprli vrata do občutljivih podatkov.

To ni več klasičen phishing, kjer prejmete slabo prevedeno e-pošto z očitnimi napakami. Napadalci danes ustvarjajo visoko personalizirane scenarije, ki se prilagajajo vašim odzivom in vedenjskim vzorcem. Napad lahko traja ure, dneve ali celo tedne – vse z namenom, da zmanjša sumničavost in poveča verjetnost uspeha. Če je nekdo enkrat zavrnil sumljivo zahtevo, bo UI analizirala razlog zavrnitve in oblikovala novo strategijo, ki bo bolj učinkovita.

Da bi ostali korak pred njimi, morajo podjetja:

• Uporabiti lastne AI varnostne agente oz. razpoložljivo rešitev na trgu, ki lahko zaznava nenavadne vzorce vedenja in hitro prepozna znake socialnega inženiringa.
• Vlagati v napredno AI-podprto varnostno ozaveščanje, ki zaposlenim omogoča usposabljanje skozi realne scenarije in jih pripravlja na vedno bolj prefinjene oblike napadov.
• Krepiti kulturo kibernetske varnosti in ozaveščenost zaposlenih, saj je prav človek tisti, ki pogosto predstavlja zadnjo obrambno linijo pred kibernetskimi grožnjami.

Napadalci ne potrebujejo vaših zasebnih ključev – dovolj je, da vas prepričajo, da jim jih predate. Prav zato je ključnega pomena, da se organizacije in posamezniki aktivno pripravijo na to novo dobo kibernetskih groženj.

Priprava na te napade ni več opcija, temveč nujnost. Tisti, ki tega ne bodo vzeli resno, ne bodo vprašani, ali želijo postati tarča – preprosto bodo postali ena izmed njih.

**Članek je plod razmišljanja, izkušenj in vpogledov v trenutno stanje, za katerega smo se navdušili pri avtorju s Stu Sjouwerman-u. V želji, da to trenutno najbolj vročo tematiko dodatno razširimo in približamo njeno razumevanje, smo dodali tudi lastni kontekst. Originalni zapisu najdete na povezavi: securityweek.com