Aż 67,4 proc. globalnych incydentów phishingowych w 2024 r. było wspieranych przez sztuczną inteligencję, a skuteczność takich ataków wynosi nawet 54 proc. kliknięć w linki w testach na ludziach. To wzrost o 350 proc. w porównaniu do tradycyjnych ataków – wynika z z najnowszego raportu Check Point Software Technologies. Świadczy to o tym, że cyberataki wspierane przez AI osiągnęły niespotykaną dotąd skalę i precyzję. Dzięki nowym technologiom hakerzy są skuteczniejsi niż kiedykolwiek wcześniej. A to dopiero początek, uważają eksperci.
Jedną z ofiar tego typu ataków był węgierski oddział dużej europejskiej sieci handlowej, który w lutym 2024 r. stracił 15,5 mln euro przez wiadomości e-mail stworzone przez AI, które idealnie odwzorowywały styl i układ wcześniejszej korespondencji. Filtry antyspamowe nie miały żadnych szans.
Autorzy raportu zwracają uwagę, że cyberprzestępcy nie tylko nadążają za tempem rozwoju AI, ale w pewnym sensie zaczynają je wyprzedzać. Po stworzeniu WormGPT – modelu LLM wyszkolonego do celów „blackhat” (tj. zastosowań nielegalnych) – pojawił się jeszcze groźniejszy gracz: Xanthorox AI. To w pełni autonomiczny, modularny system działający offline, wyposażony w pięć wyspecjalizowanych modeli AI, które samodzielnie tworzą złośliwe oprogramowanie, prowadzą rozpoznanie, manipulują ludźmi i koordynują ataki bez jakiejkolwiek zewnętrznej kontroli.
Sztuczna inteligencja analizuje dziś dane z mediów społecznościowych, rejestrów publicznych i wycieków z błyskawiczną prędkością. Potrafi przewidzieć, kiedy najlepiej uderzyć, jakim tonem pisać, jak podszyć się pod dyrektora i jak zainfekować sieć wewnętrzną.
W zeszłym roku w Indiach doszło do ataku spear-phishingowego, w którym AI sklonowała styl wypowiedzi CEO i wykorzystała oficjalne szablony firmowe, by stworzyć fałszywy portal logowania. W efekcie cyberprzestępcy uzyskali dostęp do danych finansowych i setek naruszonych kont.
Gdy phishing to za mało, do gry wchodzą deepfake. W Hongkongu w styczniu 2024 r. oszuści wykorzystali wideo z wygenerowanym syntetycznie CFO, by podczas fałszywego spotkania na Teamsach przekonać pracownika do przelewu 25 mln dolarów. W Zjednoczonych Emiratach Arabskich, dzięki deepfake’owi głosu, wyłudzono 35 mln dolarów. W Wielkiej Brytanii z kolei oszuści próbowali podszyć się pod CEO za pomocą fałszywego konta WhatsApp i zmanipulowanego wideo z YouTube.
W opinii Check Point Software, zwodnicze może nastawienie, że sztuczna inteligencja chroni nas przed atakami, to jutro może się okazać, że to właśnie AI jest naszym największym wrogiem. Eksperci Check Pointa uważają, że to dopiero początek nowego wyścigu zbrojeń. Kto szybciej wykorzysta AI, ten przejmie kontrolę. Instytucje powinny przestać myśleć o AI tylko w kategoriach wsparcia i strażnika bezpieczeństwa oraz zacząć rozumieć, jak bardzo może być ona bronią ofensywną.
