Как ИИ может сделать фишинговые атаки более опасными

Фишинговые атаки происходят, когда злоумышленники обманывают своих жертв и заставляют их делиться личной информацией, такой как пароли или номера кредитных карт, притворяясь кем-то, кем они не являются. Искусственный интеллект (ИИ) упростил для злоумышленников фишинговые атаки, он помогает писать правдоподобные фишинговые сообщения, имитировать голоса людей, изучать жертв и создавать дипфейки. Используя в этих атаках ИИ, злоумышленники могут казаться более убедительными и заслуживающими доверия, а значит, больше жертв будут склонны отправить им личную информацию или деньги. Согласно исследованию, проведенному по заказу Keeper^® в 2024 году, руководители ИТ-служб отмечают рост числа атак с использованием ИИ на 51%.

Продолжайте читать, чтобы узнать, как злоумышленники используют ИИ в фишинговых атаках, ознакомьтесь с примерами использования ИИ и способами защиты от этих атак.

Как злоумышленники используют ИИ для фишинговых атак

ИИ помогает злоумышленникам совершать более опасные фишинговые атаки как на частных лиц, так и на предприятия.

ИИ для написания текста

Используя средства генеративного ИИ, такие как ChatGPT, злоумышленники могут создавать фишинговые сообщения без типичных контрольных признаков мошенничества, таких как грамматические и орфографические ошибки. Чтобы продемонстрировать, насколько легко с этим могут справиться злоумышленники, я попросила ChatGPT подготовить фишинговое письмо. Введенный мною контент был сразу же удален, и ChatGPT ответил: «Этот контент может нарушать наши политики использования». Несмотря на это нарушение, ChatGPT все же создал пример фишингового письма. Вот результат работы ChatGPT:

Обратите внимание, что, в отличие от типичных фишинговых писем, это сообщение не содержит грамматических или орфографических ошибок. Злоумышленникам, использующим средства генеративного ИИ, такие как ChatGPT, не нужно думать, как сформулировать свои требования к информации. ChatGPT включил в текст элемент срочности, место, чтобы злоумышленник мог вставить фишинговую ссылку, и даже угрозу, что в противном случае учетная запись жертвы будет заблокирована.

ИИ для изучения

Генеративный ИИ также может помочь злоумышленникам в изучении жертвы. Ранее в этом году ФБР предупредило частных и корпоративных пользователей об увеличении количества персональных и адресных сообщений, которые злоумышленники создают с помощью ИИ. Поскольку на изучение каждой из жертв злоумышленнику требуется время, ИИ ускоряет выполнение этой задачи, обрабатывая и синтезируя информацию о ней. Это позволяет злоумышленникам узнать больше о своих жертвах и их интересах без необходимости тратить много времени на тщательное изучение.

ИИ, чтобы выдать себя за другого

В некоторых ситуациях злоумышленники могут использовать ИИ, чтобы имитировать типичные электронные письма или текстовые сообщения, и даже использовать ИИ, чтобы подделывать голоса и выдавать себя за других. ИИ также может генерировать визуальный контент, такой как фотографии или видео, чтобы выдавать себя за кого-то, кому доверяет жертва. Увидев знакомую фотографию профиля или опубликованное видео, кто-то может поверить, что отправляет личную информацию или деньги тому, кого знает. Однако злоумышленники используют ИИ для создания дипфейков. Подробнее об этом ниже.

Примеры фишинговых атак с использованием ИИ

Поскольку фишинговые атаки на основе ИИ становятся все более распространенными, есть несколько основных типов, на которые следует обратить внимание. Давайте рассмотрим некоторые примеры фишинговых атак с использованием ИИ.

Фишинговые письма и тексты, сгенерированные ИИ

До того как ИИ стал удобным инструментом для злоумышленников, который можно использовать для фишинговых атак, распознать фишинговые сообщения по электронной почте или в текстовом сообщении было просто, поскольку в них обычно содержались различные орфографические и грамматические ошибки. Например, большинство фишинговых писем имели явные опечатки или неудачно сформулированные предложения, как будто автор сообщения не владеет языком, на котором пишет. Однако фишинговые электронные письма и тексты, генерируемые ИИ, менее очевидны, поскольку ИИ устраняет эти явные ошибки.

Например, злоумышленники могут отправить фишинговое электронное письмо, сгенерированное ИИ, сотруднику крупной компании. Сотрудника, возможно, научили выявлять фишинговые электронные письма по очевидным признакам: наличие опечаток и грамматических проблем. Однако, если фишинговое письмо достаточно убедительно и злоумышленник выдает себя за руководителя этого сотрудника, сообщение может показаться совершенно нормальным, и он может поделиться конфиденциальной информацией по электронной почте.

Вишинговые атаки с использованием ИИ

Вишинг, тип фишинговой атаки по телефону, стал более опасным из-за инструментов ИИ. В типичных вишинговых атаках злоумышленники выдают себя за компанию или человека, которому доверяет жертва, чтобы увеличить шансы на получение денег или информации. Однако в вишинговых атаках с использованием ИИ злоумышленники могут притвориться кем-то, кого знает их жертва, анализируя знакомые голоса из видео или аудиозаписей. После того как ИИ обработает эти голоса, злоумышленник может замаскировать свой голос и говорить так, как будто является родственником, другом или начальником жертвы. ИИ, используемый таким образом, делает вишинговую атаку более убедительной, если жертва узнает голос на другом конце провода.

В последнее время это наблюдается в технологически продвинутых мошеннических схемах с пожилыми людьми, когда злоумышленники загружают видео или аудиозаписи их близких из социальных сетей. Злоумышленники используют ИИ, чтобы выдать себя за кого-то из близких, обманом заставляя пожилого человека поверить, что член семьи находится в опасности, что обычно заканчивается отправкой денег.

Целевые фишинговые атаки с использованием ИИ

Целевые фишинговые атаки происходят, когда злоумышленники нацеливаются на конкретного человека или организацию с использованием предварительно собранной информации о них, такой как имя, адрес электронной почты или номер телефона. Хотя это звучит как традиционная фишинговая атака, целевой фишинг является более персонализированной и целенаправленной кибератакой, что затрудняет жертве возможность распознать сообщение как часть фишинговой атаки. Злоумышленники используют ИИ в целях изучения для сбора информации о жертвах, а затем используют средства генеративного ИИ, такие как ChatGPT, для написания электронных писем и текстов на основе собранной информации.

Например, предположим, что злоумышленник хочет выбрать в качестве жертвы студента колледжа, который проходит стажировку в крупной финансовой компании. Для экономии времени злоумышленники используют ИИ для анализа социальных сетей и других публичных записей жертвы. После того как ИИ соберет достаточно информации о жертве и ее роли в организации, злоумышленники могут ввести эту информацию в средство генеративного ИИ и написать персонализированное электронное письмо, выдавая себя за коллегу или руководителя, чтобы убедить жертву поделиться конфиденциальной информацией.

Дипфейки, созданные ИИ

Хотя дипфейки существуют уже довольно давно, их становится все труднее обнаружить из-за достижений в технологии ИИ. Дипфейки — это формы мультимедийного контента, например фотографии, аудиозаписи и видео, которые изменяют внешний вид человека, чтобы заставить его казаться кем-то, кем он не является. Например, недавние дипфейки в социальных сетях изображали знаменитостей, которые занимаются чем-то неподобающим с другими знаменитостями или обычными людьми, хотя на самом деле этого взаимодействия никогда не было. Они часто используются в злонамеренных целях, таких как шантаж или распространение ложной информации. Дипфейки, генерируемые ИИ, становятся настолько реалистичными, что даже правоохранительные органы испытывают трудности с определением того, является ли изображение или видео поддельным. Благодаря тому, что эти дипфейки выглядят естественно, злоумышленники используют ИИ для проведения различных фишинговых атак, потому что многие люди верят тому, что видят.

Как защитить себя от фишинговых атак с использованием ИИ?

Несмотря на то что фишинговые атаки с использованием ИИ происходят чаще и становятся все более опасными, все еще существуют способы защитить себя от этих передовых кибератак.

Ни в коем случае не нажимайте нежелательные ссылки и вложения

Чтобы сохранить личную информацию и устройства в безопасности, ни в коем случае не нажимайте ссылки и не загружайте вложения из нежелательных сообщений. Если вы получите нежелательное электронное письмо или текстовое сообщение с призывом щелкнуть ссылку для проверки информации об учетной записи, это, скорее всего, мошенничество. Даже неосторожно нажимая ссылку, вы рискуете установить на устройство вредоносное ПО, которое может украсть ваши личные данные. Вы можете проверить, является ли ссылка безопасной, наведя курсор на URL-адрес или безопасно скопировав и вставив ссылку в средство проверки URL-адреса, например Google Transparency Report.

То же самое касается нежелательных сообщений с вложениями: не загружайте их на устройство. Например, если нежелательное электронное письмо содержит PDF-файл или электронную таблицу, которую вам настоятельно рекомендуют открыть, не нажимайте, потому что в них, скорее всего, содержится вредоносное ПО. Если вы нажмете или загрузите нежелательное вложение, то можете спровоцировать заражение вредоносным ПО, которое поставит вашу личную информацию под угрозу компрометации и ее отправки злоумышленнику. Проверьте безопасность вложения с помощью антивирусного программного обеспечения, еще раз убедившись, что отправитель является законным, и игнорируя любые сообщения, помеченные поставщиком услуг электронной почты как спам.

Не отвечайте на нежелательные запросы на предоставление личной информации

Необходимо игнорировать любые нежелательные запросы по электронной почте, в текстовых сообщениях или по телефону, в которых запрашиваются ваши личные данные. Если вам позвонили с неизвестного номера от имени знакомого человека или компании, прежде чем отвечать, подумайте, почему они звонят из ниоткуда, чтобы попросить вашу личную информацию. Вот некоторые распространенные типы личной информации, которую не стоит сообщать в случае нежелательных запросов:

Будьте осторожны с предложениями, которые кажутся слишком хорошими, чтобы быть правдой

Использование ИИ для исследований облегчает злоумышленниками задачу выяснить интересы жертвы. Не верьте каким-либо предложениям, которые кажутся слишком хорошими, чтобы быть правдой, особенно если они относятся к тому, что вы хотели. Например, если вы получите электронное письмо или смс, в котором говорится, что вы выиграли пожизненный запас любимой косметической продукции, будьте осторожны, так как это, вероятно, уловка, чтобы заставить вас нажать что-то опасное или поделиться личной информацией.

Создайте секретное слово для семьи

Секретное слово или семейный код — это то, что вы должны создать, чтобы проверить личность человека, если возникли подозрения. Например, если кто-то звонит вам или члену семьи и утверждает, что вы знакомы, попросите звонящего сказать секретное слово. Если звонящий неправильно назовет слово, станет понятно, что звонок является частью фишинговой атаки. Убедитесь, что злоумышленники не смогут угадать секретное слово, поискав информацию о вас или вашей семье в Интернете. Уникальное секретное слово поможет защитить вас и вашу семью от фишинговых атак с использованием ИИ.

Используйте менеджер паролей

Один из лучших способов защитить себя от фишинговых атак с поддержкой ИИ — это использовать менеджер паролей, например Keeper. Менеджер паролей не только хранит ваши пароли в безопасном месте, но и защищает вашу информацию от фишинговых атак, если поддерживает функцию автозаполнения. Функция Keeper Password Manager, KeeperFill, будет заполнять ваши учетные данные только в том случае, если веб-сайт, сохраненный в цифровом хранилище, и веб-сайт, который вы собираетесь посетить, совпадают.

Будьте в курсе последних новостей в области кибербезопасности

Поскольку ИИ продолжает развиваться, а кибератаки со временем меняются, важно быть в курсе последних новостей и событий в области кибербезопасности. Ежедневно публикуется множество блогов и статей, в которых рассказывается о последних утечках данных, тенденциях в сфере мошенничества и новых киберугрозах. Простой способ оставаться в курсе событий — следить за несколькими блогами и веб-сайтами по кибербезопасности, включая Dark Reading, SecurityWeek и блог Keeper Security.

Не становитесь жертвой фишинговых атак с использованием ИИ

Любой вид фишинговой атаки может привести к краже злоумышленниками вашей личной информации или денег, но фишинговые атаки на основе ИИ развиваются быстро и становятся еще более опасными. Защитите себя и свою конфиденциальность, игнорируя нежелательные ссылки или вложения, не передавая личную информацию по нежелательным запросам, придумав секретное слово и используя менеджер паролей.

Начните использовать бесплатную 30-дневную пробную версию Keeper Password Manager, чтобы защитить от злоумышленников пароли и учетные записи в Интернете.