Prieš kelerius metus sukurti tikroviškus phishing puslapius reikėjo nemažai techninių žinių ir laiko. Šiandien piktavaliams užtenka kelių sekundžių ir paprasto sakinio anglų kalba. Okta kompanijos tyrimai atskleidžia neramų faktą: kibernetiniai nusikaltėliai išmoko panaudoti dirbtinio intelekto įrankius, tokius kaip Vercel v0.dev, sukurdami apgaulingus puslapius, kurie gali suklaidinti net patyrusiuosius vartotojus.
Kai technologijos pažanga tarnauja blogiui
V0.dev – tai Vercel kompanijos sukurtas įrankis, skirtas greitai kurti interneto puslapių sąsajas naudojant natūralios kalbos komandas. Iš pradžių skirtas programuotojų produktyvumui didinti, jis netyčia tapo galingiausiu phishing puslapių kūrimo įrankiu.
Kibernetiniai nusikaltėliai šiandien gali tiesiog parašyti: „Sukurk prisijungimo puslapį, panašų į Microsoft 365, su kompanijos logotipu viršuje ir slaptažodžio lauku centre.” Rezultatas? Beveik idealus originalaus puslapio dublikatas, sukurtas per vieną minutę. Tai, kam anksčiau reikėjo kelių dienų arba net savaičių darbo, dabar atliekama greičiau nei spėjama išgerti kavos puodelį.
„Tai, ką matome, yra technologinė revoliucija kibernetinių nusikaltimų srityje,” sako informacijos saugumo ekspertai. „Anksčiau reikėjo programavimo įgūdžių ir nemažai laiko. Dabar pakanka mokėti tik rašyti.”
Itin rafinuotos apgaulės metodai
Piktavaliai išmoko sudėtingą prompt engineering – AI modeliams skirtų instrukcijų formulavimo meną. Jie vengia tam tikrų raktinių žodžių ar naudoja subtilias manipuliacijas, kad apeitų etinius apsaugos mechanizmus.
Pavyzdžiui, užuot tiesiogiai prašę nukopijuoti Microsoft puslapį, jie rašo: „Sukurk švarų ir profesionalų prisijungimo puslapį debesų paslaugų teikėjui. Įtraukite el. pašto ir slaptažodžio laukus, korporacinę spalvų schemą, bet tiesiogiai nenaudokite kompanijos pavadinimo.”
Dar labiau neramina tai, kad kibernetiniai nusikaltėliai derina AI instrumentus su kitais metodais. Jie naudoja tokius įrankius kaip DALL·E ar Midjourney logotipams kurti, o puslapius talpina patikimuose paslaugų teikėjuose kaip GitHub Pages ar Netlify.
Kodėl tai taip pavojinga?
Tradiciniai phishing aptikimo metodai – URL reputacijos tikrinimas, domenų analizė, vizualių neatitikimų paieška – darosi vis mažiau efektyvūs. Šiuolaikiniai AI sukurti phishing puslapiai:
- Dar viena netikėta žinia iš „Swedbank“ nutraukiama itin populiari paslauga. Klientai jaučiasi apgauti
- SEB bankas įspėja apie tris naujus apgaulės būdus. Sukčiai pakeitė taktiką
- FIFA Pasaulio futbolo klubų taurė: sensacingos brazilų pergalės ir Europos grandų mūšiai ketvirtfinalyje
- Rimtas įspėjimas iš „Swedbank”: sukčiai niekur nedingo, vis dažniau skambina ir apsimetinėja banko darbuotojais
- „Swedbank” skelbia esminius pokyčius, kurie įsigalios nuo spalio 5 dienos: ką svarbu žinoti kiekvienam klientui
- Vizualiai neatskirami nuo tikrų puslapių
- Talpinami gerai žinomuose ir patikimuose serveriuose
- Kuriami masinėmis apimtimis naudojant automatizuotus procesus
Dar blogiau, kad kai kurie nusikaltėliai jau pradėjo naudoti vietinius AI modelius, veikiančius be interneto ryšio. Jie gali sukurti šimtus tikroviškų puslapių per kelias minutes, niekada neužklausdami išorinių serverių.
Kaip apsisaugoti?
Ekspertai siūlo kelis sprendimus:
Technologiniai sprendimai: Naudoti kriptografiškai saugius autentifikavimo metodus, tokius kaip Okta FastPass, kurie veikia tik su originaliu puslapiu. Įdiegti įrenginių patikimumo politikas ir elgesio analitikos sistemas.
Žmonių mokymas: Atnaujinti darbuotojų mokymą, kad jie suprastų AI sukurtų phishing kampanijų ypatybes. Dabar net „tobuli” puslapiai su HTTPS sertifikatais ir tikrais logotipais gali būti pavojingi.
Organizacijos lygmens sprendimai: Atnaujinti phishing simuliacijas, kad jos atspindėtų AI sukurtus puslapius. Audituoti vidinį AI įrankių naudojimą ir bendradarbiauti su debesų paslaugų teikėjais kuriant automatizuotus pranešimo bei pašalinimo mechanizmus.
Ateities iššūkiai
Kaip sako saugumo ekspertai, „mėgėjiško phishing epocha baigiasi. Prasideda AI valdomo apsimetinėjimo era.” Tai reiškia, kad gynybos strategijos turi keistis ne tik mokymo, bet ir technologijų lygmeniu.
Šis atvejis rodo, kaip greitai technologijos pažanga gali būti panaudota piktavalių tikslams. Tuo metu, kai dirbtinis intelektas žada palengvinti mūsų darbus, jis taip pat suteikia naujų galimybių tiems, kurie siekia mums pakenkti.
Žinoma, AI plėtra neturi sustoti dėl galimo piktnaudžiavimo. Tačiau svarbu suprasti, kad kiekvienai technologinei naujovei reikia ir atitinkamų saugumo priemonių. Kaip sakoma – geriausia gynyba yra žinojimas apie grėsmę.
Šaltinis: securitynewspaper.com
