Sociální inženýrství v éře generativní AI: Jaké jsou trendy v roce 2024?

Umělá inteligence nám dnes už celkem běžně pomáhá odbavovat rutinní práci. Bohužel ale s její pomocí svůj výkon optimalizují i hackeři. Umožňuje jim zvyšovat nejen kvantitu, ale i přesvědčivost jejich útoků na poli

Platformy, které dlouhodobě monitorují vývoj kybernetické bezpečnosti, se shodují v jednom – sociálnímu inženýrství dech rozhodně nedochází. Podle dat Cybersecurity Ventures dosáhnou globální náklady na boj s kyberkriminalitou v roce 2025 10,5 bilionu ročně.

A právě phishing představoval metodu, která stála na začátku 41 % kybernetických incidentů, jak uvádí zpráva  IBM Security X-Force Threat intelligence Index 2023.

1. AI pomáhá šířit útoky rychleji a efektivněji

Hnacím motorem změn v taktikách sociálního inženýrství se od minulého roku stala především umělá inteligence. A nejedná se jen o už zmiňovaný phishing. Hackeři pomocí technologie deepfake dokážou vytvořit realistické hlasové a video napodobeniny vedoucích pracovníků, zaměstnanců nebo jiných důvěryhodných osob.

Například začátkem roku 2024 byl zaměstnanec jedné firmy v Hongkongu podvedený pomocí deepfake technologie, když během videohovoru uvěřil podvodníkům vydávajícím se za vedení firmy. Tento falešný videohovor ho přesvědčil k převodu 25 milionů dolarů na podvodný účet.

Deepfake útoky silně na vzestupu. Co to je a jak je poznat?

Deepfake útoky silně na vzestupu. Co to je a jak je poznat?

Zobrazit článek

S pomocí umělé inteligence můžou hackeři také snáz zakládat a spravovat falešné profily na sociálních sítích, prostřednictvím kterých pak s oběťmi komunikují a získávají tak jejich důvěru.

Stejně tak se získávání přihlašovacích údajů a ovládnutí účtů stalo snazší, protože algoritmy strojového učení analyzují časté vzory přihlašovacích údajů a využívají tyto informace k efektivnějšímu odhadování hesel. AI také dokáže automatizovat proces testování přihlašovacích údajů na více webech a rychle identifikovat účty, které lze kompromitovat.

S umělou inteligencí už vishing možná nepoznáte

Příkladem útoků, který je s AI daleko efektivnější, je vishing. Tato podvodná technika funguje tak, že útočníci telefonují obětem a vydávají se za zástupce důvěryhodných organizací, aby získali citlivé informace (jako jsou hesla nebo finanční údaje). Tradičně byly tyto hovory vedeny skutečnými podvodníky, kteří se snažili oběť přesvědčit o své pravosti. Dnes ale technologie umožňuje útočníkům využívat AI k vytváření automatizovaných hlasových hovorů, které znějí přirozeně a věrohodně.

Vishing na vzestupu: Jak se ve firmě bránit podvodným telefonátům?

Vishing na vzestupu: Jak se ve firmě bránit podvodným telefonátům?

Zobrazit článek

Útočníci ale hlavně zvyšují důvěryhodnost telefonátu tím, že trénují AI na veřejně dostupných datech o cílových osobách, například na základě informací z profesních sociálních sítí, jako je LinkedIn, nebo z veřejných vystoupení, čímž si mohou připravit specifické scénáře pro konkrétní osoby. 

2. Demokratizace kybernetických útoků

Demokratizace umělé inteligence a dat společně s nejrůznějšími hackerskými tržišti na na dark webu zapojují do kyberútoků i méně technicky zdatné jedince. Kyberzločincům v současnosti stačí několik správně zadaných promptů a generativní umělá inteligence podle jejich pokynů vytvoří přesvědčivý phishingový e-mail nebo škodlivý kód.

Novinkou v oblasti sociálního inženýrství je také phishing-as-a-service. Tento produkt využívá obchodní model softwaru jako služby, který poskytuje zájemcům za poplatek přístup k tzv. phishingové sadě. Ta obsahuje různé nástroje jako falešné webové stránky, e-mailové šablony, webový hosting, nástroje pro plánování a správu kampaní.

Platformy, které na dark webu nabízejí phishing-as-a-service, poskytují komplexní útoky sociálního inženýrství pro tisíce škodlivých aktérů. Kdokoliv bez odborných znalostí si může koupit balíček, s jehož pomocí může spustit phishingové kampaně proti zákazníkům bank či platebních platforem, technologickým společnostem nebo maloobchodním firmám.

Na konci února 2024 vyšlo najevo, že podobná platforma LabHost nabízela možnost provést útoky na zákazníky bank v Kanadě a Spojených státech. Potenciální zákazníci si u firmy mohli vybrat ze tří typů tarifů, které obsahovaly různé funkce a umožňovaly útočit na různé banky.

3. Long Game: když si útočník u oběti buduje důvěru

Technika známá jako „long game“ představuje sofistikovanou strategii v rámci sociálního inženýrství, kdy útočníci postupně a dlouhodobě budují důvěru u oběti. Tento typ taktiky vyžaduje trpělivost a soustavnou komunikaci, která může trvat měsíce až roky.

K navázání a udržení kontaktu využívají útočníci často profily generované umělou inteligencí (tzv. sock puppet účty). Jejich důvěryhodnost navíc zvyšují tím, že falešné osobě vytvoří uvěřitelný životní příběh i digitální stopy (nejen) na sociálních sítích.

Tyto profily pak s oběťmi navážou dialog na téma společných zájmů nebo profesních záležitostí, a tím se postupně vetřou do její přízně. Příkladem této techniky jsou útoky popsané v poradním dokumentu CISA, připisované ruské skupině Star Blizzard.

Ruští útočníci začínají útoky důkladnou analýzou otevřených zdrojů a sociálních sítí, tak aby získali informace o svých obětech.

Pak vytvoří falešné e-mailové účty nebo profily na sociálních sítích, které napodobují účty známých nebo kolegů oběti. Po navázání počátečního a neškodně vypadajícího kontaktu pokračují dál v komunikaci, aby si získali důvěru oběti. Jakmile mají pocit, že jim oběť dostatečně důvěřuje, využijí útočníci této vazby k doručení škodlivého odkazu, který vede na server kontrolovaný útočníky, kde se snaží získat přihlašovací údaje oběti.

Tato strategie umožňuje skupině Star Blizzard zůstat dlouhodobě nenápadná a efektivní, čímž získávají přístup k citlivým informacím a infrastruktuře svých cílů.

Tipy, jak se bránit proti sociálnímu inženýrství v roce 2024

• Pravidelně školte zaměstnance o vývoji v sociálním inženýrství. Třeba jak pečlivě kontrolovat e-maily a přílohy. Na útoky přes e-mail je také vhodné zaměstnance připravit simulovanými phishingovými kampaněmi. Tak je nejlépe natrénujete na reálné situace.
• Zaveďte multifaktorovou autentizaci pro všechny důležité systémy a účty. Využívejte také biometrické ověřování. Tím ztížíte útočníkům získání přístupu i při kompromitaci hesla.
• Definujte a aktualizujte bezpečnostní politiky a postupy pro zacházení s citlivými informacemi. Zaměřte se také na protokoly pro ověřování identity.
• Používejte aktuální antivirové programy a e-mailové filtry, které dokážou detekovat a blokovat škodlivé e-maily a soubory.
• Aktivně monitorujte síťový provoz a využívejte nástroje pro analýzu chování uživatelů k identifikaci podezřelé aktivity.
• Podporujte skepticismus vašich zaměstnanců vůči podezřelým žádostem.
• Používejte šifrování pro přenos citlivých informací a aplikujte princip co nejmenšího oprávnění, abyste zamezili přístup neautorizovaným osobám.
• Mějte připravený plán pro reakci na bezpečnostní incidenty a tým vyškolený k rychlé reakci na potenciální útoky.
• Pravidelně aktualizujte software a implementujte efektivní systém pro správu záplat, aby byly všechny bezpečnostní opravy aplikované co nejdříve po jejich vydání.

V říjnu 2023 zveřejnila společnost IBM zprávu, podle které byla míra prokliků na simulační phishingový e-mail vytvořený umělou inteligencí 11 % ve srovnání se 14 % prokliků na podvodné e-maily od fyzických osob. Ačkoli z průzkumu hackeři z masa a kostí zatím vyšli jako vítězové, rozdíl se s rozvojem technologií rychle zmenšuje.

Sociální inženýrství jakožto klíčový nástroj kybernetických útočníků zůstává hrozbou i nadále a s rozvojem technologií, jako je umělá inteligence, se jeho metody stále zdokonalují. Přestože se může zdát, že se techniky mění a stávají se sofistikovanějšími, jejich základní princip je stále stejný: využít lidskou důvěřivost a donutit oběti k chybě. Proto je klíčové nejen sledovat aktuální trendy a techniky, ale také neustále zvyšovat povědomí o nich a připravenost jednotlivců i firem na tyto hrozby. Jen tak lze minimalizovat rizika a ochránit citlivé informace před stále důmyslnějšími útočníky.

Co si z článku odnést

• Globální náklady na boj s kyberkriminalitou dosáhnou v roce 2025 10,5 bilionu ročně, což ukazuje na potřebu vyšších investic pro boj s kyberzločinem.
• Umělá inteligence pomáhá optimalizovat a rozšiřovat záběr kyberútoků, a to zejména v sociálním inženýrství.
• Kvůli AI a modelům, jako je phishing-as-a-service, už hackeři nemusejí být tolik technicky zdatní a na firmu může zkusit zaútočit každý, kdo si koupí phishing kit na dark webu.
• Umělá inteligence už pomáhá kyberútočníkům také generovat falešné profily na sociálních sítích, které dále slouží k dlouhodobému budování důvěry u oběti. Tato technika se nazývá „long game“.
• Sociální inženýrství bude i nadále vyvíjet kontinuální tlak na své cíle a firmy se neobejdou bez holistického přístupu k firemnímu zabezpečení.

Kateřina Benešová
Marketingový specialista pro B2B