El siguiente frente en la guerra contra el phishing
El año pasado, el compromiso del correo electrónico comercial reemplazó al ransomware como el principal vector de ataque motivado económicamente para las organizaciones de amenazas, y puede volverse más difícil de rastrear. Nuevas investigaciones de Abnormal Security sugieren que los atacantes están utilizando IA generativa para crear correos electrónicos de phishing, incluido el tipo de ataques de suplantación de identidad de proveedores señalados a principios de este año por un actor llamado Firebrick Ostrictth.
Mediante el uso de ChatGPT y otros modelos de lenguaje extenso, los atacantes pueden crear correos electrónicos de ingeniería social que no muestran banderas rojas como problemas de formato, gramática atípica, gramática incorrecta, puntuación, ortografía y direcciones de correo electrónico, dijo Abnormal.
Dan Shiebler, director de aprendizaje automático de Abnormal, dijo que la compañía usó sus propios modelos de inteligencia artificial para determinar que algunos de los correos electrónicos enviados a los clientes que luego se identificaron como ataques de phishing probablemente fueron generados por IA. «Si bien todavía estamos realizando un análisis completo para comprender el alcance de los ataques de correo electrónico generados por IA, Abnormal ha visto un marcado aumento en la cantidad de ataques con indicadores de IA como porcentaje de todos los ataques, particularmente en las últimas semanas», dijo. dijo. explique.
Salta a:
Uso de infracciones falsas de Facebook como cebo
Una nueva táctica que señala Abnormal consiste en falsificar las notificaciones oficiales de Facebook, informando a los objetivos que «violaron los estándares de la comunidad» y que su página no se ha publicado. Luego se le pide al usuario que haga clic en un enlace y presente una queja, lo que conduce a una página de phishing que recopila las credenciales del usuario, lo que permite al atacante acceder a la página de Facebook del objetivo o realizar una venta en la web oscura (Figura A).
Figura A
Las anotaciones falsas de «Meta for Business» advirtieron a los objetivos de phishing que habían violado las políticas de Facebook, lo que llevó a que se eliminaran sus páginas. La estafa pide a los destinatarios que hagan clic en un enlace contenido y presenten una apelación. El enlace en realidad llevaría a una página de phishing.Imagen: Seguridad de excepción
El hecho de que el texto en el contenido falsificado de Facebook sea casi idéntico al lenguaje esperado en Meta for Business sugiere que los atacantes menos calificados podrán evitar fácilmente las trampas comunes de phishing, dijo Shiebler.
«El peligro de la IA generativa en los ataques por correo electrónico es que permite a los actores de amenazas escribir contenido cada vez más sofisticado que hace que sea más probable que sus objetivos sean engañados para hacer clic en enlaces o seguir sus instrucciones», dijo. La IA también se puede usar para crear mayor personalización, agregó.
«Imagínese si un actor de amenazas ingresara un fragmento del historial de correo electrónico de una víctima o el contenido del perfil de LinkedIn en una consulta de ChatGPT. Los correos electrónicos comenzarían a mostrar el contexto, el idioma y el tono típicos que la víctima esperaría, lo que haría que los correos electrónicos BEC fueran más engañosos». él dijo.
Parece phishing, pero podría ser un delfín
Según Abnormal, otra complicación en la detección de exploits de phishing que utilizan inteligencia artificial para crear correos electrónicos son los resultados falsos positivos. Shiebler señaló que debido a que muchos correos electrónicos legítimos se crean a partir de plantillas que usan frases comunes, la IA puede marcarlos porque se asemejan al contenido generado por los modelos de IA, y dijo que el análisis sugirió que los correos electrónicos pueden haber sido creados por IA, «Usamos esta señal (y miles de otras) para determinar la intención maliciosa».
Compromiso de proveedores generado por IA, fraude de facturas
La anomalía encontró instancias de correos electrónicos comerciales comprometidos construidos por inteligencia artificial generativa, diseñados para hacerse pasar por proveedores, que contenían facturas que solicitaban el pago a portales de pago ilegales.
En un caso señalado por Abnormal, los atacantes se hicieron pasar por la cuenta de empleado de la empresa objetivo y la usaron para enviar correos electrónicos falsos al departamento de nómina para actualizar la información de depósito directo en el archivo.
A diferencia de los ataques BEC tradicionales, las salvas BEC generadas por IA están escritas profesionalmente, señaló Shiebler. “Están escritos con un sentido de formalidad que se espera en torno a temas comerciales”, dijo. Agregó: «El hecho de que el abogado que se hace pasar también sea de un bufete de abogados de la vida real le da al correo electrónico más legitimidad y el potencial para engañar a la víctima».
Conócete a ti mismo, conoce a tu enemigo: capturar IA con IA
Detectar la autoría de la IA implica una operación espejo, dijo Shiebler: ejecutar el texto del correo electrónico generado por LLM a través de un motor de predicción de IA para analizar la probabilidad de que el sistema de IA elija cada palabra del correo electrónico.
Abnormal utiliza modelos de lenguaje a gran escala de código abierto para analizar la probabilidad de que cada palabra en un correo electrónico se pueda predecir dado el contexto a la izquierda de la palabra. «Si las palabras en el correo electrónico tienen una alta probabilidad consistente (lo que significa que cada término es altamente consistente con lo que dijo el modelo de IA, más consistente que el texto humano), entonces clasificamos el correo electrónico como probablemente escrito por la IA. ,»Él dijo. (Figura B).
Figura B
En el resultado del análisis de correo electrónico, las palabras verdes se consideran altamente consistentes con la IA (entre las 10 palabras más predichas), mientras que las palabras amarillas están entre las 100 palabras más predichas. Imagen: Excepcionalmente seguro.
Con tantos casos de uso legítimos para los empleados que usan IA para crear contenido de correo electrónico, no es práctico bloquear todos los correos electrónicos generados por IA por supuesta malicia, advirtió Shiebler. «Entonces, el hecho de que el correo electrónico tenga un indicador de IA debe usarse junto con muchas otras señales para indicar intenciones maliciosas», dijo, y agregó que la compañía realiza una validación adicional con herramientas de detección de IA como OpenAI Detector y GPTZero.
«Los correos electrónicos legítimos pueden parecer generados por IA, como mensajes con plantillas y traducción automática, lo que dificulta la detección de correos electrónicos legítimos generados por IA. Cuando nuestro sistema decide bloquear un correo electrónico, contiene mucha información, no solo si la IA generó el correo electrónico utilizando la identidad, el comportamiento y los indicadores relacionados».
Cómo responder a los ataques de phishing de IA
El informe de Abnormal recomienda que las organizaciones implementen soluciones basadas en IA que puedan detectar ataques altamente sofisticados generados por IA que son casi indistinguibles del correo electrónico legítimo. También deben comprender cuándo los correos electrónicos generados por IA son legítimos y cuándo son maliciosos.
«Piense en ello como una IA buena contra una IA mala”, dice el informe. Las mejores herramientas impulsadas por IA permiten un análisis de referencia del comportamiento normal en todo el entorno de correo electrónico, incluidos los patrones, estilos y relaciones de comunicación típicos específicos del usuario, en lugar de solo buscando indicadores típicos (y en constante cambio) de compromiso. Como resultado, pueden detectar anomalías que podrían indicar un posible ataque, ya sea que las anomalías sean causadas por humanos o por inteligencia artificial.
«Las organizaciones también deben practicar una buena higiene de la seguridad cibernética, incluida la implementación de capacitación continua sobre seguridad, para garantizar que los empleados permanezcan atentos a los riesgos de BEC”, dijo Sheibler. «Además, la implementación de políticas como la administración de contraseñas y la autenticación de múltiples factores garantizará que las organizaciones puedan sufrir más daños. limitado cuando el ataque es exitoso».
