Generalno gledajući, phishing napadi koriste obmanjujuće poruke koje su na izgled došle iz pouzdanih izvora kako bi prevario žrtve da otkriju osjetljive podatke poput podataka za prijave, lozinki ili kartičnih podataka.
Napadači koriste sofisticirane metode, uključujući lažne domene, lažne web stranice, a u današnje vrijeme i AI kako bi izvršili napade putem e-maila, SMS-a, telefonskih poziva i društvenih mreža.
Phishing je oduvijek bio jedan od najčešćih i najopasnijih oblika kibernetičkog kriminala, no s pojavom umjetne inteligencije (engl. AI), phishing prevare postaju pametnije, brže i teže ih je otkriti nego prije. U današnje vrijeme napadači koriste alate umjetne inteligencije kako bi izradili uvjerljive e-mail poruke, klonirali web stranice pa čak i generirali ljudske glasove s namjerom otkrivanja osjetljivih informacija.
Ovaj članak opisuje nastanak phishinga, kako rast umjetne inteligencije mijenja oblik prijetnji te na koji način možete zaštiti sebe i svoju organizaciju od phishing napada.
Phishing napadi – nekada i sada
Tradicionalne phishing prijevare započele su generičkim masovnim email porukama koje su često bile jako loše napisane. Najčešći naslovi phishing poruka osmišljeni su tako da izazovu hitnost, strah ili znatiželju, a često se maskiraju u obavijesti poznatih institucija. Tako smo se znali susretati s nekoliko vrsta phishinga koji bi se mogli kategorizirati u nekoliko kategorija:
- Banke i druge financijske institucije:, npr. “Upozorenje: Neovlašteni pristup vašem bankovnom računu.
- Dostava paketa i kurirska služba, npr. “Ažurirajte svoju adresu u roku 24 h…”
- Računi, pretplate i poslovni servisi, npr. “Obavijest o isteku pretplate: [naziv usluge]”
- Sigurnost i krađa identiteta, npr. “Molimo potvrdite svoju lozinku radi sigurnosnih razloga”
- Nagrade i financijski dobitci, npr. “Čestitamo! Osvojili ste vrijednu nagradu. Preuzmite je ovdje.”
Nekada su se phishing poruke oslanjale na količinu, a ne na sofisticiranost te ih je većina korisnika lako uočila zbog očitih gramatičkih pogrešaka, sumnjivih poveznica i neobičnih email adresa pošiljatelja.
S vremenom su napadači usavršili taktike te su počeli koristiti ciljane napade (engl. Spear phishing) koji su usmjereni na točno određenu osobu ili tvrtku te vrstu napada koji je ciljao rukovodeće osobe (engl. Whale phishing) u tvrtkama kako bi otkrili što više povjerljivih poslovnih informacija.
Danas je uz pomoć umjetne inteligencije i strojnog učenja phishing dosegnuo potpuno novu razinu preciznosti te phishing poruke mogu biti personalizirane, napisane dobrim jezikom i dizajnirane tako da izbjegnu čak i naprednije filtere neželjene pošte.
Kako AI transformira phishing napade
U današnjem svijetu umjetna inteligencija značajno je promijenila pravila igre u području phishing napada. Umjetna inteligencija omogućuje napadačima brzu analizu podataka, personalizaciju poruka te stvaranje realističnog sadržaja tako što nude moćne alata za:
- Prikupljanje podataka gdje napadači koriste umjetnu inteligenciju za prikupljanje podataka s društvenih mrežai drugih mjesta, a alatima za strojno učenje obrađuju te podatke kako bi razumjeli ulogu i interese osobe.
- Hiperpersonalizaciju to znači da se e-mail poruke prilagođavaju primatelju, npr. nedavne kupnje, nadolazeći poslovnog dogovori i sl.
- Generiranje realističnog sadržaja pri čemu jezične mogućnosti umjetne inteligencije omogućuju gramatički točne poruke tako što oponašaju stilove pisanja te stvaraju uvjerljiv tekst i slike koji poboljšavaju kvalitetu phishing poruka.
- Generiranje krivotvorenih multimedijskih sadržaja (engl. Deepfake) što napadačima omogućuje generiranje video i audio sadržaja kojima predstavljaju rukovoditelje, dostavljače i sl. kako bi žrtvu uvjerili da poduzme određenu radnju u korist napadača.
- Automatizaciju procesa, koji su nekada trajali po nekoliko sati, danas umjetna inteligencija obavi čak i u nekoliko minuta pri čemu znatno olakšava generiranje velikog broja phishing napada uz minimalan napor.
Kako otkriti AI-Phishing prije nego bude prekasno?
Kao što smo mogli pročitati, phishing napadi su umjetnom inteligencijom jako uznapredovali pa nam samo otkrivanje zahtjeva veću budnost i kritičko razmišljanje. U nastavku slijedi nekoliko stvari na koje bismo trebali obratiti pozornost:
- Neočekivana hitnost ili emocionalni okidači. Napadači stvaraju osjećaj hitnosti, npr. “Vaš račun će biti deaktiviran”
- Nedosljednost u stilu i tonu. Umjetna inteligencija dosta često koristi formalni jezik pa se može raspoznati u odnosu na pisanje nekog stvarnog kontakta.
- Neusklađeni URLovi i e-mail adresa. Phishing se najčešće šalje s nepoznatih email adresa koje se mogu otkriti u zaglavlju e-mail poruke. Također, poveznice koje se koriste u mailovima nisu povezane s brendom na koji se phishing poziva.
- Zahtjevi za povjerljivim informacijama. Legitimne organizacije ne traže povjerljive podatke (lozinke, PIN) putem e-mailova, telefona ili drugih kanala komunikacije.
- Glasovi ili videozapisi generirani AI-om. Multimedijalni sadržaj generiran umjetnom inteligencijom može izgledati neprirodno pa je svakako bitno izoštriti vid i provjeriti legitimnost sadržaja s pomoću drugih izvora.
Mjere opreza od AI-Phishinga
Jako je važno naglasiti kako u doba umjetne inteligencije treba biti jako oprezan te kada zaprimite sumnjivu e-mail poruku:
- Više puta provjerite adrese i URL-ove pošiljatelja. Ako postoji sumnja, izravno se obratite pošiljatelju putem službenih kanala.
- Koristite dvostruku autentifikaciju za prijave na mailove, servise i gdje god postoji ta mogućnost.
- Redovito ažurirajte svoje programe i alate sa kojima radite.
- Ograničite dijeljenje na društvenim mrežama.
- Unutar organizacije provoditi redovite obuke zaposlenika o važnosti i dizanju svijesti o sigurnosti.
Iako umjetna inteligencija napadačima omogućuje sofisticiranije metode prijevare, informiranost, oprez i edukacija i dalje ostaju najvažnija linija obrane. Upravo zato je važno razvijati sigurnosnu svijest i kritičko razmišljanje pri svakodnevnom korištenju digitalnih alata.
