Sociale engineering is al lang een effectieve tactiek vanwege hoe het zich richt op menselijke kwetsbaarheden. Er is geen brute-force ‘spray and bid’ wachtwoord raden. Geen schuursystemen voor niet -gepatchte software. In plaats daarvan vertrouwt het gewoon op het manipuleren van emoties zoals vertrouwen, angst en respect voor autoriteit, meestal met als doel toegang te krijgen tot gevoelige informatie of beschermde systemen.
Traditioneel betekende dat het onderzoeken en handmatig boeiende individuele doelen, die tijd en middelen in beslag namen. De komst van AI heeft het nu echter mogelijk gemaakt om sociale engineeringaanvallen op verschillende manieren, op schaal en vaak zonder psychologische expertise te lanceren. Dit artikel bestaat uit vijf manieren waarop AI een nieuwe golf van sociale engineeringaanvallen aandrijft.
De audio -diepvoeding die de verkiezingen van Slowakije mogelijk heeft beïnvloed
Vooruitlopend op de Slowaakse parlementsverkiezingen in 2023, ontstond er een opname die leek te zijn met kandidaat Michal Simecka in gesprek met een bekende journalist, Monika Todova. Het stuk audio van twee minuten omvatte discussies over het kopen van stemmen en het verhogen van de bierprijzen.
Nadat hij zich online had verspreid, werd het gesprek onthuld als nep, met woorden gesproken door een AI die op de stemmen van de sprekers was getraind.
De Deepfake werd echter slechts enkele dagen voor de verkiezingen vrijgegeven. Dit leidde ertoe dat velen zich afvroegen of AI de uitkomst had beïnvloed en heeft bijgedragen aan de progressieve Slovakia -partij van Michal Simecka die tweede kwam.
Het videogesprek van $ 25 miljoen dat niet was
In februari 2024 kwamen rapporten naar voren uit een AI-aangedreven social engineering-aanval op een financiële medewerker bij Multinational Arup. Ze hadden een online ontmoeting bijgewoond met wie ze dachten dat hun CFO en andere collega’s waren.
Tijdens de videocall werd de financiële medewerker gevraagd om een overdracht van $ 25 miljoen te maken. In de overtuiging dat het verzoek afkomstig was van de werkelijke CFO, volgde de werknemer de instructies en voltooide de transactie.
Aanvankelijk hadden ze naar verluidt de bijeenkomst van de vergadering ontvangen per e -mail, waardoor ze achterdochtig zijn om het doelwit te zijn van een phishing -aanval. Na te hebben gezien wat de CFO en collega’s persoonlijk leek te zijn, werd vertrouwen hersteld.
Het enige probleem was dat de werknemer de enige echte persoon was die aanwezig was. Elke andere deelnemer werd digitaal gemaakt met behulp van Deepfake -technologie, waarbij het geld naar de fraudeursrekening ging.
Moeders $ 1 miljoen losgeld naar dochter
Velen van ons hebben willekeurige sms’s ontvangen die beginnen met een variatie van ‘Hallo mama/papa, dit is mijn nieuwe nummer. Kun je alsjeblieft wat geld overbrengen naar mijn nieuwe account? ‘ Wanneer het in tekstformulier wordt ontvangen, is het gemakkelijker om een stap terug te doen en te denken: ‘Is deze boodschap echt?’ Wat als u echter wordt gebeld en de persoon hoort en hun stem herkent? En wat als het klinkt alsof ze zijn gekidnapt?
Dat is wat er gebeurde met een moeder die in 2023 in de Amerikaanse senaat getuigde over de risico’s van door AI gegenereerde misdaad. Ze had een telefoontje ontvangen die klonk alsof het van haar 15-jarige dochter was. Na het antwoord hoorde ze de woorden: ‘Mam, deze slechte mannen hebben me’, gevolgd door een mannelijke stem die dreigt te handelen op een reeks vreselijke bedreigingen, tenzij een losgeld van $ 1 miljoen werd betaald.
Overweldigd door paniek, shock en urgentie, geloofde de moeder wat ze hoorde, totdat het bleek dat de oproep werd gedaan met behulp van een AI-gekloneerde stem.
Fake Facebook -chatbot die gebruikersnamen en wachtwoorden oogst
Facebook zegt: ‘Als u een verdachte e -mail of bericht krijgt waarin u beweert van Facebook, klikt u niet op links of bijlagen.’ Toch krijgen social engineering aanvallers nog steeds resultaten met behulp van deze tactiek.
Ze kunnen spelen op basis van de angst van mensen om toegang tot hun account te verliezen, hen te vragen om op een kwaadaardige link te klikken en een nepverbod aan te doen. Ze kunnen een link sturen met de vraag ‘Ben jij dit in deze video?’ en het veroorzaken van een natuurlijk gevoel van nieuwsgierigheid, bezorgdheid en verlangen om te klikken.
Aanvallers voegen nu nog een laag toe aan dit soort social engineering-aanval, in de vorm van AI-aangedreven chatbots. Gebruikers krijgen een e -mail die doet alsof hij van Facebook is, en dreigen hun account te sluiten. Nadat je op de knop ‘Appeal Here’ hebt geklikt, wordt een chatbot geopend die om gebruikersnaam en wachtwoorddetails vraagt. Het ondersteuningsvenster is het merk Facebook en de live-interactie komt met een verzoek om ‘nu te handelen’, waardoor de aanval urgentie toevoegt.
‘Stap je wapens neer’, zegt Deepfake -president Zelensky
Zoals het gezegde luidt: het eerste slachtoffer van oorlog is de waarheid. Het is gewoon dat met AI de waarheid nu ook digitaal opnieuw wordt gemaakt. In 2022 leek een vervalste video te laten zien dat president Zelensky de Oekraïners aanspoorde zich over te geven en te stoppen met vechten in de oorlog tegen Rusland. De opname ging uit op Oekraïne24, een televisiestation dat werd gehackt en vervolgens online werd gedeeld.
Veel media -rapporten benadrukten dat de video te veel fouten bevatte om op grote schaal te worden geloofd. Deze omvatten het hoofd van de president die te groot is voor het lichaam en in een onnatuurlijke hoek wordt geplaatst.
Hoewel we nog steeds in relatief vroege dagen zijn voor AI in sociale engineering, zijn dit soort video’s vaak genoeg om mensen op zijn minst te laten stoppen en te denken: ‘Wat als dit waar was?’ Soms is het alles wat nodig is om een element van twijfel toe te voegen aan de authenticiteit van een tegenstander.
AI brengt sociale engineering naar het volgende niveau: hoe te reageren
De grote uitdaging voor organisaties is dat sociale engineeringaanvallen zich richten op emoties en gedachten oproepen die ons allemaal menselijk maken. We zijn tenslotte gewend om onze ogen en oren te vertrouwen, en we willen geloven wat ons wordt verteld. Dit zijn volledig natuurlijke instincten die niet zomaar kunnen worden gedeactiveerd, gedegradeerd of achter een firewall worden geplaatst.
Voeg de opkomst van AI toe, en het is duidelijk dat deze aanvallen zullen blijven ontstaan, evolueren en uitbreiden in volume, variëteit en snelheid.
Daarom moeten we kijken naar het opleiden van werknemers om hun reacties te beheersen en te beheren na het ontvangen van een ongebruikelijk of onverwacht verzoek. Mensen aanmoedigen om te stoppen en na te denken voordat ze voltooien wat wordt gevraagd. Ze laten zien wat een AI-gebaseerde social engineering-aanval eruit ziet en vooral, voelt in de praktijk als in de praktijk. Zodat hoe snel AI zich ook ontwikkelt, we het personeelsbestand kunnen veranderen in de eerste verdedigingslinie.
Hier is een 3-punts actieplan dat u kunt gebruiken om aan de slag te gaan:
- Praat over deze gevallen met uw werknemers en collega’s en train ze specifiek tegen deperfake -bedreigingen – om hun bewustzijn te vergroten en te onderzoeken hoe ze zouden (en moeten) reageren.
- Stel wat social engineering simulaties op voor uw werknemers – Dus ze kunnen veel voorkomende emotionele manipulatietechnieken ervaren en hun natuurlijke instincten herkennen om te reageren, net als in een echte aanval.
- Bekijk uw organisatorische verdedigingen, accountrechten en rolvoorrechten – Om de bewegingen van een potentiële dreigingsacteur te begrijpen als ze initiële toegang zouden krijgen.
