Люди по-прежнему лучше создают фишинговые электронные письма, чем ИИ — пока
16 марта 2023 г.На фоне всей шумихи вокруг ChatGPT и других приложений искусственного интеллекта киберпреступники уже начали использовать ИИ для создания фишинговых писем. На данный момент киберпреступники-люди все еще более опытны в разработке успешных фишинговых атак, но разрыв сокращается, согласно новому отчету тренера по безопасности Hoxhunt, опубликованному в среду.
Фишинговые кампании, созданные ChatGPT против людей
Hoxhunt сравнил фишинговые кампании, созданные ChatGPT, с кампаниями, созданными людьми, чтобы определить, какие из них имеют больше шансов обмануть ничего не подозревающую жертву.
Для проведения этого эксперимента компания отправила 53 127 пользователям из 100 стран фишинговые модели, разработанные либо социальными инженерами, либо ChatGPT. Пользователи получали имитацию фишинга в свои почтовые ящики, как и любые электронные письма. Тест был настроен на запуск трех возможных ответов:
- Успех: пользователь успешно сообщает о симуляции фишинга как о вредоносной с помощью кнопки сообщения об угрозе Hoxhunt.
Промах: пользователь не взаимодействует с имитацией фишинга.
Неудача: пользователь попадается на приманку и нажимает на вредоносную ссылку в электронном письме.
Результаты имитации фишинга под руководством Hoxhunt
В конце концов, созданные людьми фишинговые письма привлекли больше жертв, чем созданные ChatGPT. В частности, доля пользователей, сгенерированных сообщениями, сгенерированными людьми, составила 4,2%, а доля сообщений, созданных искусственным интеллектом, — 2,9%. Это означает, что человеческие социальные инженеры превзошли ChatGPT примерно на 69%.
Одним из положительных результатов исследования является то, что обучение безопасности может оказаться эффективным средством предотвращения фишинговых атак. Пользователи с большей осведомленностью о безопасности с гораздо большей вероятностью сопротивлялись искушению участвовать в фишинговых электронных письмах, независимо от того, были ли они созданы людьми или искусственным интеллектом. Процент людей, которые нажимали на вредоносную ссылку в сообщении, снизился с более чем 14 % среди менее подготовленных пользователей до 2–4 % среди более подготовленных пользователей.
СМОТРЕТЬ: Политика осведомленности о безопасности и обучения (TechRepublic Premium)
Результаты также различались по странам:
- США: 5,9% опрошенных пользователей были обмануты электронными письмами, созданными людьми, а 4,5% были обмануты сообщениями, созданными искусственным интеллектом.
Германия: 2,3% были обмануты людьми, а 1,9% — искусственным интеллектом.
Швеция: 6,1% были обмануты людьми, 4,1% — искусственным интеллектом.
Существующие средства защиты от кибербезопасности по-прежнему могут скрывать фишинговые атаки ИИ.
Хотя фишинговые электронные письма, созданные людьми, были более убедительными, чем сообщения от ИИ, этот результат является изменчивым, особенно по мере улучшения ChatGPT и других моделей ИИ. Сам тест проводился перед выпуском ChatGPT 4, который обещает быть более сообразительным, чем его предшественник. Инструменты искусственного интеллекта, безусловно, будут развиваться и представлять большую угрозу для организаций со стороны киберпреступников, которые используют их в своих злонамеренных целях.
С положительной стороны, защита вашей организации от фишинговых писем и других угроз требует одинаковой защиты и координации, независимо от того, совершаются ли атаки людьми или искусственным интеллектом.
«ChatGPT позволяет преступникам запускать масштабные фишинговые кампании с идеальными формулировками, и хотя это устраняет ключевой индикатор фишинговой атаки — плохую грамматику — другие индикаторы легко заметить невооруженным глазом», — сказал генеральный директор и соучредитель Hoxhunt Мика Аалто. «В рамках вашей целостной стратегии кибербезопасности обязательно сосредоточьтесь на своих людях и их поведении в электронной почте, потому что это то, что наши противники делают с помощью своих новых инструментов искусственного интеллекта.
«Внедрение безопасности в общую ответственность всей организации с постоянным обучением, позволяющим пользователям выявлять подозрительные сообщения и вознаграждать их за сообщения об угрозах до тех пор, пока обнаружение человеческих угроз не станет привычкой».
Советы по безопасности или ИТ и пользователи
С этой целью Аалто предлагает следующие советы.
Для ИТ и безопасности
- Требовать двухфакторную или многофакторную аутентификацию для всех сотрудников, имеющих доступ к конфиденциальным данным.
Дайте всем сотрудникам навыки и уверенность, чтобы сообщить о подозрительном электронном письме; такой процесс должен быть бесшовным.
Обеспечьте группы безопасности ресурсами, необходимыми для анализа и обработки сообщений об угрозах от сотрудников.
Для пользователей
- Наведите указатель мыши на любую ссылку в письме, прежде чем нажимать на нее. Если ссылка кажется неуместной или не имеет отношения к сообщению, сообщите об этом электронном письме как о подозрительном в службу ИТ-поддержки или в службу поддержки.
Внимательно проверьте поле отправителя, чтобы убедиться, что адрес электронной почты содержит законный бизнес-домен. Если адрес указывает на Gmail, Hotmail или другую бесплатную службу, сообщение, скорее всего, является фишинговым.
Подтвердите подозрительное письмо у отправителя, прежде чем действовать по нему. Используйте способ, отличный от электронной почты, чтобы связаться с отправителем по поводу сообщения.
Подумайте, прежде чем нажать. Фишинговые атаки с использованием социальной инженерии пытаются создать ложное ощущение срочности, побуждая получателя как можно быстрее щелкнуть ссылку или просмотреть сообщение.
Обратите внимание на тон и голос электронного письма. На данный момент фишинговые электронные письма, созданные ИИ, написаны формально и неестественно.
Читать далее: Как лезвие кибербезопасности, ChatGPT может работать в обоих направлениях (TechRepublic)
Оригинал