AI zrobi research za cyberprzestępcę. Twój profil w sieci to gotowy scenariusz ataku

Przeczytaj także: Szpieg w sieci kontaktów. Jak LinkedIn stał się kopalnią danych dla grup przestępczych i cyberoszustów

Jak realne jest to zagrożenie, pokazują najnowsze ostrzeżenia Policji. 25 sierpnia policjanci ze Środy Śląskiej opisali scenariusz, w którym przestępcy wykorzystują dostępne w internecie zdjęcia, nagrania głosu lub filmy, aby za pomocą AI stworzyć wiarygodną imitację konkretnej osoby. Następnie mogą skontaktować się z jej bliskimi, wykorzystując znajomy głos i historię o wypadku czy nagłej potrzebie pieniędzy. Kilka dni wcześniej policjanci z Działdowa zwracali uwagę, że szczególnie dużo materiału dostarczamy oszustom podczas wakacji, publikując np. zdjęcia czy filmy z podróży.

Deepfake jest jednak tylko jednym ze sposobów wykorzystania informacji o ofierze. Zanim oszust zadzwoni głosem naszego dziecka, partnera czy znajomego albo wyśle wyjątkowo przekonującą wiadomość, musi wiedzieć, kogo udawać, do kogo się zwrócić i jaką historię opowiedzieć. Tym bardziej że - jak wynika z raportu „Cyberportret polskiego biznesu” przygotowanego przez DAGMA Bezpieczeństwo IT i ESET - aż 70% badanych nie jest przekonanych, że potrafiłoby odróżnić materiał wygenerowany przez AI od prawdziwego. I właśnie na etapie zbierania informacji o ofierze AI może zmieniać reguły gry.

Oszust nie musi Cię znać, żeby dużo o Tobie wiedzieć

Zdjęcie z wakacji może zdradzić, że nie ma nas w domu. LinkedIn pokaże, gdzie pracujemy i z kim współpracujemy. Facebook lub Instagram mogą ujawnić członków rodziny, zainteresowania albo wydarzenia, w których uczestniczyliśmy. Na zdjęciu mogą pojawić się również szczegóły pozwalające rozpoznać samochód czy miejsce zamieszkania. Każdy z tych elementów osobno może mieć niewielką wartość. Połączone zaczynają jednak tworzyć historię, którą można wykorzystać przeciwko konkretnej osobie.

Jeszcze do niedawna takie prześwietlenie potencjalnej ofiary wymagało sporo czasu: odnalezienia jej profili, przeglądania postów i zdjęć, identyfikowania rodziny, znajomych czy współpracowników i ręcznego łączenia informacji z wielu źródeł. Sztuczna inteligencja znacząco ogranicza to wąskie gardło. Narzędzia AI mogą szybko przetwarzać duże ilości publicznie dostępnych informacji, kojarzyć je z konkretnymi osobami i pomagać identyfikować relacje między nimi. Dobrze radzą sobie też ze zdjęciami i nagraniami.

- Największa zmiana nie polega na tym, że informacje o nas nagle pojawiły się w internecie. One były tam już wcześniej. Zmienia się szybkość, z jaką można je znaleźć, uporządkować i połączyć. Im więcej kontekstu zdobędzie oszust, tym łatwiej przygotować wiadomość lub rozmowę, która nie będzie wyglądała jak przypadkowa próba wyłudzenia, ale jak kontakt od kogoś, kto naprawdę dużo o nas wie - mówi Kamil Sadkowski, analityk cyberzagrożeń w ESET.

Phishing, który wie, gdzie pracujesz i gdzie byłeś na wakacjach

Wiadomość phishingowa nie musi już przypominać masowego oszustwa wysłanego w identycznej formie do tysięcy osób. Może zawierać nazwę pracodawcy, odwoływać się do niedawnego wyjazdu, szkoły dziecka, wydarzenia, w którym uczestniczyliśmy albo osoby, którą rzeczywiście znamy. Tak przygotowana wiadomość może skłonić ofiarę do podania danych logowania, otwarcia złośliwego pliku czy przelania pieniędzy.

AI może pomagać również w przygotowaniu samej komunikacji. Duże modele językowe pozwalają tworzyć naturalnie brzmiące wiadomości i scenariusze rozmów, także w języku, którym przestępca sam nie posługuje się biegle. Do tego dochodzą narzędzia pozwalające podszywać się pod prawdziwe osoby za pomocą obrazu i głosu.

Biały wywiad coraz łatwiej wykorzystać także przeciwko firmom

Problem nie kończy się na życiu prywatnym. Informacje, które publikujemy jako osoby prywatne, mogą zostać wykorzystane również przeciwko organizacji, w której pracujemy.

Właśnie tutaj szczególnego znaczenia nabiera OSINT, czyli biały wywiad - zbieranie i łączenie informacji z publicznie dostępnych źródeł. Sam OSINT nie jest niczym nowym. AI sprawia jednak, że wyszukiwanie i zestawianie informacji staje się szybsze i łatwiejsze, przez co techniki białego wywiadu mogą być coraz szerzej wykorzystywane także przez mniej zaawansowanych cyberprzestępców.

LinkedIn może pozwolić ustalić stanowisko pracownika i nazwiska współpracowników. Media społecznościowe mogą z kolei ujawnić, że osoba odpowiedzialna za określony proces przebywa na urlopie. Przestępcy mogą wykorzystać taki moment, próbując podszyć się pod nią w kontakcie z innymi pracownikami. To jeden ze scenariuszy prowadzących do ataków typu BEC, w których oszust wykorzystuje firmową komunikację i zaufanie między współpracownikami do wyłudzenia pieniędzy lub informacji. Dane zdobyte w życiu prywatnym mogą również pomóc w ataku na służbowe dane dostępowe.

Granica między prywatnym profilem społecznościowym a bezpieczeństwem firmy staje się więc coraz mniej wyraźna. Informacja opublikowana wieczorem na prywatnym koncie może bardzo szybko stać się elementem ataku na pracownika lub jego organizację.

Ostrożność powinny wzbudzać sytuacje, w których ktoś wykorzystuje prawdziwe informacje z naszego życia, a jednocześnie wywiera presję i domaga się szybkiego działania. To, że rozmówca wie, gdzie pracujemy, z kim byliśmy na wakacjach albo jak ma na imię ktoś z naszej rodziny, nie jest już dowodem na to, że jest osobą, za którą się podaje.

W świecie, w którym AI może szybko przeanalizować ogromne ilości informacji, warto przyjąć prostą zasadę: to, co publikujemy publicznie, może przeczytać nie tylko człowiek. Może przeanalizować to również narzędzie, którego zadaniem będzie dowiedzieć się o nas jak najwięcej.