Tekoäly muuttaa kiristysohjelmien pelikirjaa, ja uhrit huomaavat sen

Uusi kiristysohjelmahyökkäysten kohteeksi joutuneita organisaatioita käsittelevä tutkimus on vahvistanut luvuin jotain, mitä tietoturvatutkijat ovat epäilleet jo jonkin aikaa: tekoäly tekee näistä hyökkäyksistä tehokkaampia. Tutkimuksen mukaan lähes kaksi kolmasosaa uhreista, 65 prosenttia, sanoi tekoälytyökalujen lisänneen kokemansa hyökkäyksen tehokkuutta. Tämä on huomattava tunnustus ihmisiltä, jotka elivät tapahtuman läpi ja ymmärtävät tarkalleen, miten se eteni.

Tutkimus valottaa myös sitä, miten hyökkääjät pääsevät sisään. Haitalliset linkit muodostivat 47 prosenttia sisäänpääsytavoista, haitalliset liitetiedostot 46 prosenttia ja tunnusten kalastelu 36 prosenttia. Mikään näistä menetelmistä ei ole uusi. Tietojenkalastelulinkit ja ansaliitetiedostot ovat olleet kyberrikollisuuden perusvälineitä vuosien ajan. Uhrien mukaan muuttunutta on syöttien laatu ja uskottavuus sekä nopeus, jolla rikolliset voivat mukauttaa taktiikoitaan päästyään verkkoon.

Miksi tekoäly tekee näistä vanhoista tempuista uudelleen tehokkaita

Vuosien ajan tietoturvatietoisuuskoulutuksessa kehotettiin työntekijöitä tarkkailemaan kalastelun paljastavia merkkejä: kömpelöä kielioppia, geneerisiä tervehdyksiä, väärin täsmääviä lähettäjäosoitteita. Tekoälytyökalut ovat hävittäneet monia näistä paljastavista merkeistä. Hyökkääjät voivat nyt tuottaa vakuuttavampia, personoituja viestejä laajassa mittakaavassa ja käyttää automaatiota räätälöidäkseen sosiaalisen manipuloinnin yrityksiä tietyn kohteen roolin, yrityksen tai jopa viimeaikaisen julkisen toiminnan mukaan.

Tämä ei ole hypoteettinen huolenaihe. Se sopii laajempaan malliin, jonka tutkijat ovat jo dokumentoineet. Yksi uhkatoimija, jota seurataan nimellä JadePuffer, on aiemmin yhdistetty siihen, mitä on kuvattu ensimmäiseksi kiristysohjelmakampanjaksi, jonka suuri kielimalli toteutti alusta loppuun, ja on sittemmin julkaissut uudempia työkaluja, jotka kohdistuvat itse tekoälymalleihin. Raja tekoälyä kokeilevan rikollisryhmän ja siihen operatiivisesti nojaavan ryhmän välillä näyttää kaventuvan nopeasti.

Toiminnan volyymi pahentaa ongelmaa. Kyberturvallisuusyritys Black Kiten erillinen analyysi havaitsi, että uusi kiristysohjelmaryhmä muodostuu suunnilleen joka viikko, mikä tarkoittaa, että puolustajat eivät kohtaa ainoastaan älykkäämpiä hyökkääjiä, vaan heitä on enemmän, ja alalle pääsyn kynnys on matalampi tekoälyavusteisten työkalujen ansiosta, jotka vähentävät uskottavan kampanjan käynnistämiseen tarvittavaa teknistä osaamista.

Tietosuojanäkökulma, jota puolustajien ei tulisi jättää huomiotta

Kiristysohjelmien uutisoinnissa keskitytään usein operatiivisiin häiriöihin: lukittuihin järjestelmiin, lunnasvaatimuksiin, käyttökatkoihin. Mutta tässä tutkimuksessa tunnistetut sisäänpääsytavat, erityisesti tunnusten kalastelu, viittaavat hiljaisempaan ja mahdollisesti vahingollisempaan seuraukseen: tietovuotoihin. Kun hyökkääjät onnistuvat kalastelemaan tunnuksia tai huijaavat käyttäjän napsauttamaan haitallista linkkiä, he saavat usein pääsyn järjestelmään hyvissä ajoin ennen kuin mitään lunnasviestiä ilmestyy. Tuona aikaikkunana henkilötietoja, asiakasrekistereitä ja sisäistä viestintää kopioidaan ja viedään ulos järjestelmästä.

Organisaatioille, jotka käsittelevät arkaluonteisia asiakas- tai työntekijätietoja, tämä tarkoittaa, että kiristysohjelmatapahtuman tietosuojariski ei ala silloin, kun tiedostot salataan. Se alkaa siitä hetkestä, kun tekoälytehosteinen tietojenkalastelu tai tunnusvarkaus onnistuu, joskus päiviä tai viikkoja aiemmin. Uhrit ja sääntelyviranomaiset pitävät kiristysohjelmia yhä useammin tietoturvaloukkauksena, eivät pelkästään teknisenä käyttökatkona, ja tällä erottelulla on todellisia seurauksia ilmoitusvelvollisuuksien ja vaikutuksen kohteeksi joutuneiden henkilöiden kannalta.

Mitä tämä tarkoittaa sinulle

Olitpa sitten IT-järjestelmänvalvoja tai tavallinen työntekijä, tämä tutkimus on muistutus siitä, että vanhat neuvot epäilyttävien sähköpostien havaitsemisesta kaipaavat päivitystä. Tekoälyn tuottama kalastelusisältö voi näyttää huolitellulta, personoidulta ja aidolta. Kielioppi ja muotoilu eivät ole enää luotettavia varoitusmerkkejä.

Yksityishenkilöille tämä tarkoittaa hidastamista ennen linkkien napsauttamista tai liitetiedostojen avaamista, myös sellaisten, jotka näyttävät tulevan tutuilta kontakteilta tai luotetuilta brändeiltä. Pyyntöjen vahvistaminen erillisen kanavan, kuten puhelinsoiton kautta, ennen kiireelliseen sähköpostiin reagoimista on yksinkertainen tapa, joka toimii edelleen riippumatta siitä, kuinka vakuuttavalta viesti näyttää.

Organisaatioille tunnusten kalastelua koskeva luku (36 %) on vahva perustelu monivaiheiselle tunnistautumiselle ja säännöllisille tunnustarkastuksille. Jos pelkkä salasana ei enää riitä pysäyttämään tekoälyavusteista kalasteluyritystä, varastetulla salasanalla avautuvien asioiden rajoittaminen tulee olennaiseksi.

Keskeiset havainnot

  • Lähes kaksi kolmasosaa kiristysohjelmien uhreista sanoo tekoälyn tehneen heihin kohdistuneesta hyökkäyksestä tehokkaamman, käy ilmi uudesta tutkimuksesta.
  • Haitalliset linkit, liitetiedostot ja tunnusten kalastelu ovat edelleen yleisimmät sisäänpääsytavat, mutta tekoäly tekee jokaisesta niistä vaikeammin havaittavan.
  • Suhtaudu odottamattomiin sähköposteihin ja linkkeihin epäluuloisesti, vaikka ne näyttäisivät hyvin kirjoitetuilta ja tutuilta.
  • Edistä organisaatiossasi monivaiheista tunnistautumista ja säännöllisiä salasanakäytäntöjen tarkistuksia, koska tunnusvarkaus on edelleen merkittävä jalansija hyökkääjille.
  • Ymmärrä, että kiristysohjelmatapahtuma tarkoittaa usein myös tietosuojatapahtumaa, ei pelkästään järjestelmäkatkosta.

Kun tekoälytyökalut laskevat edelleen kyberrikollisten osaamiskynnystä, ajan tasalla pysyminen siitä, miten nämä hyökkäykset todellisuudessa etenevät, ja perussuojaustoimien ottaminen vakavasti on edelleen yksi tehokkaimmista puolustuskeinoista, joita sekä yksityishenkilöillä että organisaatioilla on käytettävissään.