Sztuczna inteligencja zmienia taktykę ataków ransomware, a ofiary to dostrzegają

Nowe badanie organizacji, które padły ofiarą ataków ransomware, nadało liczbowy wymiar czemuś, co badacze bezpieczeństwa podejrzewali od dawna: sztuczna inteligencja sprawia, że ataki te są bardziej skuteczne. Zgodnie z badaniem, niemal dwie trzecie ofiar (65%) stwierdziło, że narzędzia AI zwiększyły skuteczność ataku, którego doświadczyły. To uderzające wyznanie osób, które przeżyły ten incydent i dokładnie wiedzą, jak on przebiegał.

Badanie rzuca również światło na to, w jaki sposób atakujący uzyskują dostęp. Złośliwe linki stanowiły 47% punktów wejścia, złośliwe załączniki 46%, a wyłudzanie danych uwierzytelniających 36%. Żadna z tych metod nie jest nowa. Linki phishingowe i zainfekowane załączniki od lat są podstawą cyberprzestępczości. Według ofiar zmieniła się jakość i wiarygodność przynęt oraz szybkość, z jaką przestępcy mogą dostosowywać swoją taktykę po przedostaniu się do sieci.

Dlaczego AI sprawia, że te stare sztuczki znów są skuteczne

Przez lata szkolenia z zakresu świadomości bezpieczeństwa uczyły pracowników, aby zwracali uwagę na charakterystyczne oznaki phishingu: niezgrabną gramatykę, ogólne pozdrowienia, niedopasowane adresy nadawców. Narzędzia AI zniwelowały wiele z tych sygnałów ostrzegawczych. Atakujący mogą teraz generować na masową skalę bardziej przekonujące, spersonalizowane wiadomości i wykorzystywać automatyzację do dostosowywania prób socjotechnicznych do roli konkretnego celu, jego firmy, a nawet ostatniej publicznej aktywności.

Nie jest to tylko teoretyczne zagrożenie. Wpisuje się w szerszy wzorzec, który badacze już udokumentowali. Jeden z aktorów zagrożeń, śledzony jako JadePuffer, był wcześniej powiązany z tym, co określono jako pierwszą kampanię ransomware przeprowadzoną od początku do końca przez duży model językowy, a od tego czasu udostępnił nowsze narzędzia wymierzone w same modele AI. Wydaje się, że granica między grupą przestępczą eksperymentującą z AI a tą, która polega na niej operacyjnie, szybko się zaciera.

Skala aktywności potęguje problem. Osobna analiza firmy cyberbezpieczeństwa Black Kite wykazała, że nowa grupa ransomware powstaje mniej więcej co tydzień, co oznacza, że obrońcy nie tylko mierzą się z inteligentniejszymi atakującymi, ale też z większą ich liczbą, przy niższych barierach wejścia dzięki narzędziom wspomaganym przez AI, które zmniejszają umiejętności techniczne potrzebne do przeprowadzenia wiarygodnej kampanii.

Aspekt prywatności, którego obrońcy nie powinni przeoczyć

Doniesienia na temat ransomware często skupiają się na zakłóceniach operacyjnych: zablokowanych systemach, żądaniach okupu, przestojach. Jednak punkty wejścia zidentyfikowane w tym badaniu, zwłaszcza wyłudzanie danych uwierzytelniających, wskazują na cichszą i prawdopodobnie groźniejszą konsekwencję: ujawnienie danych. Kiedy atakujący skutecznie wyłudzą dane uwierzytelniające lub nakłonią użytkownika do kliknięcia złośliwego linku, często uzyskują dostęp na długo przed pojawieniem się żądania okupu. W tym właśnie oknie kopiowane i wykradane są dane osobowe, rejestry klientów i wewnętrzna komunikacja.

Dla organizacji przetwarzających wrażliwe dane klientów lub pracowników oznacza to, że ryzyko związane z prywatnością w incydencie ransomware nie zaczyna się w momencie zaszyfrowania plików. Rozpoczyna się w chwili, gdy wspomagany przez AI phishing lub kradzież danych uwierzytelniających zakończy się sukcesem, czasem na kilka dni lub tygodni wcześniej. Ofiary i organy regulacyjne coraz częściej traktują ransomware jako naruszenie ochrony danych, a nie tylko awarię techniczną, a to rozróżnienie niesie za sobą realne konsekwencje w zakresie obowiązków informowania i wpływu na osoby, których dane dotyczą.

Co to oznacza dla Ciebie

Niezależnie od tego, czy jesteś administratorem IT, czy zwykłym pracownikiem, to badanie przypomina, że stare porady dotyczące wykrywania podejrzanych e-maili wymagają aktualizacji. Treści phishingowe generowane przez AI mogą wyglądać na dopracowane, spersonalizowane i zgodne z prawdą. Gramatyka i formatowanie nie są już wiarygodnymi sygnałami ostrzegawczymi.

Dla osób indywidualnych oznacza to zwolnienie tempa przed kliknięciem linków lub otwarciem załączników, nawet tych, które wydają się pochodzić od znanych kontaktów lub zaufanych marek. Zweryfikowanie próśb za pośrednictwem innego kanału, na przykład telefonicznie, przed podjęciem działań na podstawie pilnego e-maila, to prosty nawyk, który nadal działa, niezależnie od tego, jak przekonująco wygląda wiadomość.

Dla organizacji liczba dotycząca wyłudzania danych uwierzytelniających (36%) jest mocnym argumentem za wdrożeniem uwierzytelniania wieloskładnikowego i regularnych audytów poświadczeń. Jeśli samo hasło nie wystarcza już do powstrzymania prób phishingu wspomaganych przez AI, to ograniczenie tego, co skradzione hasło może odblokować, staje się kluczowe.

Kluczowe wnioski

  • Niemal dwie trzecie ofiar ransomware twierdzi, że AI zwiększyło skuteczność ataku na nie, wynika z nowego badania.
  • Złośliwe linki, załączniki i wyłudzanie danych uwierzytelniających pozostają głównymi punktami wejścia, ale AI sprawia, że każdy z nich jest trudniejszy do wykrycia.
  • Podchodź sceptycznie do nieoczekiwanych e-maili i linków, nawet jeśli wyglądają na dobrze napisane i znajome.
  • Wspieraj wdrożenie uwierzytelniania wieloskładnikowego i regularne przeglądy higieny haseł w swojej organizacji, ponieważ kradzież danych uwierzytelniających pozostaje głównym punktem zaczepienia dla atakujących.
  • Zrozum, że incydent ransomware często oznacza również incydent związany z prywatnością danych, a nie tylko awarię systemu.

W miarę jak narzędzia AI nadal obniżają barierę umiejętności dla cyberprzestępców, bycie na bieżąco z informacjami o tym, jak te ataki faktycznie przebiegają, oraz poważne traktowanie podstawowych środków ochrony pozostaje jedną z najskuteczniejszych dostępnych form obrony zarówno dla osób indywidualnych, jak i organizacji.