Oszust nie musi znać swojej ofiary. Wystarczy dostęp do jej profilu na LinkedIn, Instagrama i kilku zdjęć z wakacji. AI potrafi dziś w krótkim czasie połączyć rozsiane po sieci informacje w profil konkretnej osoby – ustalić, gdzie pracuje, z kim się zna, gdzie była i jaką historią najłatwiej wzbudzić jej zaufanie.
Twój profil w sieci to gotowy scenariusz dla oszusta. AI zrobi research za cyberprzestępcę
Zdjęcie z wakacji, nazwa pracodawcy na LinkedIn, publiczna lista znajomych, informacja o szkole dziecka.
Każdy z tych elementów osobno może wydawać się niegroźny. Sztuczna inteligencja pozwala jednak szybko połączyć takie okruchy informacji w szczegółowy profil konkretnej osoby. To, co jeszcze niedawno wymagało od cyberprzestępcy godzin ręcznego przeszukiwania internetu, dziś można znacząco przyspieszyć. Precyzyjnie przygotowane oszustwa przestają więc być zarezerwowane dla szczególnie atrakcyjnych celów. Potencjalną ofiarą może stać się właściwie każdy z nas.
Jak realne jest to zagrożenie, pokazują najnowsze ostrzeżenia Policji. 25 sierpnia policjanci ze Środy Śląskiej opisali scenariusz, w którym przestępcy wykorzystują dostępne w internecie zdjęcia, nagrania głosu lub filmy, aby za pomocą AI stworzyć wiarygodną imitację konkretnej osoby.
Następnie mogą skontaktować się z jej bliskimi, wykorzystując znajomy głos i historię o wypadku czy nagłej potrzebie pieniędzy. Kilka dni wcześniej policjanci z Działdowa zwracali uwagę, że szczególnie dużo materiału dostarczamy oszustom podczas wakacji, publikując np. zdjęcia czy filmy z podróży.
Deepfake jest jednak tylko jednym ze sposobów wykorzystania informacji o ofierze. Zanim oszust zadzwoni głosem naszego dziecka, partnera czy znajomego albo wyśle wyjątkowo przekonującą wiadomość, musi wiedzieć, kogo udawać, do kogo się zwrócić i jaką historię opowiedzieć.
Tym bardziej że – jak wynika z raportu „Cyberportret polskiego biznesu” przygotowanego przez DAGMA Bezpieczeństwo IT i ESET – aż 70% badanych nie jest przekonanych, że potrafiłoby odróżnić materiał wygenerowany przez AI od prawdziwego. I właśnie na etapie zbierania informacji o ofierze AI może zmieniać reguły gry.
Oszust nie musi Cię znać, żeby dużo o Tobie wiedzieć
Zdjęcie z wakacji może zdradzić, że nie ma nas w domu. LinkedIn pokaże, gdzie pracujemy i z kim współpracujemy. Facebook lub Instagram mogą ujawnić członków rodziny, zainteresowania albo wydarzenia, w których uczestniczyliśmy. Na zdjęciu mogą pojawić się również szczegóły pozwalające rozpoznać samochód czy miejsce zamieszkania. Każdy z tych elementów osobno może mieć niewielką wartość. Połączone zaczynają jednak tworzyć historię, którą można wykorzystać przeciwko konkretnej osobie.
Jeszcze do niedawna takie prześwietlenie potencjalnej ofiary wymagało sporo czasu: odnalezienia jej profili, przeglądania postów i zdjęć, identyfikowania rodziny, znajomych czy współpracowników i ręcznego łączenia informacji z wielu źródeł. Sztuczna inteligencja znacząco ogranicza to wąskie gardło. Narzędzia AI mogą szybko przetwarzać duże ilości publicznie dostępnych informacji, kojarzyć je z konkretnymi osobami i pomagać identyfikować relacje między nimi. Dobrze radzą sobie też ze zdjęciami i nagraniami.
– Największa zmiana nie polega na tym, że informacje o nas nagle pojawiły się w internecie. One były tam już wcześniej. Zmienia się szybkość, z jaką można je znaleźć, uporządkować i połączyć. Im więcej kontekstu zdobędzie oszust, tym łatwiej przygotować wiadomość lub rozmowę, która nie będzie wyglądała jak przypadkowa próba wyłudzenia, ale jak kontakt od kogoś, kto naprawdę dużo o nas wie – mówi Kamil Sadkowski, analityk cyberzagrożeń w ESET.
Phishing, który wie, gdzie pracujesz i gdzie byłeś na wakacjach
Wiadomość phishingowa nie musi już przypominać masowego oszustwa wysłanego w identycznej formie do tysięcy osób. Może zawierać nazwę pracodawcy, odwoływać się do niedawnego wyjazdu, szkoły dziecka, wydarzenia, w którym uczestniczyliśmy albo osoby, którą rzeczywiście znamy. Tak przygotowana wiadomość może skłonić ofiarę do podania danych logowania, otwarcia złośliwego pliku czy przelania pieniędzy.
AI może pomagać również w przygotowaniu samej komunikacji. Duże modele językowe pozwalają tworzyć naturalnie brzmiące wiadomości i scenariusze rozmów, także w języku, którym przestępca sam nie posługuje się biegle. Do tego dochodzą narzędzia pozwalające podszywać się pod prawdziwe osoby za pomocą obrazu i głosu.
Biały wywiad coraz łatwiej wykorzystać także przeciwko firmom
Problem nie kończy się na życiu prywatnym. Informacje, które publikujemy jako osoby prywatne, mogą zostać wykorzystane również przeciwko organizacji, w której pracujemy.
Właśnie tutaj szczególnego znaczenia nabiera OSINT, czyli biały wywiad – zbieranie i łączenie informacji z publicznie dostępnych źródeł. Sam OSINT nie jest niczym nowym. AI sprawia jednak, że wyszukiwanie i zestawianie informacji staje się szybsze i łatwiejsze, przez co techniki białego wywiadu mogą być coraz szerzej wykorzystywane także przez mniej zaawansowanych cyberprzestępców.
LinkedIn może pozwolić ustalić stanowisko pracownika i nazwiska współpracowników. Media społecznościowe mogą z kolei ujawnić, że osoba odpowiedzialna za określony proces przebywa na urlopie. Przestępcy mogą wykorzystać taki moment, próbując podszyć się pod nią w kontakcie z innymi pracownikami. To jeden ze scenariuszy prowadzących do ataków typu BEC, w których oszust wykorzystuje firmową komunikację i zaufanie między współpracownikami do wyłudzenia pieniędzy lub informacji. Dane zdobyte w życiu prywatnym mogą również pomóc w ataku na służbowe dane dostępowe.
Granica między prywatnym profilem społecznościowym a bezpieczeństwem firmy staje się więc coraz mniej wyraźna. Informacja opublikowana wieczorem na prywatnym koncie może bardzo szybko stać się elementem ataku na pracownika lub jego organizację.
Ostrożność powinny wzbudzać sytuacje, w których ktoś wykorzystuje prawdziwe informacje z naszego życia, a jednocześnie wywiera presję i domaga się szybkiego działania. To, że rozmówca wie, gdzie pracujemy, z kim byliśmy na wakacjach albo jak ma na imię ktoś z naszej rodziny, nie jest już dowodem na to, że jest osobą, za którą się podaje.
W świecie, w którym AI może szybko przeanalizować ogromne ilości informacji, warto przyjąć prostą zasadę: to, co publikujemy publicznie, może przeczytać nie tylko człowiek. Może przeanalizować to również narzędzie, którego zadaniem będzie dowiedzieć się o nas jak najwięcej.
Obserwuj nas na Google News
Zobacz również:
- Kradzież pieniędzy z bankomatów – komentarz
- Myślisz, że nie nabierzesz się na deepfake?
- Czy Twój telefon Cię podgląda? Jakie sygnały mogą o tym świadczyć?
- Touroll J2 ST – praktyczny rower elektryczny do codziennej jazdy. Komfort, wygoda i rozsądna cena(test i opinia)
- Czy monitoring z 3. piętra ma sens? Testuję Reolink Floodlight F850W na dystansie 200 metrów!
Informacja prasowa: ESET
Zdjęcia:
