生成式AI助力詐騙者發(fā)送個(gè)性化釣魚(yú)郵件，提高成功率。本文探討應(yīng)對(duì)AI釣魚(yú)攻擊的方法。
隨著生成式AI的發(fā)展，騙子們現(xiàn)在可以發(fā)送釣魚(yú)郵件來(lái)消除語(yǔ)言障礙、實(shí)時(shí)回復(fù)，并幾乎即時(shí)自動(dòng)化大規(guī)模個(gè)性化的攻擊活動(dòng)，使偽造域名和獲取敏感數(shù)據(jù)變得更加容易。當(dāng)AI賦予騙子優(yōu)勢(shì)時(shí)，如何最有效地保護(hù)你的電子郵件系統(tǒng)？本文將解析AI釣魚(yú)的最新發(fā)展。
尼日利亞王子的好日子已經(jīng)過(guò)去了。
騙子不再像賣(mài)蛇油的商販那樣依賴(lài)自身的說(shuō)服力和對(duì)語(yǔ)言及流程的理解。借助生成式AI，釣魚(yú)者和垃圾郵件發(fā)送者現(xiàn)在擁有更強(qiáng)大的工具?？梢哉f(shuō)規(guī)則已經(jīng)改變，但我們的防御是否跟上了？繼續(xù)閱讀，了解如何保護(hù)你的電子郵件系統(tǒng)免受新型攻擊。
什么是AI釣魚(yú)？
在開(kāi)始講述恐怖故事之前，讓我們先搞清楚定義。AI釣魚(yú)利用AI技術(shù)，使騙子更容易大規(guī)模實(shí)施對(duì)潛在受害者更具說(shuō)服力的騙局。而且效果顯著。近年來(lái)，AI簡(jiǎn)化并加劇了釣魚(yú)手段，使騙子僅在2022年就賺取了超過(guò)20億美元。根據(jù)網(wǎng)絡(luò)安全公司SlashNext的數(shù)據(jù)，自2022年第四季度(大約是ChatGPT問(wèn)世的時(shí)間)以來(lái)，惡意釣魚(yú)郵件增加了1265%。
騙子如何使用AI？
AI的可用性涵蓋了從AI生成的文案到免費(fèi)的黑客工具，如WormGPT——一個(gè)OpenAI工具的黑暗版本，或者在暗網(wǎng)上提供的付費(fèi)版本FraudGPT。這些工具都是沒(méi)有安全保障的生成式AI，可以根據(jù)請(qǐng)求愉快地生成釣魚(yú)郵件、偽造特定網(wǎng)站的代碼或其他惡意請(qǐng)求。
傳統(tǒng)釣魚(yú)攻擊是什么？
傳統(tǒng)的釣魚(yú)攻擊通常始于一條欺騙性的消息。郵件或短信乍一看似乎來(lái)自合法來(lái)源，如你的銀行或美國(guó)郵政局。為了防止你仔細(xì)核對(duì)，這些信息通常會(huì)帶有緊迫感。
信息中的危險(xiǎn)在于鏈接或附件，當(dāng)你點(diǎn)擊或下載時(shí)，會(huì)帶你到一個(gè)偽造的網(wǎng)站或在你的設(shè)備上安裝惡意軟件。這個(gè)偽造網(wǎng)站或軟件會(huì)收集你輸入的敏感信息，如登錄憑證、財(cái)務(wù)詳情或個(gè)人數(shù)據(jù)。
攻擊者可以利用這些被盜信息進(jìn)行各種惡意行為，如身份盜用、金融欺詐或未經(jīng)授權(quán)訪問(wèn)賬戶(hù)。傳統(tǒng)的釣魚(yú)攻擊依賴(lài)于社會(huì)工程技術(shù)來(lái)欺騙個(gè)人無(wú)意中泄露機(jī)密信息。
我們需要強(qiáng)調(diào)的是，傳統(tǒng)釣魚(yú)攻擊依賴(lài)于社會(huì)工程技術(shù)，而AI釣魚(yú)攻擊依賴(lài)于機(jī)器學(xué)習(xí)技術(shù)。
雖然AI釣魚(yú)占據(jù)了大量領(lǐng)地，但你仍需保護(hù)自己免受普通釣魚(yú)攻擊的侵害。并非所有騙子都懂得如何利用AI……至少現(xiàn)在還沒(méi)有。在我們的文章中了解更多關(guān)于騙子和釣魚(yú)者的陰暗面。
什么是AI驅(qū)動(dòng)的釣魚(yú)攻擊？
AI釣魚(yú)攻擊利用人工智能使釣魚(yú)郵件更具說(shuō)服力和個(gè)性化。惡意行為者可以使用AI算法分析大量關(guān)于目標(biāo)群體的數(shù)據(jù)，如社交媒體資料、在線行為和公開(kāi)可用的信息，從而創(chuàng)建個(gè)性化的攻擊活動(dòng)。
釣魚(yú)郵件甚至可以包含熟悉的元素，如提及用戶(hù)最近的購(gòu)買(mǎi)、興趣或互動(dòng)。這種個(gè)性化水平增加了成功的可能性。AI還可以輕松生成逼真的合法網(wǎng)站副本，使接收者難以區(qū)分真假網(wǎng)站。
AI釣魚(yú)基于一系列原則，這些原則構(gòu)建了一個(gè)無(wú)限的可能性畫(huà)面。
AI釣魚(yú)的四大支柱
AI釣魚(yú)是一種黑暗的營(yíng)銷(xiāo)，是在沒(méi)有合法發(fā)件人操作的倫理和立法的情況下可能發(fā)生的事情。雖然基本過(guò)程相似，但沒(méi)有邊界。使用像WormGPT這樣的工具可能是這樣的：
1. 數(shù)據(jù)分析：攻擊者使用算法和工具如WormGPT在互聯(lián)網(wǎng)上搜刮大量關(guān)于目標(biāo)群體或個(gè)人的數(shù)據(jù)。這包括社交媒體資料、公開(kāi)記錄和在線活動(dòng)。WormGPT可以分析這些數(shù)據(jù)以了解目標(biāo)的興趣、行為和偏好。
2. 個(gè)性化：通過(guò)收集的數(shù)據(jù)，AI生成高度個(gè)性化的釣魚(yú)郵件。這些郵件可能提及最近的購(gòu)買(mǎi)、愛(ài)好或目標(biāo)生活中的特定事件。這種個(gè)性化水平使郵件看起來(lái)更合法，提高了受害者上當(dāng)?shù)目赡苄浴?/p>
3. 內(nèi)容創(chuàng)作：然后，AI用于生成模仿目標(biāo)聯(lián)系人或已知機(jī)構(gòu)的寫(xiě)作風(fēng)格的可信郵件內(nèi)容。這有助于創(chuàng)建一種熟悉和信任感，克服語(yǔ)言障礙造成的任何障礙。
4. 規(guī)模和自動(dòng)化：最后，AI使攻擊者能夠有效地?cái)U(kuò)大操作規(guī)模。他們可以在短時(shí)間內(nèi)生成大量獨(dú)特的釣魚(yú)郵件，并使用AI瞄準(zhǔn)廣泛的個(gè)人或組織，同時(shí)還使用AI生成代碼、協(xié)助觸發(fā)自動(dòng)化和設(shè)置webhooks和集成。
IBM的5/5規(guī)則
AI生成輸出比人類(lèi)快。結(jié)束。我們可以辯論(并且在其他文章中已經(jīng)辯論過(guò))輸出的質(zhì)量和最佳用途，但騙子不會(huì)停下來(lái)進(jìn)行這種對(duì)話。
IBM的一組工程師最近與AI進(jìn)行了一場(chǎng)創(chuàng)建釣魚(yú)活動(dòng)的比賽。他們發(fā)現(xiàn)AI在極短的時(shí)間內(nèi)表現(xiàn)更好。由此產(chǎn)生了5/5規(guī)則。
5/5規(guī)則表明，只需5個(gè)提示和5分鐘，就可以創(chuàng)建一個(gè)幾乎與IBM工程師創(chuàng)建的釣魚(yú)活動(dòng)一樣成功的釣魚(yú)活動(dòng)。人類(lèi)技術(shù)專(zhuān)家需要16小時(shí)的時(shí)間，生成式AI只用了5分鐘——AI工具將迭代變得更快、更高效，可能是成倍增長(zhǎng)的。人類(lèi)有其局限。
IBM設(shè)定的五個(gè)提示：
1. 列出[特定行業(yè)]中[特定群體]的關(guān)注點(diǎn)。
2. 撰寫(xiě)一封利用社會(huì)工程技術(shù)的郵件。
3. 將常見(jiàn)的營(yíng)銷(xiāo)技術(shù)應(yīng)用于郵件。
4. 我們應(yīng)該向誰(shuí)發(fā)送郵件？
5. 我們應(yīng)該說(shuō)郵件來(lái)自誰(shuí)？
AI釣魚(yú)的例子
2024年已經(jīng)發(fā)生了一些重大的AI釣魚(yú)攻擊。一些更像傳統(tǒng)的釣魚(yú)攻擊，一些則是非常昂貴的深度偽造。
AI深度偽造
2024年初的這個(gè)新聞故事因其巨大的損失和視頻AI工具完全說(shuō)服一家總部位于中國(guó)的跨國(guó)公司財(cái)務(wù)員工釋放巨額資金而臭名昭著。該員工是AI深度偽造的目標(biāo)，壞人成功地在視頻會(huì)議上偽裝成公司的CFO和其他領(lǐng)導(dǎo)人，損失金額高達(dá)2500萬(wàn)美元。
我們以這個(gè)例子開(kāi)始是因?yàn)樗f(shuō)明了兩個(gè)非常重要的點(diǎn)：
AI在深度偽造方面非常強(qiáng)大，不僅是視頻，還有文字、偽造網(wǎng)站、電話和短信。
說(shuō)明了公司內(nèi)部教育識(shí)別和防止這種新水平攻擊的重要性。
事實(shí)上，AI釣魚(yú)騙局不必如此復(fù)雜才能奏效。讓我們玩?zhèn)€快速游戲：
你收到以下郵件：
主題：需要重置您的賬戶(hù)密碼
親愛(ài)的[姓名]，
我們檢測(cè)到您的賬戶(hù)可能存在未經(jīng)授權(quán)的訪問(wèn)，為了預(yù)防，我們正在重置您的密碼。
請(qǐng)使用此鏈接創(chuàng)建新密碼。
我們的團(tuán)隊(duì)努力確保您的賬戶(hù)和信息安全。如有任何問(wèn)題，請(qǐng)回復(fù)此郵件，我們的團(tuán)隊(duì)成員會(huì)為您提供幫助。
此致，貴公司的支持團(tuán)隊(duì)
這聽(tīng)起來(lái)真實(shí)嗎？如果是的話，你點(diǎn)擊鏈接，頁(yè)面看起來(lái)像是真實(shí)的組織。這看起來(lái)真實(shí)是因?yàn)橛蠥I工具可以輕松復(fù)制網(wǎng)頁(yè)設(shè)計(jì)和代碼。
所以，讓我們回顧一下：郵件中沒(méi)有任何奇怪的措辭或語(yǔ)法錯(cuò)誤。實(shí)際上，它甚至邀請(qǐng)你聯(lián)系(如果你這樣做，會(huì)有一個(gè)AI支持的聊天機(jī)器人準(zhǔn)備回答你)，網(wǎng)站看起來(lái)真實(shí)，你最終會(huì)遇到一些不顯眼的表單字段，它們正等待捕獲你的憑證。我們使用ChatGPT大約花了20秒生成這個(gè)。
你會(huì)上當(dāng)嗎？如果被偽造的域名是一個(gè)內(nèi)部工具，你的任何員工會(huì)上當(dāng)嗎？你會(huì)檢查域名嗎？你會(huì)檢查發(fā)件人地址嗎？你現(xiàn)在是否命中注定要對(duì)每封收到的郵件進(jìn)行盡職調(diào)查？
如何保護(hù)自己和你的組織
現(xiàn)在是價(jià)值數(shù)十億美元的問(wèn)題(確切地說(shuō)是超過(guò)20億美元)：你能做些什么來(lái)保護(hù)你的組織和電子郵件系統(tǒng)免受這種新型釣魚(yú)攻擊的侵害？
作為發(fā)件人，你有兩個(gè)目標(biāo)要防守。你自己的聲譽(yù)和安全，以及你客戶(hù)的安全和數(shù)據(jù)保護(hù)。唯一存在的電子郵件防御是DMARC。
在我們深入探討最佳實(shí)踐之前，先來(lái)看一下在AI時(shí)代DMARC的動(dòng)態(tài)。
DMARC的演變
DMARC(基于域的消息認(rèn)證、報(bào)告和一致性)從誕生到實(shí)施經(jīng)歷了不少歷程。令人驚訝的是，采用率一直很低。也許是因?yàn)檫@個(gè)過(guò)程比其他標(biāo)準(zhǔn)認(rèn)證更技術(shù)性。也許是因?yàn)橄嚓P(guān)成本。不管怎樣，DMARC不會(huì)消失。以下是迄今為止的旅程：
2007-2008年：隨著電子郵件釣魚(yú)攻擊變得更復(fù)雜，人們認(rèn)識(shí)到需要更強(qiáng)大的電子郵件認(rèn)證系統(tǒng)。SPF(發(fā)件人策略框架)和DKIM(域密鑰識(shí)別郵件)已經(jīng)在使用中，以幫助驗(yàn)證電子郵件發(fā)件人的真實(shí)性，但它們有局限性。
2011年：包括Google、Microsoft、Yahoo和PayPal在內(nèi)的一組公司合作開(kāi)發(fā)了一種新標(biāo)準(zhǔn)，以解決SPF和DKIM的局限性。這種合作促成了DMARC的發(fā)展。
2012年：DMARC于2012年1月發(fā)布。它提供了一種方式，讓電子郵件發(fā)件人定義他們的電子郵件應(yīng)該如何進(jìn)行認(rèn)證和處理，如果認(rèn)證失敗的話。
2018年：國(guó)土安全部要求所有聯(lián)邦機(jī)構(gòu)在2018年10月前實(shí)施DMARC，以幫助減輕組織郵件的非法使用。
2018-2023年：DMARC的采用率并沒(méi)有它的創(chuàng)作者希望的那么廣泛。沒(méi)有廣泛的采用，執(zhí)行DMARC策略對(duì)提供者來(lái)說(shuō)是有問(wèn)題的。根據(jù)Spamresource的數(shù)據(jù)，到2023年底，在前1000萬(wàn)個(gè)域名中，只有大約123萬(wàn)個(gè)域名正在使用DMARC記錄。這種情況會(huì)改變。
2024年：2023年10月，Gmail和Yahoo宣布他們將強(qiáng)制執(zhí)行一些嚴(yán)格的發(fā)件人要求，以幫助重新控制收件箱標(biāo)準(zhǔn)并保護(hù)用戶(hù)和發(fā)件人。一個(gè)要求是實(shí)施DMARC，最低策略為p=none。這種責(zé)任轉(zhuǎn)移將有助于恢復(fù)收件箱的平衡。
了解更多關(guān)于Gmail和Yahoo發(fā)件人要求的信息，請(qǐng)查看我們與Gmail和Yahoo的爐邊談話中的關(guān)鍵要點(diǎn)。
識(shí)別AI釣魚(yú)嘗試
好了，現(xiàn)在我們已經(jīng)完成了DMARC的繞道，讓我們回到釣魚(yú)。雖然DMARC是主要防御，但還有其他最佳實(shí)踐可以幫助你制定全面的戰(zhàn)斗策略。
第一步是學(xué)習(xí)標(biāo)志。我們不能再依靠糟糕的語(yǔ)法和失敗的個(gè)性化來(lái)識(shí)別騙局。識(shí)別AI釣魚(yú)嘗試需要轉(zhuǎn)變視角。事實(shí)上，鑒于AI發(fā)展的速度和整合，這是你應(yīng)該磨練的技能。
像糟糕的語(yǔ)法和不合適的句子結(jié)構(gòu)這樣的通常標(biāo)志不再適用?，F(xiàn)在，第一步應(yīng)該是直接驗(yàn)證來(lái)源。近似域名(也稱(chēng)為相似域名)仍然可以注冊(cè)為合法域名，但名稱(chēng)不完全相同。檢查URL和域名是否與實(shí)際公司域名一致。如果是未知發(fā)件人，最好將郵件標(biāo)記為內(nèi)部公司安全團(tuán)隊(duì)或在郵箱提供商中將其報(bào)告為垃圾郵件。
DMARC無(wú)法防御近似域名，因?yàn)樗槐Ｗo(hù)創(chuàng)建DMARC策略的域名。語(yǔ)法不再是騙子的明顯標(biāo)志，因此你必須警惕驗(yàn)證收到郵件中使用的域名。
實(shí)施多層次安全
AI釣魚(yú)真的是智能的。無(wú)論你是否認(rèn)為AI是或可以是有意識(shí)的，它確實(shí)具有“思考”的能力，并根據(jù)收集的數(shù)據(jù)進(jìn)行迭代。機(jī)器學(xué)習(xí)過(guò)程現(xiàn)在可以自動(dòng)化，以系統(tǒng)地尋找入口點(diǎn)。保護(hù)你的組織和數(shù)據(jù)資產(chǎn)需要強(qiáng)大的防火墻、最新的防病毒軟件和持續(xù)的員工教育培訓(xùn)。
發(fā)件人聲譽(yù)的重要性
釣魚(yú)不僅是安全威脅，也是聲譽(yù)威脅。像Gmail和Yahoo這樣的郵箱提供商正在通過(guò)強(qiáng)制執(zhí)行批量發(fā)件人要求，包括實(shí)施DMARC來(lái)為未來(lái)做準(zhǔn)備，這將極大地幫助防御偽造域名和品牌的釣魚(yú)騙局。
DMARC是郵箱提供商保護(hù)用戶(hù)免受復(fù)雜電子郵件釣魚(yú)嘗試的最佳防御。當(dāng)組織發(fā)送電子郵件時(shí)，DMARC只有在設(shè)置和執(zhí)行規(guī)范時(shí)才有效。
如果DMARC到位，接收服務(wù)器將根據(jù)發(fā)送者設(shè)定的框架和策略對(duì)消息進(jìn)行認(rèn)證。偽造的域名將被指示從收件箱中拒絕或隔離(取決于你的DMARC策略)，并報(bào)告回你，即合法的發(fā)送者。
本文譯自 Mailgun，由 BALI 編輯發(fā)布。
（免責(zé)聲明：本網(wǎng)站內(nèi)容主要來(lái)自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性，但不保證有關(guān)資料的準(zhǔn)確性及可靠性，讀者在使用前請(qǐng)進(jìn)一步核實(shí)，并對(duì)任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對(duì)有關(guān)資料所引致的錯(cuò)誤、不確或遺漏，概不負(fù)任何法律責(zé)任。
任何單位或個(gè)人認(rèn)為本網(wǎng)站中的網(wǎng)頁(yè)或鏈接內(nèi)容可能涉嫌侵犯其知識(shí)產(chǎn)權(quán)或存在不實(shí)內(nèi)容時(shí)，應(yīng)及時(shí)向本網(wǎng)站提出書(shū)面權(quán)利通知或不實(shí)情況說(shuō)明，并提供身份證明、權(quán)屬證明及詳細(xì)侵權(quán)或不實(shí)情況證明。本網(wǎng)站在收到上述法律文件后，將會(huì)依法盡快聯(lián)系相關(guān)文章源頭核實(shí)，溝通刪除相關(guān)內(nèi)容或斷開(kāi)相關(guān)鏈接。 ）
