AI και Εταιρική Απάτη αποτελούν το νέο πρόσωπο των ψηφιακών απειλών

Από ότι φαίνεται η κακή χρήση της τεχνητής νοημοσύνης (AI) αυξάνεται όλο και περισσότερο ενώ επαναπροσδιορίζει το τοπίο της απάτης, δημιουργώντας σοβαρούς νέους κινδύνους για τις επιχειρήσεις.

Η τεχνητή νοημοσύνη (AI) φέρνει επανάσταση στον επιχειρηματικό κόσμο, μεταμορφώνοντας ριζικά τον τρόπο λειτουργίας των οργανισμών. Από την αυτοματοποίηση επαναλαμβανόμενων εργασιών και τη μείωση κόστους, μέχρι την ενίσχυση της αποδοτικότητας, η AI αναδεικνύεται σε βασικό μοχλό ψηφιακής εξέλιξης. Σύμφωνα με εκτιμήσεις της Gartner, τον Οκτώβριο του 2023 το 55% των επιχειρήσεων παγκοσμίως βρίσκονταν ήδη σε φάση πιλοτικής ή παραγωγικής χρήσης γενετικής τεχνητής νοημοσύνης (GenAI) — ποσοστό που σήμερα εκτιμάται ότι έχει αυξηθεί ακόμη περισσότερο.

Η τεχνητή νοημοσύνη βελτιώνει σημαντικά την εμπειρία πελάτη, υποστηρίζει την ανάπτυξη λογισμικού και παρέχει βαθύτερες, πιο διορατικές πληροφορίες για στρατηγική λήψη αποφάσεων. Όμως, η πρόοδος αυτή δεν αξιοποιείται μόνο από τις επιχειρήσεις.

«Οι κυβερνοεγκληματίες δε μένουν πίσω· υιοθετούν επίσης τις νέες τεχνολογίες, ενισχύοντας τις τακτικές τους και προκαλώντας νέες προκλήσεις για τα τμήματα ΙΤ και ασφάλειας», εξηγεί ο Phil Muncaster από την παγκόσμια εταιρία λογισμικού ασφαλείας ESET.

Για να αντιμετωπιστεί αυτό το νέο τοπίο απειλών, απαιτείται μια πολυεπίπεδη προσέγγιση που βασίζεται σε τρεις πυλώνες: τον άνθρωπο, τις διαδικασίες και την τεχνολογία. Μόνο έτσι μπορεί μια επιχείρηση να παραμείνει μπροστά από τις εξελισσόμενες απειλές και να αξιοποιήσει πλήρως τα οφέλη της τεχνητής νοημοσύνης, με ασφάλεια και υπευθυνότητα.

Ποιες είναι οι τελευταίες απειλές AI και deepfake

Οι κυβερνοεγκληματίες αξιοποιούν την τεχνητή νοημοσύνη και τα deepfakes με διάφορους τρόπους:

1. Υπάλληλοι… «μαϊμού»: Βορειοκορεάτες που παριστάνουν τους ελεύθερους επαγγελματίες πληροφορικής και εργάζονται εξ αποστάσεως φέρονται να έχουν διεισδύσει σε εκατοντάδες εταιρείες. Χρησιμοποιούν εργαλεία τεχνητής νοημοσύνης για τη δημιουργία πλαστών βιογραφικών σημειωμάτων και άλλων εγγράφων, συμπεριλαμβανομένων ψεύτικων φωτογραφιών επεξεργασμένων με AI, ώστε να περάσουν τους ελέγχους. Ο στόχος τους είναι η οικονομική ενίσχυση του καθεστώτος της Βόρειας Κορέας, καθώς και η κλοπή δεδομένων, η κατασκοπεία και ακόμη και η διάδοση ransomware.
2. Απάτες τύπου Business Email Compromise (BEC): Τα deepfake ηχητικά και βιντεοσκοπημένα κλιπ χρησιμοποιούνται για την ενίσχυση των απατών BEC, όπου εργαζόμενοι στον χρηματοοικονομικό τομέα εξαπατώνται ώστε να μεταφέρουν κεφάλαια σε λογαριασμούς που ελέγχουν οι απατεώνες. Πρόσφατα, ένας εργαζόμενος στο λογιστήριο μιας εταιρείας πείστηκε να μεταφέρει 25 εκατομμύρια δολάρια σε απατεώνες που χρησιμοποίησαν deepfakes για να παρουσιαστούν ως ο οικονομικός διευθυντής της εταιρείας και στελέχη της εταιρείας σε μια τηλεδιάσκεψη. Ωστόσο, τέτοιες απάτες δεν είναι καινούργιο φαινόμενο. Το 2019, οι απατεώνες ξεγέλασαν με deepfake ένα στέλεχος εταιρείας ενέργειας στο Ηνωμένο Βασίλειο, κάνοντας το να πιστέψει ότι μιλούσε στο τηλέφωνο με το αφεντικό του, και το έπεισαν να τους μεταφέρει 200.000 λίρες.
3. Παράκαμψη υπηρεσιών αυθεντικοποίησης: Οι απατεώνες αξιοποιούν εξελιγμένες τεχνικές για να υποδύονται νόμιμους πελάτες, να δημιουργούν ψεύτικες ταυτότητες και να παρακάμπτουν τους ελέγχους ταυτοποίησης κατά τη δημιουργία λογαριασμών ή τη σύνδεση σε υπηρεσίες. Ένα ιδιαίτερα προηγμένο κακόβουλο λογισμικό, το GoldPickaxe, έχει σχεδιαστεί για τη συλλογή δεδομένων αναγνώρισης προσώπου, τα οποία στη συνέχεια χρησιμοποιούνται για τη δημιουργία deepfake βίντεο. Σύμφωνα με μια πρόσφατη έκθεση, το 13,5% των νέων ψηφιακών λογαριασμών διεθνώς το περασμένο έτος θεωρήθηκαν ύποπτα για απάτη.
4. Deepfake απάτες: Οι κυβερνοεγκληματίες αξιοποιούν deepfake τεχνολογίες όχι μόνο για στοχευμένες επιθέσεις αλλά και για να μιμούνται εταιρικά στελέχη και υψηλόβαθμούς αξιωματούχους στα μέσα κοινωνικής δικτύωσης. Μέσω αυτής της τακτικής, μπορούν να προωθούν επενδυτικές απάτες και άλλες κακόβουλες ενέργειες. Όπως έχει αποδείξει ο Jake Moore της ESET, οποιοδήποτε εταιρικό στέλεχος θα μπορούσε να πέσει θύμα τέτοιων τεχνικών. Σύμφωνα με την τελευταία Έκθεση Απειλών της ESET, οι κυβερνοεγκληματίες χρησιμοποιούν deepfakes και εταιρικές επωνυμίες σε αναρτήσεις σε μέσα  κοινωνικών δικτύων για να προσελκύσουν ανυποψίαστα θύματα σε έναν νέο τύπο επενδυτικής απάτης, γνωστό ως Nomani.
5. «Σπάσιμο» κωδικών πρόσβασης: Οι αλγόριθμοι τεχνητής νοημοσύνης μπορούν να χρησιμοποιηθούν για την αποκρυπτογράφηση κωδικών πρόσβασης πελατών και εργαζομένων, επιτρέποντας την κλοπή δεδομένων, την εκτέλεση επιθέσεων ransomware και τη διάπραξη απάτης ταυτότητας. Για παράδειγμα, το PassGAN, λέγεται ότι μπορεί να σπάσει κωδικούς πρόσβασης μέσα σε λιγότερο από 30 δευτερόλεπτα.
6. Πλαστογράφηση εγγράφων: Η πλαστογράφηση εγγράφων αποτελεί έναν ακόμη τρόπο για την παράκαμψη των ελέγχων γνωριμίας με τον πελάτη (KYC) σε τράπεζες και άλλες εταιρείες. Επιπλέον, μπορεί να χρησιμοποιηθεί για ασφαλιστική απάτη. Σύμφωνα με έρευνες, το 94% των διαχειριστών απαιτήσεων υποψιάζεται ότι τουλάχιστον το 5% των απαιτήσεων έχει υποστεί χειραγώγηση μέσω τεχνητής νοημοσύνης.
7. Ηλεκτρονικό ψάρεμα και αναγνώριση στόχων: Το Εθνικό Κέντρο Ασφάλειας στον Κυβερνοχώρο (NCSC) του Ηνωμένου Βασιλείου έχει προειδοποιήσει για τη διαρκώς αυξανόμενη χρήση της τεχνητής νοημοσύνης από κυβερνοεγκληματίες. Στις αρχές του 2024, το NCSC δήλωσε ότι η τεχνολογία αυτή «είναι σχεδόν βέβαιο πως θα αυξήσει τόσο τον όγκο όσο και τον αντίκτυπο των κυβερνοεπιθέσεων τα επόμενα δύο χρόνια». Ιδιαίτερα ανησυχητική είναι η βελτίωση της αποτελεσματικότητας των τεχνικών κοινωνικής μηχανικής και της αναγνώρισης στόχων, γεγονός που ενισχύει επιθέσεις ransomware, κλοπές δεδομένων και ευρείας κλίμακας επιθέσεις ηλεκτρονικού ψαρέματος σε πελάτες.

Ο αντίκτυπος της απάτης με τεχνητή νοημοσύνη μεταφράζεται κυρίως σε οικονομική ζημία και βλάβη της φήμης. Σύμφωνα με έκθεση, το 38% των εσόδων που χάθηκαν λόγω απάτης κατά το προηγούμενο έτος αποδίδεται σε τεχνικές που βασίζονται στην AI.

Εξετάζοντας τις επιπτώσεις:

• Η παράκαμψη της διαδικασίας KYC (know your customer) επιτρέπει στους απατεώνες να αυξάνουν την πίστωση και να αποστραγγίζουν χρήματα από τους νόμιμους λογαριασμούς πελατών.
• Οι ψεύτικοι υπάλληλοι μπορούν να υποκλέψουν ευαίσθητες και ρυθμιζόμενες πληροφορίες πελατών, προκαλώντας οικονομικές απώλειες, πλήγματα στη φήμη και προβλήματα συμμόρφωσης.
• Οι απάτες BEC (Business Email Compromise) μπορούν να οδηγήσουν σε τεράστιες απώλειες. Το 2023, αυτού του είδους οι επιθέσεις απέφεραν στους κυβερνοεγκληματίες πάνω από 2,9 δισεκατομμύρια δολάρια.
• Οι απάτες πλαστοπροσωπίας απειλούν την αφοσίωση των πελατών. Έρευνες δείχνουν ότι το ένα τρίτο των καταναλωτών θα απομακρυνθεί από μια εταιρεία μετά από μία και μόνο κακή εμπειρία.

Αναχαιτίζοντας την Απάτη στην Εποχή της Τεχνητής Νοημοσύνης

Η καταπολέμηση της απάτης που χρησιμοποιεί την τεχνητή νοημοσύνη απαιτεί πολυεπίπεδη αντιμετώπιση, με έμφαση στους ανθρώπους, τις διαδικασίες και την τεχνολογία, τονίζει ο Muncaster από την ομάδα της ESET.

Αυτό θα πρέπει να περιλαμβάνει:

1. Συχνές αξιολογήσεις κινδύνου απάτης
2. Τροποποίηση και ενημέρωση των πολιτικών καταπολέμησης της απάτης ώστε να είναι σχετικές με την ΤΝ
3. Ολοκληρωμένα προγράμματα κατάρτισης και ευαισθητοποίησης του προσωπικού (π.χ. για τον εντοπισμό του phishing και των deepfakes).
4. Προγράμματα εκπαίδευσης και ευαισθητοποίησης για τους πελάτες
5. Ενεργοποίηση του ελέγχου ταυτότητας πολλαπλών παραγόντων (MFA) για όλους τους ευαίσθητους εταιρικούς λογαριασμούς και πελάτες
6. Βελτιωμένοι έλεγχοι ιστορικού για τους υπαλλήλους, όπως σάρωση βιογραφικών σημειωμάτων για ασυνέπειες σταδιοδρομίας
7. Διασφάλιση ότι όλοι οι εργαζόμενοι υποβάλλονται σε συνέντευξη μέσω βίντεο πριν από την πρόσληψη
8. Βελτίωση της συνεργασίας μεταξύ των ομάδων ανθρώπινου δυναμικού και κυβερνοασφάλειας

Η τεχνητή νοημοσύνη μπορεί να αποτελέσει ισχυρό σύμμαχο σε αυτή τη μάχη. Ενδεικτικά, μπορεί να αξιοποιηθεί για:

• Εντοπισμό deepfake μέσω εργαλείων AI,ιδιαίτερα σε διαδικασίες επαλήθευσης ταυτότητας (KYC).
• Ανάλυση προτύπων ύποπτης συμπεριφοράς σε δεδομένα εργαζομένων και πελατών, με χρήση αλγορίθμων μηχανικής μάθησης.
• Δημιουργία συνθετικών δεδομένων μέσω GenAI, με σκοπό την ανάπτυξη, δοκιμή και εκπαίδευση νέων μοντέλων ανίχνευσης απάτης.

Καθώς η σύγκρουση μεταξύ κακόβουλης και θετικής χρήσης της τεχνητής νοημοσύνης εισέρχεται σε μια νέα, πιο απαιτητική φάση, οι επιχειρήσεις οφείλουν να αναθεωρήσουν και να εξελίξουν τις στρατηγικές τους για την κυβερνοασφάλεια και την καταπολέμηση της απάτης. Η προσαρμογή στο συνεχώς μεταβαλλόμενο τοπίο απειλών δεν είναι πλέον προαιρετική· είναι επιτακτική.

Η αποτυχία ανταπόκρισης μπορεί να διαβρώσει την εμπιστοσύνη των πελατών, να πλήξει την αξία του brand και να εκτροχιάσει κρίσιμες πρωτοβουλίες ψηφιακού μετασχηματισμού.

Η τεχνητή νοημοσύνη έχει τη δύναμη να αλλάξει τους όρους του παιχνιδιού για τους κυβερνοεγκληματίες. Ωστόσο, μπορεί να κάνει το ίδιο και για τις ομάδες κυβερνοασφάλειας και διαχείρισης κινδύνων των επιχειρήσεων.