El software ChatGPT de Open AI está causando sensación. Con la ayuda de la IA, el chatbot responde una amplia variedad de preguntas de manera muy elocuente. Por lo tanto, no debería sorprender que, como siempre ocurre con las nuevas tecnologías, los delincuentes ya estén pensando en cómo utilizar estas capacidades para sus propios fines.
Un estudio conjunto de Europol, Unicri y Trend Micro investigó esto. De acuerdo con estos resultados, se podrían considerar herramientas de ingeniería social aún mejor generadas, como phishing o BEC, para el software Open AI. Actualmente, otros investigadores de seguridad también han examinado correos electrónicos fraudulentos generados con la IA actualmente publicitada y han recibido resultados amenazantes. Además, los delincuentes ya parecen estar discutiendo formas de llevar ChatGPT a la dark web en foros clandestinos.
El papel de ChatGPT
Está claro que ChatGPT no juega el papel de la legendaria "Caja de Pandora" que ahora se ha abierto, sino que simplemente representa la primera etapa de un desarrollo previsible que tarde o temprano conducirá al uso de la IA en el ciberdelito. Para los creadores de Open AI, el lanzamiento puede ser la culminación preliminar de un largo desarrollo, pero para TI, el viaje apenas comienza. ChatGPT muestra nuevas posibilidades e inspirará a otros a hacer lo mismo. La tecnología subyacente estará disponible para el público en general y se utilizará de manera rentable y sensata como un componente de soluciones más grandes. Un desarrollo común y también positivo para TI. El reverso de la moneda es que los delincuentes también podrán acceder a ella y usar la tecnología de manera eficiente.
Correos electrónicos de phishing/ataque
Los correos electrónicos de phishing son parte del programa estándar para la mayoría de los tipos de ataques, con el fin de crear un punto de partida inicial para futuras actividades delictivas. Y eso muchas veces no es tan fácil. Es por eso que también hay un sector de servicios separado en el subsuelo digital, que ofrece el llamado "Acceso como servicio" con buena calidad: una cuestión de precio, nada más. El problema para los delincuentes es que tanto la tecnología como la intuición humana son capaces de interceptar ataques, razón por la cual se lanzan en masa (miles de millones) o, a un gran costo, con interacción humana.
La IA para aumentar la efectividad suena muy tentadora para este grupo de perpetradores. El estado actual del arte con ChatGPT puede ayudar a formular correos electrónicos de manera más creíble. Se eliminan las faltas de expresión y ortografía que suelen mencionarse en los cursos de formación en seguridad, y se pueden generar nuevos contenidos con mayor rapidez para que los correos parezcan "más atractivos".
Los correos electrónicos sin errores engañan a los usuarios más fácilmente
Pero los correos electrónicos de phishing "mejores" no son las preocupaciones que tienen los investigadores de seguridad cuando consideran el uso de IA en Access-as-a-Service. Más bien, se teme que podría ser posible crear una IA de tal manera que pueda realizar una comunicación interesante con una víctima y, por lo tanto, reducir el enorme esfuerzo actual que implican los ataques dirigidos. Si esto tiene éxito, los futuros correos electrónicos de phishing ya no podrán distinguirse de las comunicaciones comerciales reales.
Luego, las víctimas se enfrentan a ataques personales, en los que se integra el conocimiento disponible a través de las redes sociales, por ejemplo. La variante de ataque Emotet ya ha demostrado los efectos que esto puede tener al escribir su correo electrónico de ataque como respuesta a un correo electrónico enviado previamente por la víctima, afortunadamente sin soporte de IA, con contenido generado de forma genérica. El phishing de dinamita, como se conoce a este método, ya ha demostrado ser extremadamente efectivo.
Estafas: Compromiso de correo electrónico comercial (BEC)
Los avances de la IA en los últimos años se pueden observar sobre todo en lo que se refiere al lenguaje y la comunicación interpersonal. Lo que también es especial acerca de ChatGPT es que el software no solo usa lo que ya existe, sino que también genera contenido nuevo e interesante para las personas. Esto sugiere que es utilizado por ciberdelincuentes en esta área. Hay comunicación interpersonal en todas las variantes de estafa.
En el sector corporativo, por ejemplo, este es el método Business E-Mail Compromise (BEC), en el que se engaña a un empleado haciéndole creer que se está comunicando con su jefe o un cliente importante. Y también hay una gran variedad de variantes en el ámbito privado, como varias estafas románticas o el sonado “Príncipe de Nigeria”. En resumen, se persuade a la víctima en una comunicación directa, a menudo prolongada, para que termine transfiriendo dinero sin pensar al perpetrador. Con las posibilidades actuales de ChatGPT, los correos deben optimizarse culturalmente, por ejemplo con poesía.
¿las barreras del idioma? No hay problema para la IA
Sin embargo, aquí también es más la etapa de expansión adicional lo que causa preocupación. Lo primero que es probable que caiga son las barreras del idioma. La IA ya está disponible en alemán hoy. Las opciones de traducción anteriores pueden germanizar palabras u oraciones, pero solo blanquean pobremente los antecedentes culturales de una persona. Una IA puede hacer esto. Ya existen técnicas relacionadas en el campo de las falsificaciones profundas que permiten intercambiar rostros de personas en tiempo real, lo que dificulta la identificación a través de video.
Además, hay muchos esquemas de estafa probados. Por lo tanto, una IA puede entrenarse fácilmente con casos exitosos y aprender la mejor manera de convencer a las personas. Los perpetradores no solo pueden aumentar su eficiencia, sino también la cantidad de víctimas que atacan en paralelo. Pero una IA que se especializa en fraudes puede conducir a escenarios de aplicación completamente diferentes que aún no podemos evaluar en absoluto.
Creación de malware por IA
Richard Werner, consultor comercial de Trend Micro (Imagen: Trend Micro)
ChatGPT también puede desarrollar y depurar software/código. Por lo tanto, existe la posibilidad teórica de generar también malware. Esto ya ha sido probado en pruebas de prueba de concepto. Aunque los desarrolladores de Open AI ajustan regularmente sus políticas para evitar esto, siempre hay ejemplos de cómo funciona.
Todavía hay obstáculos: el código creado funciona, pero requiere una descripción precisa por parte del solicitante. También se está discutiendo que el código generado por IA aún no convence, especialmente en el desarrollo de software. Por lo tanto, es probable que ChatGPT sea de relativamente poca utilidad para determinados ciberdelincuentes en la actualidad. Sin embargo, la etapa de expansión también es previsible aquí.
Está claro que, tarde o temprano, el software de ataque será escrito por IA. Por ejemplo, esto reduce el tiempo entre el descubrimiento de una vulnerabilidad, el parche y un ataque cibernético a solo unos minutos, incluso para los delincuentes que no tienen talento técnico. Pero todos estos son desafíos bien conocidos para los que existen soluciones en el campo de la seguridad. La industria ya se enfrenta a más de 300.000 nuevos archivos maliciosos por día. Estamos hablando de cero días y unas pocas horas, y la IA hace tiempo que también se ha hecho cargo del trabajo por nosotros, principalmente para identificar incógnitas en el tipo de procedimiento.
Conclusión: ¿ChatGPT está cambiando el futuro de la seguridad informática?
ChatGPT no inició este desarrollo, sino que solo demostró al público lo que se ha discutido durante mucho tiempo en los círculos científicos. Se puede suponer que el uso de IA jugará un papel, especialmente en la infección inicial. Aquí, Access-as-a-Service compite por los clientes, y la IA puede minimizar enormes esfuerzos o mejorar el éxito de los ataques masivos. Como resultado, las empresas deben asumir que los atacantes podrán eludir sus principales mecanismos de defensa incluso más que antes.
Más en TrendMicro.com
Acerca de Trend Micro Como uno de los principales proveedores de seguridad de TI del mundo, Trend Micro ayuda a crear un mundo seguro para el intercambio de datos digitales. Con más de 30 años de experiencia en seguridad, investigación de amenazas globales e innovación constante, Trend Micro ofrece protección para empresas, agencias gubernamentales y consumidores. Gracias a nuestra estrategia de seguridad XGen™, nuestras soluciones se benefician de una combinación intergeneracional de técnicas de defensa optimizadas para entornos de vanguardia. La información de amenazas en red permite una protección mejor y más rápida. Optimizadas para cargas de trabajo en la nube, terminales, correo electrónico, IIoT y redes, nuestras soluciones conectadas brindan visibilidad centralizada en toda la empresa para una detección y respuesta más rápidas a las amenazas.