На початку фішингові атаки часто були дуже простими та використовували законні джерела письмового спілкування, наприклад електронну пошту, щоб отримати доступ до конфіденційних даних.
В епоху штучного інтелекту спокусливо подумати про те, як зловмисники модернізують свої методи фішингу. Із зростанням популярності інструментів GenAI голосові фішингові атаки, також відомі як «вішинг», стали новою нормою, і еволюція методів атак продовжується.
Фішинг як трамплін
Щоб зрозуміти важливість фішингу в індустрії зловмисного програмного забезпечення, варто поглянути на анатомію атаки. Зазвичай увагу ЗМІ привертають успішні атаки програм-вимагачів. Однак успішне розміщення троянів-шантажистів — це вже кінець циклу зараження, що призводить до жахливих вимог викупу або втрати даних. Етап підготовки такої атаки значно менше в центрі уваги, хоча оборонна стратегія повинна починатися вже тут. На етапі пошуку жертв сучасні методи фішингу відіграють важливу роль, на яку ІТ-організації повинні реагувати.
Механізми фішингу відіграють певну роль, коли зловмисники визначають поверхню атаки організації. У центрі інтересу часто знаходяться особисті дані доступу або розміщення зловмисного програмного забезпечення нульового дня для отримання доступу до системи. Оскільки зловмисники також покладаються на тенденцію штучного інтелекту для своїх оманливих маневрів, організації повинні зміцнити свої механізми захисту, наприклад, використовуючи сучасні методи аналізу шкідливих програм на основі поведінки.
Персоналізовані фішингові атаки
Діапазон приманок для жертв еволюціонував від простого шахрайства електронною поштою для масової аудиторії до персоналізованих атак. Оскільки обізнаність про традиційні фішингові кампанії зросла завдяки навчанню, зловмисники відкрили нові канали та методи. Відповідно, останнім часом почастішали фейкові дзвінки та вішинг. Справжній голос менеджера імітується за допомогою інструменту клонування голосу AI. Ці інструменти спочатку визначають характеристики людського голосу, а потім використовують штучний інтелект, щоб навчити систему ідеально імітувати цей голос під час декламування різних повідомлень. У поєднанні зі звичайними методами фішингу стає все важче розпізнавати імітацію голосу, тобто так звані підробки голосу.
Окрім клонування голосу буде введено ще один метод фішингу. «Квішинг» передбачає надсилання електронною поштою QR-коду зі шкідливим посиланням, прихованим за зображенням. Такий метод ускладнює виявлення шкідливого коду, оскільки інструменти безпеки часто неефективні. Це підвищує ризик, зокрема, для працівників із приватними мобільними телефонами, які не захищені належним чином. Щоб не відставати від цих розробок у техніках фішингу, рекомендується менталітет нульової довіри. Не лише як технічне рішення безпеки, а й на людському рівні. Співробітники повинні продемонструвати здорову підозру щодо незвичайних повідомлень, вмісту або невідомих відправників, щоб запобігти реалізації прихованих загроз.
Довіра – це добре, контроль – краще
Звичайно, окрім захисту людини, стратегії кібербезпеки також повинні бути адаптовані для боротьби зі зростаючою загрозою сучасного фішингу та захисту конфіденційної інформації. Однак сьогодні співробітники надто довіряють доступним рішенням безпеки та недостатньо обережні, коли мають справу з підозрілими повідомленнями. Телефонний дзвінок від когось, кого ви вважаєте знайомим, але хто звертається з незвичайними чи несподіваними запитами, завжди слід запитувати. Перш ніж працівники діятимуть у такій ситуації, рекомендується проявити обережність. У разі сумнівів функція зворотнього дзвінка гарантує, що незвичайна ситуація буде з’ясована, а абонент автентифікований, таким чином зберігаючи цінну інформацію.
Оскільки особиста взаємодія для перевірки не завжди можлива в сучасному гібридному робочому середовищі, рекомендується вибрати інший канал для перевірки отриманих повідомлень. Наприклад, якщо ви підозрюєте дзвінок через WhatsApp, радимо переконатися, що людина, яка розмовляє по телефону, є тим, ким вона себе видає за допомогою мобільного телефонного дзвінка, повідомлення Slack або електронної пошти. Щоб уникнути компромісу, співробітники також повинні переконатися, що вони ніколи не повідомляють особисту інформацію чи паролі по телефону чи електронною поштою, якщо це вимагається. Співробітникам необхідно повідомити одну річ: немає необхідності внутрішньо використовувати пароль іншого працівника для доступу до даних або ресурсів у системі. Навіть з таким запитом сигнал тривоги повинен подзвонити, перш ніж конфіденційні дані будуть передані.
Більше уваги
Оскільки фішинг часто є лише початком ланцюга компрометації, цій тактиці соціальної інженерії слід приділяти більше уваги — і не тільки в День захисту даних. Компанії повинні озброїтися проти нових варіантів атак на основі штучного інтелекту, оскільки це піднімає атаки на новий рівень небезпеки. Вирішуючи цю проблему, компанії можуть створювати більш стійку культуру кібербезпеки та ефективно захищати конфіденційні дані.
Головним кредо має бути перенесення ментальності нульової довіри на людський рівень. Це означає, що робоча сила повинна бути навчена не довіряти одному джерелу інформації беззаперечно, а завжди перевіряти її за допомогою іншого середовища. Це стане ще важливішим, оскільки ШІ відіграватиме важливу роль у дезінформації та кампаніях з дезінформації в майбутньому.
Більше на Zscaler.com
Про Zscaler Zscaler прискорює цифрову трансформацію, щоб клієнти могли стати більш гнучкими, ефективними, стійкими та безпечними. Zscaler Zero Trust Exchange захищає тисячі клієнтів від кібератак і втрати даних, безпечно підключаючи людей, пристрої та програми будь-де. Zero Trust Exchange на базі SSE є найбільшою у світі вбудованою хмарною платформою безпеки, розподіленою в понад 150 центрах обробки даних по всьому світу.
Статті по темі