De deepfake-videovergadering

MITRE beschrijft phishing als social engineering die langs elektronische weg wordt overgebracht. Richt het zich op een bepaalde persoon, een bedrijf of een sector, dan spreekt men van spearphishing². De spraakvariant gebruikt een telefoongesprek of een andere vorm van mondelinge communicatie om de gebruiker toegang tot systemen te laten geven³.

Spearphishing maakt vaak gebruik van twee middelen: zich voordoen als vertrouwde bron en bij het doelwit een gevoel van urgentie of alarm opwekken³. Voor het verzamelen van informatie noemt MITRE ook het versturen van meerdere berichten die urgent lijken⁴.

Het NCSC ziet de belangrijkste winst van AI voor aanvallers in social engineering¹. Het acht ook dat AI verkenning verbetert, dat wil zeggen het zoeken naar informatie over een doelwit om een toegangsweg te vinden, en dat deze stap en social engineering daardoor effectiever en moeilijker te detecteren worden¹.

Het geval dat hier wordt beschreven is een scenario zonder bron. Er komt een bericht binnen, ondertekend door een leidinggevende, met het voorstel voor een onlinevergadering. Op het scherm lijken de deelnemers bekende collega's en praten ze zoals zij. Het verzoek is dringend en vertrouwelijk: een betaling die zonder uitstel moet worden gedaan.

MITRE noemt urgentie onder de middelen van de aanvaller³. Het NCSC waarschuwt dat taalfouten, lang gebruikt om een vervalsing te herkennen, niet meer volstaan¹.

Illustratie (fictief bericht, geneutraliseerd):
[Een "directeur" vraagt dringend deel te nemen aan een vertrouwelijke
vergadering via hxxps://reunion-exemple[.]invalid/salle-12
en kondigt aan dat er vandaag een betaling moet worden verwerkt.]

Op grond van de bronnen zijn de volgende elementen te benoemen.

• Het eerste contact is een phishingbericht. MITRE geeft aan dat dit via berichtendiensten kan lopen, via diensten van derden zoals sociale netwerken, of via agenda-uitnodigingen².
• Identiteitsvervalsing maakt de afzender geloofwaardig: MITRE noemt het vervalsen van het adres van de afzender, wat zowel de persoon als geautomatiseerde beveiligingstools kan misleiden².
• De verkenningsfase bereidt het doelwit voor. MITRE rekent phishing om informatie te verkrijgen tot de verkenningstactiek, met als doel gegevens te verzamelen in plaats van schadelijke code uit te voeren⁴.
• Generatieve AI kan tekst, beelden of video maken¹.
• MITRE noemt onder de middelen van spearphishing de gesimuleerde vertrouwde bron en urgentie³.

Het NCSC schat in dat de meest geavanceerde toepassingen van AI beperkt blijven tot actoren met kwalitatieve trainingsdata, expertise en middelen¹. Het voegt toe dat de verspreiding van deze mogelijkheden op criminele markten ze binnen bereik brengt van iedereen die bereid is te betalen¹.

Aan de verdedigingskant heeft NIST een vrijwillig kader voor het beheer van AI-risico's gepubliceerd, uitgebracht op 26 januari 2023, en daarna, op 26 juli 2024, een profiel over generatieve AI dat organisaties helpt de risico's te identificeren die specifiek zijn voor generatieve AI⁵.

Scattered Spider: valse it'ers aan de telefoon

MITRE geeft aan dat de groep Scattered Spider zich tijdens campagne C0027 aan de telefoon voordeed als echt it-personeel. Zo leidde de groep slachtoffers ertoe een hulpmiddel voor beheer op afstand te downloaden, waarmee de groep hun machine kon besturen³. De pagina geeft geen datum voor deze campagne. Ze toont wel het patroon dat een nagemaakte videovergadering ermee deelt: een vertrouwde stem die om een handeling vraagt.

Storm-1811: nepsupport

Volgens MITRE belde Storm-1811 en deed zich voor als it-support, om gebruikers scripts en andere tools te laten downloaden en uitvoeren³. De verwijzingen op de pagina noemen onder meer een rapport van Microsoft Threat Intelligence van 15 mei 2024³.

De controle die telt

MITRE raadt voor deze techniek aan de identiteit van de beller te controleren³. Bij een betaling komt dat neer op de persoon terugbellen via een kanaal dat u al kent en niets uitvoeren op grond van alleen een onlinevergadering. Dubbele goedkeuring van overboekingen is een organisatorische maatregel die de directie invoert. De bronnen in de verzameling beschrijven die niet.