Deepfake na wideokonferencji

MITRE opisuje phishing jako inżynierię społeczną przekazywaną drogą elektroniczną. Gdy celem jest konkretna osoba, firma lub sektor, mówi się o spear phishingu². Wariant głosowy wykorzystuje rozmowę telefoniczną lub inną formę komunikacji ustnej, by skłonić użytkownika do udzielenia dostępu do systemów³.

Spear phishing często opiera się na dwóch dźwigniach: udawaniu zaufanego źródła i wywoływaniu u celu poczucia pilności lub alarmu³. Przy zbieraniu informacji MITRE odnotowuje też wysyłanie wielu wiadomości o pozornie pilnym charakterze⁴.

NCSC upatruje głównej korzyści AI dla atakujących w inżynierii społecznej¹. Ocenia też, że AI poprawia rozpoznanie, czyli poszukiwanie informacji o celu w celu znalezienia drogi wejścia, oraz sprawia, że ten etap i inżynieria społeczna są skuteczniejsze i trudniejsze do wykrycia¹.

Opisany tu przypadek to scenariusz bez źródła. Przychodzi wiadomość podpisana przez przełożonego, z propozycją spotkania online. Na ekranie uczestnicy wyglądają jak znani współpracownicy i mówią jak oni. Prośba jest nagląca i poufna: płatność do zlecenia bez zwłoki.

MITRE wymienia pilność wśród dźwigni atakującego³. NCSC ostrzega, że błędy językowe, od dawna używane do rozpoznawania fałszywek, już nie wystarczają¹.

Ilustracja (fikcyjna wiadomość, zneutralizowana):
[Fałszywy „dyrektor" prosi o pilne dołączenie do poufnego spotkania
przez hxxps://reunion-exemple[.]invalid/salle-12
i zapowiada, że jeszcze dziś trzeba zrealizować płatność.]

Źródła pozwalają wskazać następujące elementy.

• Pierwszym kontaktem jest wiadomość phishingowa. MITRE podaje, że może ona przyjść pocztą, przez usługi zewnętrzne, takie jak media społecznościowe, albo przez zaproszenia kalendarza².
• Podszycie się pod tożsamość ma uwiarygodnić nadawcę: MITRE wymienia fałszowanie adresu nadawcy, które może zmylić zarówno człowieka, jak i automatyczne narzędzia bezpieczeństwa².
• Faza rozpoznania przygotowuje cel. MITRE zalicza phishing w celu zdobycia informacji do taktyki rozpoznania, której celem jest zebranie danych, a nie uruchomienie złośliwego kodu⁴.
• Generatywna AI może tworzyć tekst, obrazy lub wideo¹.
• MITRE wymienia wśród dźwigni spear phishingu udawane zaufane źródło i pilność³.

NCSC ocenia, że najbardziej zaawansowane zastosowania AI pozostaną ograniczone do podmiotów dysponujących dobrej jakości danymi treningowymi, wiedzą i zasobami¹. Dodaje, że upowszechnienie tych możliwości na rynkach przestępczych oddaje je w ręce każdego, kto jest gotów zapłacić¹.

Po stronie obrony NIST opublikował dobrowolne ramy zarządzania ryzykiem AI, wydane 26 stycznia 2023 roku, a następnie, 26 lipca 2024 roku, profil poświęcony generatywnej AI, który pomaga organizacjom rozpoznawać ryzyka właściwe dla generatywnej AI⁵.

Scattered Spider: fałszywi informatycy przez telefon

MITRE podaje, że podczas kampanii C0027 grupa Scattered Spider podawała się przez telefon za prawdziwych pracowników IT. Skierowała w ten sposób ofiary do pobrania narzędzia do zdalnej administracji, które pozwalało jej przejąć kontrolę nad ich komputerem³. Strona nie podaje daty tej kampanii. Pokazuje jednak schemat wspólny z fałszowaną wideokonferencją: zaufany głos, który prosi o wykonanie czynności.

Storm-1811: fałszywe wsparcie techniczne

Według MITRE Storm-1811 dzwonił, przedstawiając się jako wsparcie IT, by nakłonić użytkowników do pobrania i uruchomienia skryptów oraz innych narzędzi³. Wśród odnośników strony jest raport Microsoft Threat Intelligence z 15 maja 2024 roku³.

Kontrola, która się liczy

MITRE zaleca dla tej techniki sprawdzanie tożsamości dzwoniącego³. W przypadku płatności oznacza to oddzwonienie do tej osoby kanałem, który już Pan/Pani zna, i niewykonywanie niczego wyłącznie na podstawie spotkania online. Podwójne zatwierdzanie przelewów to środek organizacyjny, który wprowadza zarząd. Źródła ze zbioru go nie opisują.