KI-generert spydfisking: Hvorfor skrivefeil ikke lenger avslører angrepet

I årevis har det faste rådet under opplæring i informasjonssikkerhet vært det samme: "Se etter skrivefeil, merkelige setningsstrukturer og uskarpe logoer." Den tiden er ugjenkallelig forbi. Store språkmodeller (LLM) og generativ kunstig intelligens gjør det nå mulig for trusselaktører å forfatte feilfrie henvendelser på plettfri norsk, fullstendig tilpasset virksomhetens tonefall og bransjespesifikk terminologi.

For CISO, IT-sikkerhetsansvarlige og ledergruppen representerer dette et markant teknologisk taktskifte. Svusjforsøkene minner ikke lenger om klossete meldinger om fiktive lotterigevinster. I dag opptrer de som troverdige møtereferater, skreddersydde leverandørpurringer eller hastehenvendelser som tilsynelatende stammer fra konsernsjefen. Når den språklige innpakningen er perfekt, hvordan skal man da avdekke moderne spydfisking (spear-phishing)?

Hvordan oppdage phishing-e-post forfattet feilfritt av kunstig intelligens?#

Kort oppsummert: For å avdekke KI-generert spydfisking uten skrivefeil må dere stole på kontekstuell og teknisk analyse: uvanlige brudd på etablert tonefall, plutselige krav om avvik fra faste rutiner, misforhold mellom avsender og kommunikasjonskanal, samt logiske brister i hastebegrunnelsen.

Når syntaks og rettskriving ikke lenger avslører angriperen, må oppmerksomheten rettes mot situasjonell sammenheng og henvendelsens reelle hensikt. Kunstig intelligens produserer overbevisende tekst, men mangler ofte innsikt i de uformelle og relasjonelle nyansene internt i et team.

Nye svake signaler dere må se etter

• Brudd på etablerte prosedyrer: Ber henvendelsen mottakeren om å omgå vanlige godkjenningsrutiner under påskudd av en kritisk hasteoppgave eller spesiell konfidensialitet?
• Uventet formål: Forsøker e-posten å utløse en umiddelbar handling (et klikk, innlogging, filnedlasting eller en hasteoverføring) uten at det foreligger noen forutgående operasjonell dialog?
• Relasjonelle avvik: Selv om tonen virker profesjonell, kan den fremstå unaturlig formell eller uvanlig autoritær sammenlignet med hvordan kollegaen eller lederen normalt kommuniserer.
• Tekniske detaljer i e-posthodet: Vær oppmerksom på manipulerte avsenderadresser (subtil typosquatting), avvikende "Reply-To"-felt eller manglende samsvar med virksomhetens oppsett for SPF, DKIM og DMARC, i tråd med NSMs grunnprinsipper for IKT-sikkerhet.

Hvorfor generativ KI gjør spydfisking spesielt risikabelt#

Kort oppsummert: Industriell kunstig intelligens automatiserer masse-skreddersøm ved å hente offentlig tilgjengelig informasjon (LinkedIn, pressemeldinger, Brønnøysundregistrene) for å generere tilpassede angrep som omgår de ansattes tradisjonelle varsellamper.

Tradisjonell målrettet spydfisking krevde før mange timer med manuell informasjonsinnhenting (OSINT) for å bygge en troverdig felle mot en utvalgt medarbeider. Angriperen måtte analysere virksomhetens organisasjonskart, nettsider og interne sjargong for å etterligne nøkkelpersoner.

Med dagens språkmodeller skjer denne syntesen på få sekunder. Ved å mate en modell med en LinkedIn-profil, et par nyhetsartikler og noen offisielle uttalelser, kan trusselaktører generere henvendelser som treffer nøyaktig på ansvarsområdet til en regnskapsmedarbeider eller en IT-administrator.

Resultatet er en overbevisende illusjon av legitimitet. Skal virksomheten beskytte seg mot dette i lys av Digitalsikkerhetsloven (NIS 2) og personopplysningsloven (GDPR), må opplæringen endres: Det handler ikke lenger om å jakte på tastefeil, men om å vurdere hvorvidt selve interaksjonen og forespørselen gir mening.

Verifisering via sekundær kanal: Det avgjørende mottiltaket#

Det mest effektive forsvaret mot målrettet sosial manipulering er etablering av faste rutiner for toveiskontroll via en uavhengig kanal (out-of-band verification). Straks en henvendelse ber om endring av kontonummer, tilbakestilling av kritiske tilganger eller deling av sensitive data, skal følgende rutine følges:

• Direkte telefonsamtale: Ring vedkommende på det nummeret som er registrert i virksomhetens interne katalog, aldri på telefonnummeret som er oppgitt i den mistenkelige henvendelsen.
• Intern direktemelding: Send en melding via godkjente interne samhandlingsverktøy for å bekrefte at forespørselen faktisk er reell.
• Drøfting i teamet: Rådfør deg med en kollega eller varsle IT-sikkerhetsteamet før det utføres handlinger som ikke kan reverseres.

En slik systematisk kontrollkultur stopper de aller fleste forsøk på identitetstyveri, uansett hvor velformulert den KI-genererte teksten måtte være.

BRAIN SECURITY I PRAKSIS · Super Phisher

Tren organisasjonen på moderne trusler med Super Phisher#

I møte med trusler som stadig forfines, strekker ikke tradisjonell teoretisk gjennomgang til. For å bygge varig motstandskraft må de ansatte erfare realistiske scenarioer som speiler metodene trusselaktører faktisk benytter i dag.

Dette er kjernen i Super Phisher, simulatoren for phishing-trening som leveres i samarbeid med ekspertene i Brain Security. I stedet for utdaterte og generiske e-postmaler, utvikler vi tilpassede treningskampanjer forankret i deres virksomhets hverdag. Dette lar dere kartlegge risikobildet og trene de ansatte uten å benytte straffende eller demotiverende metoder.

Hver treningssekvens blir en konstruktiv læringsarena som gjør sunn skepsis til en naturlig del av den daglige sikkerhetskulturen i hele organisasjonen, fra førstelinjen til ledergruppen og styret.

Ønsker dere å styrke virksomhetens motstandskraft mot neste generasjons spydfisking med et skreddersydd treningsløp? Ta kontakt for en demonstrasjon for å diskutere deres behov med vårt fagmiljø.

Les videre: relaterte artikler og løsninger fra Brain Security#

Relaterte artikler om dette temaet

• Quishing: Hvordan QR-kode-phishing omgår virksomhetens e-postsikkerhet (Phishing & Social Engineering) : Lær hvordan quishing omgår e-postfiltre ved å flytte angrepet til ansattes private mobiler, og hvordan dere sikrer norske virksomheter effektivt.
• Direktørsvindel 2.0: Når stemmekloning og deepfake lurer økonomiavdelingen (Phishing & Social Engineering) : Beskytt økonomiavdelingen mot direktørsvindel via deepfake lyd og vishing. Rutiner, tiltak og praktisk trening for norske ledere og CISO.
• Smishing: Slik trener du ansatte mot SMS-angrep og mobil phishing (Phishing & Social Engineering) : Beskytt virksomheten mot smishing og mobil phishing. Lær hvorfor klikkraten er høy på SMS, og bygg sterke sikkerhetsreflekser i tråd med NSM.
• Cybersikkerhet for HR og rekruttering: Avdekk infiserte cver og falske kandidater (Industries & Roles) : Lær hvordan HR og rekrutterere beskytter virksomheten mot infiserte cver, skadelige lenker og deepfake kandidater under jobbintervjuer.

Utforsk Brain Securitys løsninger på nettstedet vårt

• Tilknyttet løsning : Super Phisher : Realistiske phishingsimuleringer (Super Phisher): tren ansatte i å avsløre og rapportere sosial manipulasjon.
• Se bruksområder etter mål og bransje
• Sammenlign våre formater for cyber- og AI-bevissthet
• Utforsk hele den interaktive katalogen fra Brain Security
• Snakk med teamet vårt om deres behov (demo og oppsett)