AI har just skrivit om reglerna för BEC: Är ditt försvar redo?

Idag är det genomsnittliga phishingmejlet som hamnar i din VD:s inkorg felfritt. Det använder perfekt grammatik, innehåller en intim förståelse för din organisations nuvarande affärslandskap och avslutas med en brådskande, kontextuellt relevant begäran. Detta är inte arbetet av en typisk cyberkriminell; det är kännetecknet för generativ AI som används som ett vapen, vilket förvandlar social ingenjörskonst från ett sifferbaserat spel till en riktad attack.

Denna AI-drivna evolution innebär att phishing och företags-e-postkompromiss (BEC) aktivt får en skjuts till oöverträffade nivåer. För cybersäkerhetsproffs är det inte längre valfritt att förstå denna snabba utveckling; det är avgörande för att förhindra potentiellt förödande ekonomiska och ryktebaserade skador.

Denna blogg utforskar den nya verkligheten av AI-förstärkt phishing och BEC. Vi kommer att avslöja hur angripare utnyttjar AI för ultra-realistiska kampanjer, varför dessa sofistikerade attacker ofta går förbi traditionell säkerhet och - viktigast av allt - de strategiska försvar och proaktiva steg som säkerhetsledare nu måste implementera. Cybersecurity-landskapet utvecklas lika snabbt som AI själv; är dina försvar upp till par?

Hur AI driver phishing och BEC-attacker till nya höjder

Anpassningsförmågan hos generativ AI är precis det som gör det till ett så kraftfullt verktyg för cyberkriminella. Attackerare är inte längre begränsade av sina egna skrivfärdigheter, språkfärdigheter, eller ens behovet av att manuellt skapa varje meddelande. AI ger dem möjligheter att förbättra både sofistikeringen och takten i deras phishing- och BEC-operationer.

Att skapa hyperrealistiska beten med LLMs

Stora språkmodeller (LLM), samma teknik som driver populära AI-chatbotar som OpenAI:s ChatGPT eller Googles Gemini, ligger i framkant av AI-driven social ingenjörskonst. Närstående attackerare använder nu LLM för att generera nästa nivå av phishing-e-post och BEC-meddelanden som är praktiskt taget omöjliga att särskilja från legitima kommunikationer. Dessa modeller kan producera text med felfri grammatik och stavning, adoptera specifika toner och inkorporera kontextuellt relevanta detaljer för att skapa högst personliga och trovärdiga berättelser. Denna nivå av finess gör det ofta lätt att skräddarsy attacker mot specifika individer eller roller inom en organisation, vilket avsevärt ökar chansen för framgång.

Förutom att förbättra språket överkommer LLM:er också grundläggande traditionella hinder för angripare. Till exempel kan LLM:er utan ansträngning översätta och kompozera meddelanden på flera språk, vilket gör att hotaktörer kan utöka sina kampanjer globalt utan de avslöjande felen som en gång fungerade som varningssignaler. Naturligt ljudande text innebär också att dessa skadliga e-postmeddelanden blir allt bättre på att kringgå traditionella e-postsäkerhetsfilter. Många äldre system är beroende av att upptäcka dålig grammatik, misstänkta nyckelord eller kända skadliga signaturer - allt som AI-genererat innehåll kan specifikt utformas för att undvika.

Deepfakes går in i arenan: Röst- och videoimitering

Tyvärr expanderar vapeniseringen av AI bortom textbaserade attacker till andra medier, ofta kallade "deepfakes." Denna expansion inkluderar röstfiske (vishing), där AI:s förmåga att klona röster från relativt små ljudprover skapar mycket övertygande imitationer.

Tänk dig att få ett samtal som påstås vara från din VD, där deras röst är perfekt imiterad, som ber dig att bekräfta en brådskande överföring av medel. Detta scenario är en alltmer genomförbar attackmetod. AI-genererade röstdeepfakes tillför ett kraftfullt lager av autenticitet och brådska till BEC-bedrägerier, särskilt när de kombineras med ett övertygande e-postmeddelande. Utöver ljudhotet framträder hotet från deepfake-video inom BEC och social ingenjörskonst också snabbt. Även om det kanske är mindre vanligt på grund av större tekniska krav, kan angripare potentiellt använda AI för att skapa korta videoklipp som imiterar chefer i videosamtal eller inspelade meddelanden. Dessa taktiker kan lura anställda att godkänna bedrägliga transaktioner eller dela känslig information.

Förmågan att kombinera felfri AI-genererad text med övertygande syntetisk röst och, så småningom video, representerar en allvarlig eskalering av sofistikeringen i impostorattacker - vilket utmanar traditionella metoder för identitetsverifiering.

Den nya ansiktet av BEC: AI-drivna bedrägerievolutionen

Artificiell intelligens gör inte bara befintliga phishing- och BEC-meddelanden snyggare och mer professionella - den driver aktivt en evolution i komplexiteten och målinriktningen av bedrägerierna själva. Angripare utnyttjar AI för att gå bortom grundläggande taktiker, utvecklar mer intrikata bedrägeriskemata och riktar in sig på sina offer med förbluffande noggrannhet.

Gå bortom grundläggande bedrägerier

För inte så länge sedan var många BEC-försök relativt enkla, ofta involverande ett dåligt formulerat e-postmeddelande från en "VD" som begärde brådskande inköp av presentkort. Även om dessa fortfarande förekommer, ser vi nu AI-förstärkta försök till komplex fakturamanipulation, betalningsavledning och övertygande flerstegsleverantörsimitationer. AI bidrar till en mer fullt utvecklad bedräglig kommunikation genom att förbättra aspekter som:

Att skapa all kommunikation med en högre grad av finess
Att skapa mer övertygande falska dokument och berättelser för förfrågningar
Utforma uppföljningsmeddelanden som motverkar den första skeptisismen

Den grundläggande BEC-bedrägeriet har nu utvecklats, vilket gör dessa intrikata bedrägerier svårare för anställda att upptäcka och hantera.

Precisionsinriktad målsökning genom AI-rekognosering

Fiskespännande rekognosering är den inledande fasen där angripare samlar information om ett mål innan de påbörjar en phishingattack. AI har avsevärt ökat angriparnas förmågor för rekognosering, vilket gör att de snabbt kan sortera genom stora mängder offentliga data för att identifiera värdefulla mål och samla in kontextuell intelligens. Det som en gång tog veckor av granskning av företagswebbplatser, sociala medier och offentliga nyhetskällor för att finslipa en cyberattack kan nu noggrant genomföras på mindre än några minuter.

AI-assisterad insikt möjliggör hyper-personaliserade BEC-attacker där bedrägliga meddelanden övertygande refererar till specifika interna projekt, en individs roll, senaste företagsändelser eller noggrant imiterar kommunikationsstilen hos den impersonerade parten, vilket gör att bedrägeriet blir otroligt specifikt och mycket mer troligt att det blir betrott av mottagaren.

Efterlikna interna kommunikationer

AI:s förmåga att lära sig och efterlikna språkliga mönster är särskilt farlig när det gäller att imitera intern kommunikation—en central angreppspunkt för BEC. Angripare kan träna modeller på exempel av ett företags stil eller använda AI för att generera meddelanden som felfritt antar tonen, formatet och jargongen som vanligtvis används inom en organisation. Tänk på dessa potentiella exempel på AI:s arbete:

Ett brådskande e-postmeddelande, tydligen från IT-avdelningen, som beskriver en kritisk (men falsk) systemuppdatering som kräver att anställda omedelbart klickar på en länk och anger sina referenser, med tekniskt plausibelt språk.
En avisering som verkar komma från HR om en ny, tidskänslig förmånsregistrering eller en uppdaterad policy för distansarbete, utformad för att verka legitim och relevant för anställda.
En direktiv från en "senior executive" eller "finansavdelningens ledare" som begär en brådskande överföring till en ny leverantör, och hänvisar till ett påstått konfidentiellt projekt eller en kommande deadline, allt kommunicerat med den förväntade nivån av auktoritet och intern kontext.

Varför AI-förstärkta attacker är svårare att upptäcka

Den sofistikation som AI ger till phishing och BEC gör inte bara attackerna mer övertygande; det gör dem grundläggande svårare för både anställda och traditionella säkerhetssystem att upptäcka. De gamla kännetecknen försvinner, ersatta av taktik som utnyttjar förtroende och kontext med mycket större finess.

Försvinnandet av uppenbara varningssignaler

Phishing-e-postmeddelanden har vanligtvis uppenbara varningstecken som många användare har tränats att upptäcka. Dessa tecken, såsom dålig grammatik, uppenbara stavfel, klumpig formulering eller generiska hälsningar, har en gång fungerat som pålitliga indikatorer på ett phishingförsök. Men AI och avancerade LLM:er eliminerar i stor utsträckning dessa varningstecken genom att producera text som är nästan grammatiskt perfekt, stilistiskt lämplig och fri från dessa vanliga misstag. Slutresultatet? Illasinnade meddelanden som vid första anblick ser helt legitima ut och slinker förbi vanliga mänskliga kontroller.

Kontextmedveten bedrägeri

Tillsammans med polerad text utmärker sig AI också i att skapa kontextuellt relevanta bedrägerier. Angripare kan generera meddelanden som hänvisar till tidigare legitima konversationer, pågående projekt, specifika jobbroller eller senaste företagsevenemang (särskilt om det kombineras med AI-assisterad rekognosering). Bedrägliga förfrågningar blir betydligt mer trovärdiga när de paras ihop med befintlig kontext. Till exempel kan en brådskande betalningsförfrågan som nämner en verklig leverantör eller ett specifikt avtal i gång enkelt lura en anställd att sänka sin beredskap och godkänna bedrägliga betalningar.

Ökningen av flermediala attacker

Angripare använder också allt mer AI för att hjälpa till att orkestrera mer komplexa, flerkana sociala ingeniörskampanjer som inte enbart förlitar sig på e-post. AI kan användas för att skapa konsekventa berättelser och budskap över olika plattformar för att bygga trovärdighet eller utöva påtryckningar. Till exempel kan ett mycket övertygande AI-genererat e-postmeddelande följas upp med ett riktat LinkedIn-meddelande från en till synes legitim profil som hänvisar till e-postens innehåll, eller till och med ett AI-drivet vishing-samtal som förstärker den bedrägliga begäran. Denna lagrade metod, som använder flera kontaktpunkter, får varje enskild komponent att verka mer legitim och ökar den övergripande svårigheten att upptäcka skadliga phishingförsök.

Anpassa dina försvar: Motverka AI-drivna hot

Även om AI avsevärt förstärker angriparnas kapabiliteter, betyder det inte att organisationer är försvarslösa. Att anpassa sin säkerhetsställning kräver en detaljerad strategi som stärker tekniska kontroller, ökar medarbetares medvetenhet och proaktivt övervakar för försök till identitetsstöld. Överväg följande strategier för att motverka ökningen av AI-drivna phishing och BEC-attacker.

Förbättra människors vaksamhet: Nästa generations säkerhetsmedvetenhet

AI blir mer och mer intelligent, så den mänskliga faktorn i ditt försvar måste också utvecklas. Nästa generations säkerhetsmedvetenhet behöver fokusera på de subtiliteter som är förknippade med AI-genererade attacker, och gå bortom att bara upptäcka stavfel. Det innebär att utbilda anställda att kritiskt bedöma kontexten av förfrågningar, känna igen sofistikerade brådskande taktiker och utveckla en grundläggande medvetenhet om potentiella deepfake-indikatorer. Ditt mål är att odla en mer diskret och försiktig arbetskraft. När du bygger ditt säkerhetsutbildningsprogram, tänk på att inkludera följande strategier:

Träna på AI-phishing och deepfake subtiliteter med hjälp av realistiska exempel
Genomför phishing-simulationer som efterliknar AI:s sofistikering och kontextuella relevans
Mandera verifiering utanför bandet för brådskande eller känsliga förfrågningar
Odla en stark kultur för att rapportera misstänkta meddelanden utan rädsla

Avancerad teknisk e-postsäkerhet

Att utveckla dina mänskliga försvar är avgörande, men det är också viktigt att förbättra dina tekniska försvar för e-post. Även om inget enskilt verktyg är en lösning på alla problem, är en kombination av grundläggande protokoll och moderna detektionstekniker avgörande för att motverka AI:s sofistikering. Dessa tekniker involverar inte bara att verifiera avsändarens legitimitet utan även att identifiera avvikande mönster som AI-genererade attacker kan uppvisa trots sitt välpolerade utseende. Förbättra dina e-postsäkerhetsåtgärder genom att implementera följande:

Tillämpa DMARC (p=reject/quarantine), SPF och DKIM på alla domäner
Använd e-postsäkerhet med beteende-/AI-avvikelsedetektering och sandboxing
Ställ in gateways för att flagga impersonation (visningsnamn, nya avsändare, etc.)
Granska och justera e-postsäkerhetspolicys regelbundet för att hantera utvecklande hot.

Proaktiv skydd av domäner och varumärken

Angripare använder ofta liknande eller felstavade domäner som liknar din organisations legitima domän för att lura mottagare i phishing- och BEC-attacker. En felstavad domän kan lura anställda vid första anblick, så det är avgörande att identifiera och hantera dessa impersonationsförsök innan de blir allmänt använda. Skydda din domän och ditt varumärke genom att:

Kontinuerligt övervaka nyregistrerade domäner eller domäner med dess typografiska variationer.
Spårning av obehörig användning av ditt varumärke, verkställande namn och IP online
Att definiera en tydlig process för att utreda och initiera domännedstängningar
Utbilda personalen att alltid noggrant granska avsändaradresser och URL:er

Generativ AI har utan tvekan höjt insatserna för phishing och BEC, vilket skapar attacker som är hyperrealistiska, mycket skalbara och betydligt svårare för både människor och traditionella system att upptäcka. Att effektivt motverka detta föränderliga hotlandskap kräver en mer sofistikerad, lager-på-lager försvarsstrategi - en som intelligent kombinerar avancerad teknik, kontinuerlig användarmedvetenhet och organisatorisk vaksamhet.

UpGuard Breach Risk spelar en avgörande roll i detta lager av försvar, och ger organisationer extern synlighet och proaktiva upptäcktsmöjligheter för att mildra riskerna kopplade till dessa sofistikerade attacker. Funktioner som är utformade för att hjälpa till att mildra AI-drivna hot inkluderar:

Övervakning av angreppsyta: Kontinuerlig övervakning av din externa angreppsyta för sårbarheter eller exponeringar som angripare kan utnyttja.
Data läckagedetektering: Upptäck läckta referenser som cirkulerar online, vilka är primär bränsle för BEC och kontoövertagande försök.
Identifiering av typosquatting: Identifiera typosquatting-domäner och webbplatser som liknar din som specifikt har skapats för att imitera ditt varumärke i avancerade phishingkampanjer.

I en tid när cyberhot utvecklas lika snabbt som AI själv, kräver det att man ligger steget före genom kontinuerlig anpassning och utnyttjande av avancerade verktyg som ger tydliga insikter i dina externa risker.