La nueva cara del cibercrimen automatizado
Puede que los ciberataques impulsados por IA no sean un problema nuevo, pero el crecimiento de las aplicaciones generativas de IA hace que los ciberataques autónomos sean más probables que nunca.
Si bien el riesgo de que se utilice un modelo de lenguaje grande (LLM) como ChatGPT para crear correos electrónicos de phishing o códigos maliciosos es en gran medida teórico en noviembre de 2023, hoy en día, modelos de lenguaje armado como PoisonGPT y WormGPT están disponibles abiertamente para su compra en la web oscura.
Ahora cualquiera puede suscribirse a un LLM malicioso por una tarifa y comenzar a generar correos electrónicos de phishing dirigidos a organizaciones específicas a escala.
A medida que aumentan las preocupaciones sobre los riesgos de seguridad de la inteligencia artificial generativa, las organizaciones deben prepararse para un aumento significativo de las estafas automatizadas de ingeniería social.
Por qué ChatGPT Clone cambia las reglas del juego
A principios de este año, Darktrace observó un aumento del 135 % en nuevos ataques de ingeniería social, lo que coincidió con el lanzamiento de ChatGPT. El estudio es uno de los primeros en mostrar un aumento en los correos electrónicos de phishing generados por IA.
Sin embargo, el lanzamiento de WormGPT y PoisonGPT en julio destacó la siguiente fase de la IA armada: la propagación de clones maliciosos inspirados en ChatGPT.
Estas herramientas están diseñadas específicamente para explotar estafas y no tienen políticas de moderación de contenido «restrictivas» que generen versiones legítimas o con jailbreak de chatbots de IA que requieran jailbreak para uso dañino.
Kevin Curran, miembro senior del IEEE y profesor de ciberseguridad, dijo a Techopedia:
«Los ataques de phishing por parte de ciberdelincuentes no son nada nuevo, pero WormGPT y FraudGPT, dos grandes modelos de lenguaje (LLM) que afirman superar las limitaciones de los LLM ‘normales’, ciertamente les facilitarán hacerlo».
Una forma en que estos oscuros LL.M. ayudan a los ciberdelincuentes es permitiendo a hablantes no nativos de inglés crear estafas que estén bien escritas, sean convincentes y tengan errores gramaticales mínimos. Esto significa que existe un mayor riesgo para los usuarios al hacer clic en ellos.
Por ejemplo, WormGPT, construido sobre el LLM GPT-J de código abierto, fue entrenado específicamente en datos de entrenamiento relacionados con malware, lo que le permite crear instantáneamente correos electrónicos fraudulentos en varios idiomas, evitando los filtros de spam de las víctimas.
Esta solución de IA generativa facilita que los piratas informáticos generen estafas a escala, al tiempo que las hace más difíciles de detectar para los usuarios.
Inteligencia artificial generativa: ¿cuál es el daño?
Los correos electrónicos maliciosos generados por IA, como los de WormGPT y FraudGPT, son más efectivos para engañar a los usuarios que los escritos por humanos, según el Dr. Niklas Hellemann, psicólogo y director ejecutivo del proveedor de capacitación en concientización sobre seguridad SoSafe.
«Una investigación reciente de nuestro equipo de ingeniería social muestra que los correos electrónicos de phishing generados por IA se crean al menos un 40% más rápido que los generados por humanos. La tasa de interacción de los correos electrónicos generados de forma inteligente (65%) ahora supera la de los correos electrónicos generados por humanos (60%).»
Hellemann añadió: «Ampliar la personalización a través de la inteligencia artificial significa que incluso con muy poca información pública, la tasa de éxito de los ataques de phishing puede mejorarse enormemente».
Si bien otros estudios han concluido que los correos electrónicos de phishing generados por IA son menos efectivos que los escritos por humanos, si los piratas informáticos ven los LLM armados como una herramienta eficaz para piratear grupos, podría haber más soluciones de este tipo.
Así como el éxito y la rentabilidad de los ataques de ransomware llevaron al crecimiento de la economía del ransomware como servicio (RaaS) y a la venta de cargas útiles de ransomware prediseñadas por parte de bandas de ciberdelincuentes, los defensores también deben prepararse para la próxima generación de ciberataques automatizados. Aumenta la demanda de maestrías.
Duplicar la concientización de los empleados
Los correos electrónicos de phishing son un importante vector de amenazas creado por LLM y la inteligencia artificial generativa. Estos correos electrónicos fraudulentos se basan en errores humanos para engañar a las víctimas para que descarguen archivos adjuntos maliciosos o visiten sitios web de phishing donde se pueden obtener sus credenciales de inicio de sesión.
Como tal, las organizaciones deben redoblar sus inversiones en el elemento humano de la ciberseguridad. Eso significa invertir en capacitación sobre concientización sobre seguridad para los empleados para que tengan el conocimiento y la experiencia necesarios para detectar correos electrónicos de phishing cuando los encuentren.
Esto va más allá del alcance de los cursos de aprendizaje electrónico pequeños y fáciles de entender, y también debería incluir simulaciones de phishing en vivo, enviando correos electrónicos de phishing falsos a los empleados para evaluar con qué eficacia pueden identificar contenido malicioso.
Dicho esto, es importante darse cuenta de que, si bien el error humano se puede reducir, no se puede eliminar por completo. Por lo tanto, es mejor aplicar la autenticación multifactor a las cuentas de usuario como una capa adicional de seguridad junto con otras mejores prácticas de seguridad web, como la implementación de herramientas de gestión de identidad y acceso (IAM).
Asimismo, las cuentas de alto valor con acceso a credenciales y secretos se pueden proteger con Privileged Access Management (PAM), que monitorea las cuentas privilegiadas y revoca el acceso si se detecta actividad inusual.
Gestionar el riesgo de forma proactiva
Si bien la introducción de LLM como armas en la economía sumergida crea nuevos riesgos para las empresas, las organizaciones pueden mitigar el riesgo siendo proactivas e invirtiendo en equipar a los empleados con las habilidades necesarias para detectar los correos electrónicos fraudulentos mejor escritos.
