Det här är en opinionstext. Åsikter som uttrycks är skribentens egna.
Det är ingen överraskning att brandväggar och kryptering är avgörande för att värja sig mot IT-attacker. Men dessa verktyg räcker dock inte som försvar mot ett av de största IT-säkerhetshoten, människor.
Social ingenjörskonst, att manipulera individer för att avslöja känslig information, ökar, även när organisationer satsar alltmer på att utbilda sin personal inom IT-säkerhet. Medan social ingenjörskonst redan utgör en säkerhetsutmaning för organisationer, så kan AI göra detta ännu mer hotfullt.
Den mänskliga faktorn har länge haft en betydande roll för organisationers sårbarhetsnivå. Anställda missbrukar nätverksprivilegier. De ger oavsiktligt bort information till illvilliga aktörer. De begår misstag. De är manipulerade.
I årets version av Verizon Data Breach Investigations Report (DBIR) kan vi även läsa att den mänskliga faktorn spelar en roll i nästan tre fjärdedelar (74 procent) av överträdelserna, varav social ingenjörskonst utgör en betydande del av dessa.
Social ingenjörskonst växer till stor del på grund av ”pretexting”, som syftar till att använda påhittade berättelser, eller förevändningar, för att lura användare att avslöja känslig information. Tekniken nästintill fördubblades i år och står för knappt hälften av alla intrång baserade på social ingenjörskonst. Inte nog med att pretexting redan är på uppgång. Metoden har mycket att vinna på den pågående utvecklingen av generativ AI, framför allt på grund av dessa tre anledningar.
1. AI kan göra pretexting mer trovärdigt. Eftersom effektiviteten av denna typ av kommunikation beror på hur pass trovärdig den är, kan en alltmer sofistikerad generativ AI: göra denna intrångsmetod ännu mer realistisk. Generativ AI kan till exempel användas för att efterlikna skrivstilar hos betrodda organisationer eller individer för mer trovärdigt nätfiske.
2. AI kan förbättra falska förevändningar genom att möjliggöra attacker i större skala. Generativ AI kan hjälpa till att industrialisera intrång med pretexting genom att tillåta hotaktörer att slå till bredare. Bedragare skulle kunna använda förevändningar på olika språk, även om de själva inte kan dem, eftersom generativ AI kan få språket att låta naturligt.
3. En majoritet av intrången sker manuellt, vilket gör storskaliga attacker tids- och arbetskrävande. En hotaktör som använder AI kan snabbt kartlägga flera organisationer för att upptäcka svagheter och kan effektict utgöra samma hot som ett helt team av aktörer.
Dessa sorters intrång innebär allt större kostnader för organisationer. Under de senaste åren har det medianberäknade dollarbelopp som stulits genom Business Email Compromise (BEC)-intrång, en taktik där företagsanställda efterliknas för ekonomisk vinning (en form av falsk förevändning), ökat till 50,000 USD. Detta enligt Internet Crime Complaint Center (IC3)-data som presenteras i ovan nämnda DBIR-rapport.
Detta är särskilt oroande med tanke på att företagens seniora chefer, som har tillgång till den mest kritiska information och de facto utgör en stor IT-säkerhetsrisk. De är samtidigt bland de minst skyddade, eftersom företag ofta tenderar att göra undantag för dem.
Chefer på hög nivå drar också till sig mer uppmärksamhet från hotaktörer, eftersom de sitter på företagets mest lukrativa information. Intrång i form av social ingenjörskonst kommer bara att fortsätta att bli effektivare och mer kostsamt, så det ligger i organisationernas intresse att prioritera säkerheten för dess högsta uppsatta chefer.
En lösningen på dilemmat med chefernas access innebär att eliminera ”högriskundantag” och upprätthålla samma krävande IT-säkerhetsstandarder för nyckelchefer som för samtlig övrig personal i organisationens nätverk.
AI kan effektivisera själva hotet med intrång och pretexting-attacker, men det kan också effektivisera en organisations IT-säkerhetsförsvar genom t.ex. automatiserade processer. Detta i samband med fortsatt utbildning av personalen och rätt IT-säkerhetslösningar på plats är en bra grund för att stå emot cybersäkerhetshot, även om det är toppade med kraften bakom AI.
