如何防御 AI 驅動的網絡釣魚攻擊并確保敏感數據安全？
發布時間：2023-05-19 www.xstr.xyz
網絡安全是一場持續的軍備競賽，隨著防御策略的改進，對手不斷尋求技術來使其攻擊更有效。需要了解的最重要的新趨勢之一是人工智能（AI）驅動的網絡釣魚活動，其中網絡犯罪分子使用AI制作引人注目的網絡釣魚電子郵件，以便溜入您的網絡以竊取敏感數據或造成其他損害。
網絡釣魚仍然是最主要的攻擊媒介，涉及74%的網絡攻擊，但隨著公司改進其防御措施，網絡犯罪分子正在加強他們的策略。一個關鍵因素是網絡安全意識的提高：根據《2022年Netwrix云數據安全報告》，59%的企業現在定期進行網絡安全培訓。因此，企業用戶不太可能成為基本的網絡釣魚技術的受害者，特別是充滿拼寫錯誤、或關于財富無稽之談的電子郵件。
面對這種防范意識的提高，為了提高攻擊的成功率，網絡犯罪分子現在正在使用AI來創建高度針對性和個性化的攻擊，用戶更難將其識別為網絡釣魚，以增加其點擊惡意鏈接或打開受感染附件的幾率，使他們能夠在企業網絡中站穩腳跟。
Zscaler公司近日發布了其《2023年ThreatLabz網絡釣魚報告》的調查結果。該報告從全球最大的在線安全云中查看了12個月的全球網絡釣魚數據，以確定最新趨勢、新興戰術以及哪些行業和地區受網絡釣魚攻擊的影響最大。
該報告發現，大多數現代網絡釣魚攻擊都依賴于被盜的憑證，并概述了來自中間人攻擊（AitM）的日益增長的威脅、對星際文件系統（IPFS）的更多使用，以及對來自黑市的網絡釣魚工具包和ChatGPT等AI工具的依賴。
使用 AI 為網絡釣魚攻擊提供支持
"網絡釣魚仍然是網絡犯罪分子利用來破壞全球組織的最普遍的威脅載體之一。與去年相比，我們繼續看到網絡釣魚攻擊的數量在增加，其性質變得更加復雜。威脅者正在利用網絡釣魚工具包和AI工具，大規模地發起高效的電子郵件、SMiShing和Vishing活動。"Zscaler全球首席執行官兼安全主管Deepen Desai說。
釣魚網站即服務（Phishing-as-a-Service） 的增長帶來了AitM攻擊的增多，使攻擊者能夠繞過傳統的安全模式，包括多因素認證。為了保護他們的環境，企業應該采用零信任架構，以大大減少攻擊面，防止妥協，并在攻擊成功時減少爆炸半徑。基于云原生代理的零信任架構對于組織防御不斷發展的網絡釣魚攻擊至關重要。
為高級對話式 AI 設計的工具（如 ChatGPT）正越來越多地用于廣泛的任務，從撰寫論文到開發和測試應用程序代碼。事實上，ChatGPT 的免費版本提供了重要的功能，付費版本提供了更強大的功能。黑客可以通過多種方式濫用此類基于 AI 的工具，包括：
· 創建惡意代碼
如果黑客明確要求 ChatGPT 提供惡意代碼來執行網絡釣魚攻擊，它將拒絕，但他們仍然可以使用該工具請求有用的代碼塊。因此，黑客不再需要豐富的編程經驗來創建強大的惡意活動；他們只需要一些基本的黑客技能來組裝AI工具為他們生成的代碼片段。
例如，他們可以創建一個惡意腳本，并將其插入到易受攻擊網站的 HTTP 或 PHP 代碼中。當用戶訪問該頁面時，該腳本可以直接在其計算機上安裝惡意軟件，或將其重定向到黑客建立的虛假站點。當顯示電子郵件或彈出窗口時，也會發生這種"隱形下載"。請注意，用戶甚至不需要單擊下載按鈕或打開惡意附件即可被感染。
新的AI技術和ChatGPT等大型語言模型的出現，使網絡犯罪分子更容易生成惡意代碼、商業電子郵件破壞（BEC）攻擊和開發多態惡意軟件，使受害者更難識別網絡釣魚。
惡意行為者也越來越多地將他們的釣魚網頁托管在InterPlanetary File System（IPFS）上，這是一個分布式點對點文件系統，允許用戶在分散的計算機網絡上存儲和共享文件。由于IPFS的點對點網絡方面的原因，要刪除托管在IPFS中的釣魚網頁要困難得多。
· 炮制有針對性的消息
此外，像 ChatGPT-4 這樣的工具現在已經完全連接到互聯網，因此它們可以快速提供有關潛在被攻擊者的詳細個人信息，例如他們的興趣和親屬的姓名。長期以來，黑客一直在從社交媒體手動收集此類信息，以創建更具針對性的網絡釣魚電子郵件，但AI工具使這項工作比以往任何時候都更容易。如今，這些消息不僅通過電子郵件發送，還可以通過SMS文本發送，稱為短信釣魚活動。
在LinkedIn和其他工作招聘網站上的招聘詐騙也在增加。不幸的是，在2022年，硅谷的許多大企業做出了裁員的艱難決定。因此，網絡犯罪分子利用虛假的招聘信息、網站、門戶網站和表格來吸引求職者。受害者往往會經歷整個面試過程，有些人甚至被要求先購買用品，以后再報銷。
網絡犯罪分子在冒充流行的消費和技術品牌時通常容易取得成功。微軟再次成為今年被模仿最多的品牌，占攻擊的近31%，因為攻擊者通過網絡釣魚訪問受害組織的各種微軟企業應用程序。加密貨幣交易所幣安占模仿品牌攻擊的17%，網絡釣魚者冒充銀行或P2P公司的虛假客戶代表。像Netflix，Facebook和Adobe這樣的大品牌躋身前20名最容易被模仿和網絡釣魚的品牌。
· 創建深度偽造
最后，現在的網絡釣魚絕不僅限于書面文字。另一種變體涉及語音通話。惡意行為者假裝成其他人，例如銀行代表或 IT 支持人員等，以誘騙受害者泄露敏感信息，甚至放棄對其機器的控制權。
先進的AI技術正在被用于使網絡釣魚活動更有效。它使惡意行為者能夠錄制某人的聲音，并創建令人信服的虛假錄音，讓他們說完全不同的話。例如，黑客可以使用公司高管在會議上的談話錄音來創建虛假錄音發送給員工，指示他們立即將資金轉移到黑客控制的賬戶。
網絡釣魚或以語音郵件為主題的網絡釣魚活動是從SMS或SMiShing攻擊演變而來的。攻擊者在這些網絡釣魚攻擊中使用行政團隊的真實語音片段，留下這些預錄信息的語音郵件。然后，收件人會受到壓力而采取行動，如轉賬或提供證書。許多總部設在美國的組織已經成為使用網絡釣魚攻擊的目標。
防御不斷發展的網絡釣魚攻擊
針對所有這些網絡釣魚活動的最重要的防線與以往相同，那就是用戶。對業務用戶進行最佳的網絡實踐教育，培訓他們發現惡意活動并鼓勵他們保持警惕仍然至關重要。特別是，培訓他們始終質疑緊急行動呼吁，并通過不同的溝通方式核實請求的來源和合法性。
此外，提示員工定期從其設備中刪除所有過時或未使用的應用程序和插件。機器托管的軟件越多，可以利用的漏洞就越多。
但是，針對網絡釣魚的強大防御并不完全取決于用戶。在幕后，IT 團隊應使用可以分析活動模式，及時發現可疑行為，并實現及時響應以防止嚴重損害的工具密切監控其系統。
網絡犯罪已成為一門"生意"。像任何其他商業模式一樣，網絡犯罪分子尋求以最小的努力盡快實現利潤最大化的方法。因此，您越難讓他們滲透到您的 IT 環境中，他們就越有可能決定切換到更容易的受害者。阻止 AI 驅動的網絡釣魚活動是該防御策略的關鍵部分。但是，您還需要采取有效的安全措施來發現正在進行的威脅并及時響應，以最大程度地減少對組織的影響。
積極應對和實施零信任架構
由于普通企業每天都會收到網絡釣魚電子郵件，惡意軟件和勒索軟件攻擊造成的財務損失可能會迅速增加同比的 IT 成本。想要解決上面報告中概述的所有威脅是一項艱巨的工作，雖然無法完全消除網絡釣魚威脅的風險，但企業的 IT 和安全團隊可以積極從觀察到的事件中學習。Zscaler公司建議企業采取以下措施來更好地管理網絡釣魚風險：
·了解風險，以便更好地為政策和戰略提供信息；
· 利用自動化工具和威脅情報減少網絡釣魚事件；
· 實施零信任架構以限制成功攻擊的爆炸半徑；
· 及時提供培訓，以建立安全意識并促進用戶報告；
· 模擬網絡釣魚攻擊以識別程序中的差距。