Kako so hekerji zlorabili Chat GPT za kibernetske napade

Policija, finančna uprava, banke – vse te institucije uporabnike redno opozarjajo pred lažnimi sporočili, za katerimi so poskusi kibernetskih zlorab.

Ne gre le za vtis o vse več poskusih zlorab, število se dejansko povečuje, pravi etični heker Milan Gabor, direktor podjetja za kibernetsko varnost Viris. To potrjujejo tudi uradni podatki slovenskega nacionalnega odzivnega centra za kibernetsko varnost SI-CERT. Leta 2022 so zabeležili 4.123 kibernetskih incidentov, kar je 30-odstotn rast glede na leto 2021. 

"Število klicev iz raznih klicnih centrov, ki prepričajo ljudi, da namestijo neko škodljivo programsko opremo, se je v zadnjem času povečalo," poudarja Gabor. Tudi število primerov spletnega ribarjenje za podatki (phishing) se je povečalo, saj zna Chat GPT veliko bolje napisati takšno elektronsko pošto kot Google Translate. Besedila so zato veliko bolj realistična. Kriminalci so začeli s pridom izkoriščati nove tehnologije, opozarja Gabor.

Umetna inteligenca v rokah kriminalcev

Hekerji uporabljajo tako imenovan temni GPT, ne samo za spletno ribarjenje, ampak tudi za napade, pojasnjuje Milan Gabor. "Umetni inteligenci dajo navodila za napad, ki ga nato izvede in analizira odziv napadene strani in prilagodi svoj napad ter ga izvede ponovno. Programske ukaze, ki bi jih morali kriminalci ročno zaganjati, zdaj zanje izvaja Chat GPT," pravi Gabor.

V letu 2022 so v centru SI-CERT obravnavali 1432 incidentov phishinga, leta 2021 pa 950, kar pomeni, da so ravno v tej kategoriji zabeležili največjo rast, podobno kot leto pred tem. V največ primerih je bil način napada elektronska pošta, velik skok pa je v napadih spletnega ribarjenja s SMS-sporočili in prek aplikacij za hipno sporočanje, ugotavljajo v SI-CERT.

"V zadnjih letih se kaže jasen trend, da se nevarnosti selijo na pametne telefone v obliki SMS-sporočil, ki pod pretvezo 'preverjanja podatkov', 'potrjevanja transakcij' in podobnega, želijo izvabiti avtentikacijske podatke za dostop do elektronske banke."

ZBS: Banke od vas ne bodo zahtevale osebnih podatkov prek sporočila SMS 

"Opozorilo! Vaše bančne kartice so bile zaradi varnosti zamrznjene! Preberite več in ga aktivirajte s klikom spodaj." To je primer zlonamernega SMS-sporočila uporabniku, s katerim želijo kriminalci priti do posameznikovih podatkov za dostop do njegove spletne banke.

V Združenju banke Slovenije (ZBS) so pred kratkim objavili opozorilo, da so banke in hranilnice zaznale povečano število lažnih SMS-sporočil in lažnih sporočil prek elektronske pošte, ki jih prejemajo njihove stranke. "Banke ali hranilnice od vas nikoli ne bodo zahtevale, da vnašate svoje osebne podatke ali podatke o karticah v spletne povezave, poslane prek elektronskih ali SMS-sporočil. To je lahko prvi znak, da gre za prevaro," sporočajo iz ZBS.

Kriminalci izkoriščajo tudi Finančno upravo (Furs) za poskuse pridobitve osebnih podatkov davčnih zavezancev, na kar so pred dnevi opozorili na Fursu.

Vdor v ponudnike storitev v oblaku in 'izbris' številnih podjetij

Oškodovanje podjetij zaradi kibernetskih napadov so lahko zelo visoko, pravi Milan Gabor. Lahko povzroči tudi propad podjetja. Zadnje dni odmeva primer vdora v računalniški sistem dveh danskih podjetij za gostovanje v oblaku CloudNordic in AzeroCloud. Hekerji so vdrli v omrežje in zakodirali vse podatke na strežnikih, vključno z varnostnimi kopijami.

Zato so podjetja, ki so pri njih gostovala, ostala brez vseh podatkov, spletnih strani in elektronske pošte. "Če hekerji podjetju pobrišejo aktivne podatke in še varnostne kopije, je digitalno mrtvo," pravi Gabor.

Podjetja so bolj na udaru napadalcev kot fizične osebe. Po podatkih SI-CERT je bil lani v 78 odstotkih vseh obravnavanih primerov z izsiljevalskimi virusi tarča napada poslovni subjekt.

Človek je še vedno najšibkejši člen: Princev z milijoni ni

Kako se lahko podjetja branijo pred napadi hekerjev? "En način je uporaba ustrezne tehnologije za ščitenje notranjega in zunanjega omrežja. Obstajajo nadzorni sistemi, ki opozarjajo na nenavadne aktivnosti v sistemu. Napredna programska oprema zna prepoznati aktivnosti, ki niso običajne, in alarmirajo skrbnike," pravi Gabor. Vendar je človek še vedno najšibkejši člen, zato je pomembno izobraževanje zaposlenih. "Zdrava kmečka pamet pravi, da princev, ki bi podedovali milijone, ni."

Na udaru napadalcev so predvsem mala in srednja velika podjetja, saj si ta pogosto težko privoščijo zadostna sredstva za tehnično zaščito in izobraževanje zaposlenih. Največkrat kriminalci za napade uporabljajo trojanske konje, zlonamerne programe, specializirane za prikrito krajo podatkov. Število obravnavanih primerov tovrstnih napadov se je iz 171 leta 2021 povečalo na 278 leta 2022. Tudi pri SI-CERT ugotavljajo, da "lažna sporočila, tudi s pomočjo orodij umetne inteligence, postajajo čedalje prepričljivejša".

Priporočljivo je, da podjetja za informacijsko varnost namenijo od dva do pet odstotkov letnih prihodkov, pravi Milan Gabor. Znesek je sicer odvisen predvsem od tega, koliko opreme in infrastrukture podjetje že ima oziroma ali svojo varnostno opremo vzpostavlja iz nič ali ne.

Največji znesek oškodovanja podjetja v letu 2022 v Sloveniji je bil tri milijone evrov. Šlo je za vrivanje v poslovno komunikacijo (business email compromise – BEC fraud), a so prenos denarja zaradi nadzornih mehanizmov bank in urada za preprečevanje pranja denarja pravočasno ustavili. Najvišje oškodovanje fizične osebe lani pa znašalo 400 tisoč evrov, kažejo podatki SI-CERT.

Trenutno ni komentarjev za novico. Bodi prvi, ki bo komentiral ...

Pusti komentar