Nem egy új, látványos hackelési trükkről van szó, hanem valami hétköznapibbról és ezért veszélyesebbről: a csalás iparosításáról. Egy AI-chatbot most nem kódot írt, hanem azt segítette, hogy a támadók gyorsabban találják meg, kit és hogyan érdemes átverni.

Mi történt

A Microsoft egy több szereplős akcióban lekapcsolt egy EvilTokens nevű, előfizetéses alapon működő csalóplatformot, amely néhány hónap alatt 12 ezer Microsoft-fiók kompromittálásában játszott szerepet. A szolgáltatás egy Telegram-csatornán jelent meg februárban, 1500 dolláros belépési díjjal, majd havi 500 dolláros előfizetéssel. A célja az volt, hogy egy helyre szervezze azokat a lépéseket, amelyekkel nagy mennyiségben lehet e-mail-fiókokat megszerezni, majd pénzügyi csalásokra felhasználni.

A platform központi eleme egy AI-jellegű chatbot volt, amely a megszerzett postaládákat elemezte. Gyakorlatban ez azt jelentette, hogy átnézte, kikkel levelezik az áldozat, kik a megbízható kapcsolatok, milyen jóváhagyási folyamatok futnak a cégnél, és hol lehet a legnagyobb eséllyel pénzmozgást kicsikarni. Ezután még a megtévesztő üzenetek megfogalmazásában is segített, például úgy, hogy hitelesnek tűnő e-maileket írt egy ismert kolléga vagy partner nevében. A hozzáféréseket egy legitim OAuth-folyamat, az úgynevezett device code authentication kihasználásával szerezték meg. Gondolj erre úgy, mint arra a bejelentkezési módra, amit okostévék vagy más nehézkesen kezelhető eszközök használnak: a képernyőn kapsz egy kódot, amit egy másik eszköz böngészőjében írsz be. Itt ezt a kényelmi funkciót fordították a felhasználók ellen.

A fertőzött vagy feltört fiókok 10 ezer szervezethez tartoztak világszerte, legnagyobb számban az Egyesült Államokban, de Kanada, az Egyesült Királyság, Ausztrália, India és Franciaország is erősen érintett volt. Az áldozatok között nagykereskedelmi, építőipari, pénzügyi, ingatlanpiaci, felsőoktatási és egészségügyi szereplők is voltak. A fellépés során 50 weboldalt és további 150 domaint foglaltak le, az Egyesült Királyságban pedig két férfit őrizetbe vettek az ügyhöz kapcsolódó gyanú miatt.

Miért fontos

Ez az eset józan emlékeztető arra, hogy az AI jelenlegi, valós kockázata sokszor nem a „szuperintelligens támadó”, hanem az, hogy a már ismert csalási módszereket olcsóbbá, gyorsabbá és személyre szabottabbá teszi. Nem feltétlenül a technikai behatolás a legnagyobb ugrás, hanem az utána következő elemzés és manipuláció automatizálása. Az Ars Technica értelmezése is ebbe az irányba mutat: itt percekre rövidült az a munka, ami korábban napokig tarthatott, és ez különösen veszélyes azokra a szervezetekre, ahol az e-mail még mindig kulcsszerepet játszik pénzügyi jóváhagyásokban.

Mire figyelj

  1. Érdemes figyelni, hogy a Microsoft módosít-e a device code authentication védelmén vagy alapértelmezett beállításain, mert a támadók egy legitim folyamatot használtak ki, nem egy klasszikus szoftverhibát.
  1. A cégeknek várhatóan nagyobb hangsúlyt kell tenniük az e-mailes jóváhagyási láncok ellenőrzésére. Ha egy üzenet megszokott stílusban érkezik egy ismert partnertől, az már önmagában nem elég a bizalomhoz.
  1. Egyre fontosabb lesz külön kezelni az „AI-val támogatott csalás” kategóriáját. Itt nem új malware a lényeg, hanem az, hogy a támadók jobban értik a szervezeti működést, és meggyőzőbben tudnak beilleszkedni a napi kommunikációba.