Των Δημήτρη Σφούνη, Δημήτρη Κολοβού, Ιωάννη Σταμέλου
Σιγά-σιγά εκλείπει η εποχή του «παραδοσιακού» ψηφιακού απατεώνα, όπου με μόνα τους μέσα το τηλέφωνο, το messenger και την ίδια τους ικανότητα στη γλώσσα και την πειθώ, προσπαθούσαν να αποσπάσουν κάτι από εσένα. Χρησιμοποιώντας τώρα την Παραγωγική Τεχνητή Νοημοσύνη (generative AI), οι απατεώνες και οι spammers έχουν ισχυρότερα εργαλεία για να παίξουν. Ένα είναι σίγουρο: το παιχνίδι τους έχει αλλάξει, αλλά έχουν αλλάξει αντίστοιχα και οι άμυνές μας εναντίον τους;
Ο ορισμός των «απατηλών» εργαλείων AI είναι σχετικά απλός: ψηφιακά μέσα που μοχλεύουν την Τεχνητή Νοημοσύνη ώστε να παράγουν πιο πειστικά σενάρια προς υποψήφια θύματα (φυσικότερο και πιο κοντινό στη γλώσσα μας κείμενο σε emails, ακόμα και ηχητικά αποσπάσματα φωνής ή και βίντεο που μιμούνται κάποιο φυσικό πρόσωπο, οικείο στο θύμα ή διάσημο). Τα περιστατικά αυτά είναι πραγματικά: η SlashNext, ως οίκος ανάλυσης επί θέματα ψηφιακής ασφάλειας, αναφέρει ότι οι απάτες αυξήθηκαν κατά +1265% από το τέλος του 2022 έως σήμερα -το ίδιο χρονικό σημείο όπου το ChatGPT (ένα από τα πιο γνωστά εργαλεία ΑΙ) έγινε διαθέσιμο στο κοινό!
Πιο κοντά σε εμάς, η Δίωξη Ηλεκτρονικού εγκλήματος λαμβάνει κατά μέσο όρο 270 κλήσεις για ψηφιακή απάτη ανά ημέρα, με όλο και περισσότερα περιστατικά να περιέχουν δόλια χρήση Τεχνητής Νοημοσύνης. Βέβαια, η «βιομηχανία» της απάτης ακολουθεί και αυτή, κατά κάποιον τρόπο, τους κανόνες της αγοράς: όσο στην Ελλάδα τα διακυβεύματα είναι χαμηλά σε σχέση με άλλες χώρες (κοινώς, ο Έλληνας λιγότερα έχει να χάσει απ’ ότι ένας Αμερικάνος), και επειδή οι συνήθεις τρόποι ψηφιακής/τηλεφωνικής απάτης ακόμα δείχνουν να δουλεύουν (τηλεφωνήματα της κόρης/υιού δήθεν από το νοσοκομείο, για απόσπαση μικροποσού από τον δήθεν γιατρό με την ξενική προφορά, ή η κλοπή προκαταβολής σε ψεύτικη αγγελία μεταχειρισμένου), οποιαδήποτε χρήση ΑΙ εργαλείων για εξαπάτηση προς στιγμήν δείχνει να στοχοποιεί ισχυρότερα πορτοφόλια. Ωστόσο, από την εμπειρία μας έχουμε βρεθεί μάρτυρες σε υπόθεση Έλληνα επενδυτή που του αποσπάστηκε ποσό 35.000 ευρώ σε ανταλλακτήριο κρυπτονομισμάτων (Binance) όταν οι θύτες προσποιήθηκαν, μέσω ΑΙ βίντεο, στους διαχειριστές του ανταλλακτηρίου ότι ήταν αυτός, και ότι είχε χάσει το κινητό του, και ορίστε και η ταυτότητα μου, παρακαλώ να ξεκινήσουμε τη διαδικασία ανάκτησης των κωδικών του λογαριασμού…
Τα εργαλεία απάτης
Πού βρίσκουν οι απατεώνες εργαλεία ΑΙ; Φυσικά, τα περισσότερα μέσα παραγωγικής ΤΝ που είναι διαθέσιμα στο κοινό έχουν δικλείδες ασφαλείας: σε γενικές γραμμές δεν επιτρέπουν την παραγωγή κειμένου, εικόνων, κώδικα ή βίντεο, όταν ανιχνεύσουν ότι ο χρήστης τους καλεί να παράξουν δόλιο υλικό. Ωστόσο, κυκλοφορούν «ξεκλειδωμένα» εργαλεία ΑΙ στο dark web (WormGPT, FraudGPT, συνήθως επί πληρωμή) που δεν τηρούν τις ίδιες δικλείδες ασφαλείας και παράγουν ότι τους ζητήσεις, δίχως όρια. Και αυτά τα εργαλεία γίνονται ολοένα και ευρύτερα διαθέσιμα. Είναι τα σύγχρονα συστήματα ασφαλείας έτοιμα να αντιμετωπίσουν την απειλή του ΑΙ; Σε κάποιο βαθμό ναι, μιας και οι επιθετικές στρατηγικές του ΑΙ αποτελούν ίσως το ενεργότερο πεδίο έρευνας στην κυβερνοασφάλεια αυτή τη στιγμή. Για όλους εμάς ωστόσο, και για να είμαστε οι ίδιοι το πρώτο στάδιο άμυνας, μπορούμε να έχουμε στο μυαλό μας τους γενικούς πυλώνες του κλάδου της απάτης μέσω ΑΙ:
● Ανάλυση Δεδομένων: Ο επιτιθέμενος χρησιμοποιεί αλγοριθμικά ή/και ΑΙ εργαλεία για να βρει τεράστιους όγκους ψηφιακών δεδομένων σχετικών με το θύμα. Συμπεριλαμβάνονται εδώ προφίλ στα social media, δημόσια δεδομένα (π.χ. ΑΑΔΕ, ΓΕΜΗ, ΕΦΚΑ). Όλος αυτός ο όγκος δεδομένων αποτελεί την βάση της επίθεσης: πάνω σε αυτά θα εκπαιδευτεί (αυτόματα, πάντα) η Τεχνητή Νοημοσύνη, πριν προσπαθήσει να μιμηθεί κάποιο κομμάτι τους ή να κατανοήσει τα ενδιαφέροντα και τις συμπεριφορές του θύματος.
● Δημιουργία Προσωποποιημένου Υλικού: Με τα δεδομένα ανά χείρας, η ΤΝ παράγει υψηλά προσωποποιημένα email, ηχητικά μηνύματα ή κομμάτια βίντεο. Αυτά μπορεί να αναφέρονται σε πρόσφατες αγορές, χόμπι ή συγκεκριμένα συμβάντα στη ζωή του θύματος, ακόμα και δυσμενή. Η προσωποποίηση αυτή κάνει τα εργαλεία της απάτης να είναι πιο πειστικά και «κοντινότερα» στο θύμα, διογκώνοντας την πιθανότητα της επιτυχούς απάτης. Το κείμενο ή η παραγόμενη φωνή μιμείται στυλ γραφής ή προφορά πραγματικών ανθρώπων με εγγύτητα στο θύμα.
● Κλιμάκωση και Αυτοματοποίηση: Το ΑΙ επιτρέπει την εύκολη κλιμάκωση των ενεργειών ενός απατεώνα. Μπορεί να παράξει γρήγορα όχι μόνο έναν τύπο υλικού/περιεχομένου, αλλά πολλούς, προσφέροντας πολλαπλότητα στην επίθεση: emails, ηχητικά μηνύματα, ψεύτικες εικόνες με ό,τι περιεχόμενο του ζητήσεις, αποσπάσματα βίντεο, όλα αυτά μεγάλο αριθμό και σε άμεση σχέση με το θύμα και το διακύβευμα! Ακόμη, σε περίπτωση που το θύμα είναι πολλά πρόσωπα (π.χ. ένας οργανισμός ή εταιρεία), η μαζική και πολύπλευρη αυτή επίθεση είναι ιδιαίτερα επικίνδυνη: αρκεί μονάχα ένας κρίκος της αλυσίδας να λυγίσει…
Η Τεχνητή Νοημοσύνη είναι από μόνη της ένας ολόκληρος κλάδος στην πληροφορική, με τα θέματά της, τα προτερήματα και τις αδυναμίες της. Τα τελευταία χρόνια δείχνει ιδιαίτερη άνθιση και ήδη διαφαίνονται μαζικότερα οφέλη της χρήσης της σε πολλούς κλάδους της παραγωγής και της έρευνας. Ωστόσο, ως κάθε τι, αναμένεται να χρησιμοποιηθεί και με «βρώμικο» τρόπο. Είναι στο χέρι μας λοιπόν να αναγνωρίσουμε και την καλή και την επικίνδυνη πλευρά της, ρεαλιστικά, και να είμαστε σε θέση να αμυνθούμε σε σενάρια όπου η ΤΝ χρησιμοποιείται για απάτη.
*Δημοσιεύθηκε στη "ΜτΚ" στις 13.10.2024