ThreatLabz 2025 AI Security Report von Zscaler In nur 5 Prompts zur perfekten Phishing-Seite

Anbieter zum Thema

Zscaler Germany GmbH

Vogel IT-Medien GmbH

sysob IT-Distribution GmbH & Co. KG

FTAPI Software GmbH

Ein Bericht von Zscaler zeigt, dass der Einsatz von KI und ML enorm zugenommen hat – doch nicht nur, um die Effizienz legitimer Prozesse zu erhöhen. Die Analysten stellen nach, wie Kriminelle die Tools nutzen können, um spielend leicht Phishing-Seiten aufzusetzen.

Die Nutzung von KI- und Machine-Learning-Tools (ML) ist um 3.000 Prozent gestiegen. Dies geht aus dem „ThreatLabz 2025 AI Security Report“ von Zscaler hervor, für den der Security-Hersteller im Jahr 2024 von Februar bis Dezember 536,5 Milliarden KI- und ML-Transaktionen aus seiner Zero-Trust-Exchange-Plattform analysiert hat. Zscaler zufolge nutzen Unternehmen solche Tools hauptsächlich für die Erstellung von Inhalten und um ihre Produktivität zu steigern.

E-Mails von microsoft-noreply@microsoft.com

Angreifer tricksen Opfer mit echten Systemnachrichten von Microsoft aus

ChatGPT am meisten genutzt und am häufigsten geblockt

Während des Untersuchungszeitraums haben Unternehmen insgesamt 3.624 Terabyte an Daten von KI-Tools gesendet. Diese zunehmende Akzeptanz von KI und ML gehe allerdings auch mit erhöhten Sicherheitsanforderungen einher. Zscaler gibt an, 59,9 Prozent der KI- und ML-Transaktionen blockiert zu haben. Dies verdeutliche, dass sich Unternehmen der Risiken der Tools bewusst seien, einschließlich Datenlecks, unbefugtem Zugriff und Compliance-Verstößen.

Am weitesten verbreitet ist Zscaler zufolge ChatGPT. Die Anwendung sei für 45,2 Prozent der KI/ML-Transaktionen verantwortlich gewesen. Gleichzeitig sei ChatGPT auch das am häufigsten geblockte Tool gewesen, da Unternehmen zunehmend Bedenken hinsichtlich der Offenlegung sensibler Daten hätten. Doch auch, weil Mitarbeitende Tools wie ChatGPT, Grammarly, Microsoft Copilot, QuillBot und Wordtune ohne Genehmigung für die Arbeit nutzten, seien diese Tools häufig sanktioniert worden.

HackGPT

Wie KI Cyberangriffe verändert

Phishing-Seiten mit KI erstellt

Auch Bedrohungsakteure nutzen KI, um die Geschwindigkeit und Auswirkungen ihrer Angriffe zu erhöhen. Gerade der Einsatz agentenbasierter KI sowie das Open Source Tool DeepSeek erleichtert Zscaler zufolge das Skalieren von Cyberangriffen. Anhang von DeepSeek haben die Analysten von Zscaler gezeigt, wie einfach es sei, sich mithilfe eines Large Language Models (LLM) eine Phishing-Webseite erstellen zu lassen. Dafür hätten sie nur fünf Prompts benötigt:

• 1. Generieren einer einfachen Anmeldeseite: Zuerst fragten die Analysten DeepSeek, ob die KI in der Lage sei, einen HTML-Code für eine Anmeldeseite zu generieren. Dies war ohne Probleme möglich.

• 2. Imitieren einer legitimen Anmeldeoberfläche: Auch das Anpassen der Anmeldeseite, damit diese Live.com, dem News Center von Microsoft, ähnelt, war für DeepSeek kein Problem gewesen. DeepSeek ergänzte dafür den HTML-Code um CSS-Code.

• 3. Realistischer Authentifizierungsablauf: Als nächstes forderten die Analysten DeepSeek dazu auf, einen Login einzubauen. Live.com fragt Benutzernamen und Passwort ab. DeepSeek fügte seinem Code die gleiche Funktionalität hinzu.

• 4. Verbesserung von Branding und UI-Elementen: Damit die gefälschte Anmeldeseite der echten Seite noch ähnlicher wurde, lautete die nächste Aufforderung an DeepSeek, das Anmeldefeld quadratischer zu gestalten und ein Outlook-Bild darüber einzufügen. Neben dem Authentifizierungsablauf sollten auch diese Branding-Elemente die Glaubwürdigkeit der Phishing-Webseite erhöhen.

• 5. Implementierung von Client-Side-Cloaking: Als letzten Schritt fragten die Analysten von Zscaler, ob DeepSeek in der Lage sei, Client-Side-Cloaking zu integrieren, damit die Anmeldeseite User-Agent, Browser-Fingerprinting, IP-Checks und Verhaltensmuster prüfe. DeepSeek integrierte diese Technik, die bei der Erstellung von Phishing-Webseiten eingesetzt wird, um Sicherheitsmechanismen zu umgehen. Im Gegensatz zum klassischen Server-Side-Cloaking, bei dem unterschiedliche Inhalte je nach Benutzeragent oder IP-Adresse vom Server ausgeliefert werden, wird schädlicher Inhalt ausgewählten Besucher der Phishing-Seite angezeigt. Sicherheitsbots oder Sandboxen sehen entweder eine leere Seite oder eine harmlose Alternative.

Bildergalerie

Bildergalerie mit 5 Bildern

Damit die gefälschte Anmeldeseite nur Besuchern angezeigt wird, bei denen keine Sicherheitslösung im Einsatz ist, prüfte DeepSeek die Server anhand der vier angefragten Kriterien:

• User-Agent: Überprüfung der Browser-Legitimität

• Browser-Fingerprinting: Überprüfung auf Inkonsistenzen in den Browsereigenschaften

• IP-Adresse: Validierung der IP-Adresse

• Verhaltensmuster: Erkennung menschlichen Verhaltens, wie zum Beispiel Mausbewegungen und Klicks

Was ist DeepSeek und wie funktioniert die KI?

DeepSeek, das Datenschutz-Debakel

Schutz vor KI-Angriffen

Techniken wie diese würden Unternehmen zwingen, ihre Sicherheitsstrategien zu überdenken. Zero Trust ist Zscaler zufolge die Grundlage für die Minimierung der externen Angriffsfläche. Zugriffsrechte sollten kontinuierlich überprüft und neu vergeben werden. Um die wertvollsten Daten zu identifzieren und schützen zu können, empfiehlt der Hersteller zudem die Datenbestände KI-gesteuert zu klassifizieren und – ebenfalls mithilfe von Künstlicher Intelligenz – die Bedrohungslange kontinuierlich zu überwachen.

KI-Sicherheit in der Software-Lieferkette

Maschinelles Lernen: Wer scannt die Scanner?

(ID:50380100)