Künstliche Intelligenz und Phishing Wie Cyberkriminelle mit KI menschliches Verhalten manipulieren

Anbieter zum Thema

Mimecast Germany GmbH

KnowBe4 Germany GmbH

Künstliche Intelligenz ist in aller Munde, wieder einmal, so möchte man sagen. Anbieter aller Couleur integrieren entsprechende Technologien in ihre Sicherheitslösungen. Doch wie weit sind eigentlich Cyberkriminelle und wie weit sind sie speziell beim Thema Phishing? Der folgende Beitrag stellt den Status Quo fest und wagt einen Blick in die Zukunft.

Cyberkriminelle nutzen schon seit Jahren alle technischen Möglichkeiten, um ihr Vorgehen so weit wie möglich zu automatisieren, unter anderem auch um einer Nachverfolgung durch die Strafverfolgung zu entgehen. Eine der wohl effektivsten und einfachsten Möglichkeiten für die Infizierung eines IT-Systems ist noch immer die Phishing-E-Mail. 67 Prozent der von Verizon im Data Breach Investigations Report 2020 untersuchten Sicherheitsvorfälle konnten auf soziale Hackertechniken wie Phishing zurückgeführt werden. Die Techniken sind beliebt, weil ein falscher E-Mail-Alias schnell aufsetzt ist und das Versenden von Phishing-E-Mails kostet, anders als ein Telefonanruf, kein Geld und lässt sich von den Strafverfolgungsbehörden fast nicht zurückverfolgen. Immer öfter liest man nun, dass diese Art der Automatisierung des Social Engineerings auch mit Unterstützung von Machine Learning und KI erfolgt. Bereits jetzt wird Machine Learning jedoch vor allem dafür eingesetzt, um die erfolgreichsten Kampagnen zu verfeinern und in den verschiedensten Sprachen und Kulturräumen einzusetzen. Dies wäre und ist ein Grund zur Sorge, denn wo Menschen Fehler machen, sind Maschinen in der Lage grammatikalisch Fehlerfreie Texte zu schreiben oder aber durchaus gute Übersetzungen zu leisten. Das Potential ist jedoch ungleich größer.

KI lernt menschliches Verhalten zu lenken

In Australien hat das Forscherteam CSIRO Data61, ein Datengetriebenes Unternehmen mit Verbindungen zur Wissenschaft, eine systematische Methode zur Analyse menschlichen Verhaltens entwickelt und vorgestellt. Sie bezeichnen sie als „recurrent neural network and deep reinforcement-learning“. Es beschreibt, wie Menschen Entscheidungen treffen und was die Auslöser dieser Entscheidungen sind. Bei verschiedenen Tests wurden drei Experimente durchgeführt bei denen Testpersonen verschiedene Spiele gegen einen Computer spielen sollten. Die Ergebnisse hat CSIRO-Chef Jon Wittle in dem Beitrag für das Magazin „The Conversation“ zusammengefasst. Nach jedem Experiment lernte die Maschine aus den Antworten der Teilnehmer und identifizierte und zielte auf Schwachstellen in der Entscheidungsfindung der Menschen. Die Maschine lernte so, wie sie die Teilnehmer zu bestimmten Handlungen lenken konnte. Die Ergebnisse sind allerdings und das gibt Wittle offen zu, recht abstrakt lassen sich momentan nur auf die begrenzten und eher unrealistischen Situationen beziehen. Allerdings und das ist das, was auch den IT-Sicherheitsfachleuten auf der ganzen Welt die Sorgenfalten in die Stirn treibt, lässt sich aus diesen Ergebnissen leider auch ablesen, dass es mit genügend Training und Daten Maschinen gelingen könnte, menschliche Entscheidungen durch ihre Interaktionen zu beeinflussen.

Status Quo KI in Cybercrime

Doch wie weit sind Cyberkriminelle ihrerseits? Verwendet werden wird KI vor allem bei Spear-Phishing. Die Nutzung von KI bei Spear-Phishing ist vergleichbar mit dem Fischen mit dem Sniper-Gewehr. Beides wird momentan nicht durchgeführt, ist aber theoretisch möglich. Und das ist auf der anderen Seite das größere Problem, denn wie sollen Unternehmen sich auf etwas vorbereiten, dass in der Praxis noch nicht bekannt ist. Spear Phishing lohnt sich natürlich vor allem, wenn das Ziel finanziell attraktiv genug ist. Das ist in der Regel der Fall, wenn wie beim BEC-Fraud oder CEO-Fraud der Geschäftsführer oder ein anderes Mitglied der Geschäftsleitung imitiert wird, um schnell an eine Millionensumme zu kommen.

Deepfakes beeinflussen menschliches Verhalten

Wenn wir über KI in Spear Phishing sprechen, dann sprechen wir über Deepfakes. Vor allem Deepfakes bei Voice-Phishing sind ein gängiges Mittel. Voice-Phishing ist am effektivsten, wenn es um die reine Imitierung einer Stimme geht. Dies können geübte Kriminelle selbst mit etwas Stimmtraining, aber es gibt auch genügend Programme wie „mixed“, „respeecher“ oder „deepfakenow“, die genau das können und auf ML- und KI-Methoden setzen. Cyberkriminelle würden dann genauso vorgehen wie mit aufgenommen und nachgeahmten Stimmen, sie nutzen zunächst alle im Internet auffindbaren Informationen über den Chef, den sie imitieren wollen, sammeln diese Daten, werten sie aus und bereiten die Aktion vor. Sie suchen dann nach Schwachstellen, lernen die Mitarbeiter kennen zum einen über die im Internet verfügbaren Informationen, zum anderen über gefälschte Anrufe im Sekretariat. Verschaffen sich Zugriff auf die Kontaktdaten des Chefs, rufen ihn unter einem Vorwand an, zeichnen seine Stimme auf und lassen diese von den IT-Systemen nachbauen. Sie überlegen sich dann einen Anlass für einen CEO-Fraud, kontaktieren die Buchhaltung und lassen den angeblichen Chef dort anrufen und Druck ausüben. So einfach wie es klingt, ist es letztendlich auch, denn das Nachahmen von Stimmen, ist für die Programme schnell zu lernen.

Security-Insider Podcast – Folge 26

Forensiker schildert telefonische Deepfakes

Natürlich gibt es auch die Möglichkeit Deepfakes mit Bildern oder Videos zu erstellen, jedoch ist der Aufwand noch zu groß für den gewünschten Erfolg. Das Verfälschen von Bildern benötigt mehr Zeit, das von Videos mit Personen sogar noch deutlich mehr und bis das Ergebnis so täuschen echt aussieht, dass es einen zweiten Blick bedarf, vergeht viel Zeit. Sowohl Bilder als auch Videos sind die nächste Ausbaustufe beim CEO-Fraud, mit denen Sicherheitsexperten rechnen. Aktuell ist die Methode, eine einfache E-Mail oder aber ein Voice-Deepfake einzusetzen, noch viel zu erfolgreich. Mitarbeiter fallen nach wie vor auf diese Art von Cyberbetrug herein, so dass Investments noch gar nicht unbedingt nötig sind. Cyberkriminelle und das sehen wir an Phishing, versuchen immer den leichtesten Weg zu gehen und betreiben nur den Aufwand, den sie betreiben müssen, um ihr Ziel zu erreichen.

Fazit

Der Hype um KI ist groß und natürlich trifft das auch die IT-Sicherheit. Cyberkriminelle nutzen die Technologie bereits heute, jedoch nicht so umfangreich, wie möglich. Deepfakes werden auf lange Sicht das Mittel der Wahl sein, denn mit immer besseren Stimmimitationen, gefälschten Bildern oder sogar Videos lassen sich Emotionen und menschliches Verhalten besser kontrollieren und vorausahnen als das bei reinen Text-E-Mails der Fall ist. Dies zeigt das enorme Potential auf mit dem sich Cyberkriminelle bereits beschäftigen und mit dem sich IT-Sicherheitsverantwortliche schon heute beschäftigen müssen. Schulungen, die Mitarbeitern aufzeigen, worauf sie achten müssen, wie sie Deepfakes erkennen und was sie erlernen, um Situationen beurteilen zu können, sollten integraler Bestandteil einer jeden IT-Sicherheitsstrategie sein.

Über den Autor: Jelle Wieringa ist Security Awareness Advocate bei KnowBe4.

(ID:47333792)