Il futuro del phishing
L’intelligenza artificiale sta aumentando la scala e la sofisticazione degli attacchi di phishing, riducendone al contempo drasticamente i costi di realizzazione
La pagina originale include una demo interattiva in cui i lettori possono scegliere una persona pubblica o immaginaria, far raccogliere a un’IA le informazioni pubblicamente disponibili che la riguardano, generare un’e-mail di phishing su misura per quel bersaglio e visualizzare una finta pagina di accesso a LinkedIn che intercetta le credenziali.
Il phishing via e-mail — l’invio di un’e-mail ingannevole per indurre il destinatario a condividere informazioni sensibili — è vecchio quanto Internet stesso. Storicamente, si trattava di messaggi generici inviati in massa o di messaggi altamente personalizzati su misura per un numero ristretto di bersagli VIP. Ma grazie ai progressi dell’IA, creare attacchi di phishing mirati è più facile, economico e veloce che mai — il che significa che i criminali informatici possono trattare chiunque come un VIP.
Poiché i sistemi di IA sono in grado di setacciare enormi quantità di informazioni disponibili pubblicamente, possono scoprire quasi istantaneamente chi sei, a cosa sei interessato e quali vulnerabilità psicologiche potrebbero essere sfruttate. Utilizzando queste informazioni, possono quindi redigere e-mail altamente personalizzate che apparirebbero autentiche e affidabili a un lettore ignaro. Ciò rende molto più difficile distinguere ciò che è legittimo da ciò che è pericoloso.
Nella seconda parte della demo, un’IA scrive un’e-mail personalizzata sulla base delle informazioni raccolte sul bersaglio prescelto, variando non solo il contenuto, ma anche il nome falso del mittente, il tono e la strategia di adescamento.
Notate come le e-mail generate varino non solo nel contenuto, ma anche nella strategia utilizzata per adescarvi. Il nome falso del mittente, così come il tono e lo stile dell’e-mail, variano a seconda del destinatario. Ad esempio:
- Le e-mail inviate a un atleta famoso potrebbero mettere in evidenza una partnership con un marchio rilevante per la sua regione
- Le e-mail inviate a un professore potrebbero contenere un invito a una conferenza di nicchia nel suo campo
- Le e-mail indirizzate a un imprenditore potrebbero presentare un’opportunità di partnership di rilievo
Si noti inoltre che ogni e-mail termina con un link dall’aspetto autentico al profilo LinkedIn del mittente. Cliccando su questo link si viene reindirizzati a una pagina di accesso fasulla che invita a inserire la propria password di LinkedIn, che gli aggressori potranno vedere.
La terza parte della demo mostra una pagina di accesso a LinkedIn contraffatta (si noti l’URL “linkediin.com” con un errore ortografico quasi impercettibile) che acquisirebbe le credenziali inserite da una vittima convinta dalla precedente corrispondenza via e-mail.
Phishing su larga scala
Il phishing è di gran lunga il tipo più comune di crimine informatico, secondo l’Internet Crime Complaint Center dell’FBI. Sebbene sia in aumento da anni, i dati di Statista mostrano che, a livello globale, il numero di attacchi di phishing è più che raddoppiato nell’anno successivo al lancio di ChatGPT. I dati suggeriscono inoltre che il 91% di tutti gli attacchi informatici ha inizio tramite e-mail.
L’intelligenza artificiale sta aumentando non solo la qualità degli attacchi informatici, ma anche il loro numero. Ciò porterà a un aumento significativo delle perdite legate alla sicurezza informatica. Una recente ricerca ha dimostrato che è già possibile automatizzare completamente l’intero processo di phishing e che i migliori modelli di IA odierni ottengono risultati pari a quelli degli esperti umani in questo compito.
Cosa ci aspetta
Miliardi di persone aprono e-mail ogni giorno. In passato, non valeva la pena prendere di mira la maggior parte di loro con il phishing, poiché lo sforzo richiesto ai criminali superava il potenziale guadagno. Ma oggi, truffe sofisticate possono essere elaborate in pochi minuti anziché in ore, il che cambia il calcolo costi-benefici e mette tutti a rischio.
Esiste qualche prova che l’IA possa essere utilizzata anche per difendersi dal phishing, identificando in modo proattivo le intenzioni malevole; tuttavia, poiché i sistemi di IA migliorano di mese in mese, gli attacchi rimangono più facili della difesa.
Riferimenti
- Fred Heiding, Bruce Schneier & Arun Vishwanath (2024) AI will increase the quantity—and quality—of phishing scams, Harvard Business Review, 30 di maggio
- Troy Hunt (2024) Pwned Passwords, Have I Been Pwned?
- Federal Bureau of Investigation, Internet Crime Complaint Center (2023) 2022 Internet Crime Report, Federal Bureau of Investigation
- Statista (2024) Number of detected phishing e-mails worldwide from January 2022 to December 2023, Statista
- Microsoft Threat Protection Intelligence Team (2020) Protecting against coronavirus themed phishing attacks, Microsoft Security Blog, 20 di marzo
- Fred Heiding et al. (2024) Evaluating large language models’ capability to launch fully automated spear phishing campaigns: validated on human subjects, arXiv, 30 di novembre
- Fred Heiding et al. (2024) Devising and detecting phishing emails using large language models, IEEE Access, vol. 12, pp. 42131–42146