AI cyberangreb: Sådan gør AI kendte angreb sværere at opdage
AI har ikke ændret alt i cybersikkerhed.
Men det har ændret én vigtig ting: hvor hurtigt og hvor overbevisende et angreb kan bygges.
Det betyder noget, fordi mange virksomheder stadig vurderer trusler ud fra et gammelt billede. Man forventer, at en phishingmail er dårligt skrevet. At en falsk besked virker mistænkelig. At et svindelforsøg er til at få øje på, hvis man bare er opmærksom nok.
Sådan er det ikke længere i dag.
Når angribere bruger AI, kan de skrive bedre, arbejde hurtigere og ramme bredere. Resultatet er ikke nødvendigvis nye angrebstyper. Resultatet er, at de kendte angreb bliver sværere at gennemskue.
Det gælder især phishing, CEO fraud, identitetsefterligning og andre angreb, hvor målet er at få en medarbejder til at handle forkert.
AI har ikke opfundet phishing
Phishing er ikke nyt.
Det nye er, at kvaliteten er blevet højere, og produktionen er blevet hurtigere.
En angriber behøver ikke længere bruge lang tid på at formulere en troværdig mail. Med AI kan sproget hurtigt tilpasses, tonen kan gøres mere professionel, og beskeden kan målrettes langt mere præcist end før.
Det ændrer især tre ting:
- Angreb kan produceres hurtigere
- Beskeder kan virke mere troværdige
- Flere variationer kan sendes ud på kort tid
Det gør, at virksomheder ikke længere kan læne sig for meget op ad de klassiske tegn som dårligt dansk, mærkelige formuleringer eller tydelige fejl.
De tegn findes stadig.
De er bare ikke længere stabile nok til at være et godt forsvar i sig selv.
Det største problem er ikke teknologien
Det største problem er, at AI forbedrer angreb, som allerede virker på mennesker.
De fleste virksomheder bliver ikke ramt, fordi nogen bryder dramatisk ind gennem et avanceret teknisk hul. De bliver ramt, fordi nogen får en medarbejder til at klikke, godkende, dele eller reagere.
Det er derfor, AI ændrer trusselsbilledet så markant.
Når en besked ligner noget, der passer ind i hverdagen, falder den nemmere igennem. Det kan være en hasteanmodning fra “direktøren”. En besked om login. En leverandørmail. En ændring af kontooplysninger. En besked, der i sig selv ikke virker vildt mistænkelig, men som kommer på det rigtige tidspunkt og rammer den rigtige person.
Det er præcis dér, angrebet bliver farligt.
Ikke fordi teknologien bag nødvendigvis er avanceret, men fordi den menneskelige vurdering bliver sat under pres.
Derfor bliver phishing sværere at opdage
Mange virksomheder træner stadig medarbejdere i at se efter de forkerte ting.
De lærer at være opmærksomme på stavefejl, mærkelige afsendere og dårligt sprog. Det er ikke forkert. Det er bare ikke nok.
Et AI-forstærket phishingforsøg kan være:
- sprogligt korrekt
- roligt og professionelt skrevet
- tilpasset modtagerens rolle
- formuleret med den rette mængde autoritet eller hast
Det ændrer måden, man bør tænke sikkerhed på.
Spørgsmålet er ikke længere kun:
“Kan vores medarbejdere spotte en dårlig mail?”
Det er i højere grad:
“Har vi arbejdsgange, der stopper en troværdig falsk anmodning, før den bliver til et problem?”
Det er en vigtig forskel.
For hvis sikkerheden alene afhænger af, at én medarbejder skal gennemskue alt i øjeblikket, bliver virksomheden sårbar.
AI gør også angreb lettere at skalere
Det er her, mange undervurderer udviklingen.
Før krævede det mere tid at skrive overbevisende mails og tilpasse dem til forskellige modtagere. Nu kan en angriber hurtigere lave mange versioner, teste forskellige budskaber og arbejde mere effektivt.
Det betyder ikke, at alle angreb bliver præcise.
Det betyder, at selv middelmådige angribere kan løfte kvaliteten på deres forsøg.
For virksomheder betyder det noget, fordi volumen og troværdighed nu kan gå hånd i hånd. Angreb behøver ikke længere vælge mellem at være brede eller overbevisende i samme grad som før.
Det gør presset større på virksomheder, der har travle medarbejdere, mange logins, mange kontaktflader og få interne kontroller.
CEO fraud og identitetsefterligning bliver farligere
En af de mest praktiske konsekvenser er, at identitet bliver lettere at efterligne.
Det gælder ikke kun navn og mailadresse. Det gælder også tone, formulering og kommunikationsmønster. I nogle tilfælde også stemme og lyd.
Det gør angreb mod økonomifunktioner, ledelse og administration mere alvorlige.
Hvis en medarbejder modtager en troværdig anmodning om:
- en hasteoverførsel
- ændrede betalingsoplysninger
- deling af følsomme oplysninger
- nulstilling af adgang eller login
så er skaden ikke langt væk.
Det er derfor, AI-drevne angreb ikke kun er et IT-spørgsmål.
Det er også et spørgsmål om drift, ansvar, betalingsprocedurer og intern kontrol.
Små og mellemstore virksomheder er særligt udsatte
Mindre virksomheder tænker ofte, at de er for små til at være interessante.
Det er en dårlig antagelse.
Når angreb bliver lettere at producere og lettere at tilpasse, bliver det mere attraktivt at ramme bredt. En virksomhed behøver ikke være stor for at være værd at angribe. Den skal bare være muligt at narre.
Samtidig har mindre virksomheder ofte:
- færre formelle kontroller
- højere tempo i hverdagen
- større afhængighed af få nøglepersoner
- mindre intern sikkerhedskapacitet
Det er ikke en kritik. Det er bare virkeligheden i mange virksomheder.
Og det er netop derfor, AI-forstærkede angreb kan blive et reelt problem. Ikke fordi virksomheden er teknisk svag overalt, men fordi hverdagen kræver hurtige beslutninger.
Hvad virksomheder bør gøre anderledes nu
Hvis truslen ændrer sig, skal forsvaret også gøre det.
Ikke nødvendigvis ved at gøre alt mere komplekst. Men ved at gøre nogle ting mere robuste.
Virksomheder bør især se på tre områder.
- Verifikation af kritiske handlinger
Hvis en mail eller besked handler om penge, adgang, følsomme data eller ændringer i oplysninger, bør det aldrig stå alene, at beskeden ser rigtig ud.
Der skal være en fast kontrol.
Ikke som ekstra bureaukrati, men som en simpel bremse på de handlinger, der gør mest skade, hvis de er forkerte.
- Sikkerhed må ikke bygge på mavefornemmelse alene
Mange organisationer har stadig processer, hvor medarbejderen selv skal vurdere, om noget virker forkert.
Det er for svagt, når beskederne bliver mere overbevisende.
God sikkerhed kræver, at det er tydeligt:
- hvad der skal dobbelttjekkes
- hvornår noget skal eskaleres
- hvem man går til ved mistanke
- Awarenessskal afspejle virkeligheden
Hvis træning kun tager udgangspunkt i åbenlyse scam-mails, bliver den forældet.
Medarbejdere skal trænes i realistiske scenarier. Ikke kun i at finde fejl, men i at reagere rigtigt på pres, autoritet, hast og troværdige afsendere.
Det er en langt mere brugbar tilgang.
Det vigtigste virksomheder skal forstå
AI har ikke gjort klassiske cyberangreb irrelevante.
Det har gjort dem mere effektive.
Det er forskellen.
Phishing er ikke væk. Det er blevet bedre. Social engineering er ikke nyt. Det er blevet lettere at udføre. Falske henvendelser er ikke et særtilfælde. De er blevet mere overbevisende.
Derfor er det ikke nok at kigge efter det, der “ser forkert ud”.
Virksomheder skal i højere grad sikre, at de vigtigste handlinger ikke kan gennemføres ukritisk, bare fordi en besked virker troværdig.
Det er dér, mange af de reelle forbedringer ligger.
Hos MainBrain ser vi det som en praktisk opgave: at gøre virksomheder mere robuste i en hverdag, hvor angreb bliver sværere at gennemskue, og hvor gamle faresignaler ikke længere er nok i sig selv.
Vil I have overblik over, hvor jeres største sårbarheder ligger i forhold til phishing, identitetssvindel og andre digitale angreb, hjælper vi gerne med at gennemgå jeres setup og arbejdsgange.
Vil du også læse om hvordan virksomheder bruger AI sikkert til at effektivisere? Læs vores artikel fra sidste uge her.