Een ruime meerderheid van de Nederlandse werknemers maakt zich zorgen over de inzet van generatieve AI bij het genereren van phishing e-mails, waardoor deze vrijwel niet meer van legitieme berichten te onderscheiden zijn. Hierop duidt onderzoek in opdracht van Darktrace.
‘Nieuwe’ social engineering-aanvallen maken gebruik van geavanceerde taalkundige technieken, waaronder meer tekstvolume, interpunctie en zinslengte, maar gebruiken geen links of bijlagen. Deze trend suggereert dat generatieve AI, zoals ChatGPT die biedt, cybercriminelen snel en op grote schaal geavanceerde en gerichte aanvallen laat uitvoeren.
De drie belangrijkste kenmerken van communicatie waardoor werknemers denken dat een e-mail een phishingaanval is, zijn uitgenodigd worden op een link te klikken of bijlage te openen (70%), een onbekende afzender of onverwachte inhoud (61%) en slechte spelling en grammatica (56%).
Stel, een medewerker krijgt een e-mail van de CEO waarin zij om informatie vraagt. Het is geschreven in dezelfde taal en toon die zij doorgaans gebruikt. In het bericht wordt zelfs verwezen naar een persoonlijke anekdote of grap. De spelling en grammatica zijn perfect, het bericht bevat persoonlijke informatie en is dus overtuigend. De e-mail is echter opgesteld door generatieve AI met behulp van basisinformatie uit profielen op sociale media… Beveiligingsteams moeten het nu dus gaan opnemen tegen taalkundig complexe phishing-aanvallen gebaseerd op geheel nieuwe technieken en onderwerpen.
Zelflerende AI kan echter worden ingezet tegen aanvallen en fouten van werknemers. Van de Nederlandse medewwerkers heeft 33 procent wel eens per ongeluk een belangrijke e-mail naar de verkeerde ontvanger gestuurd door het typen van een gelijksoortige alias of de ‘auto aanvul’-functie. Dit gaat vaak fout in de IT- en telecomsector en de financiële dienstverlening, waar pakweg de helft zegt wel eens een e-mail naar de verkeerde ontvanger te hebben gestuurd.
Een zelflerend systeem kan dit soort fouten opsporen voordat de potentieel gevoelige informatie bij de verkeerde persoon terechtkomt. Zelflerende AI in e-mail is, in tegenstelling tot andere e-mailbeveilgingstools, niet getraind op hoe ‘slecht’ een e-mail eruit ziet, maar leert in plaats daarvan wat normale patronen zijn. Door te begrijpen wat normaal is, kan het bepalen wat niet thuishoort in de inbox van een individu. E-mailbeveiligingssystemen hebben dit nog vaak bij het foute eind: zeven op de tien respondenten zegt dat de spam-/beveiligingsfilters van hun bedrijf ten onrechte legitieme e-mails tegenhouden.
“Al 30 jaar geven beveiligingsteams werknemers training over het herkennen van spelfouten, verdachte links en bijlagen”, zegt Max Heinemeyer, Chief Product Officer bij Darktrace. “Echter merken we dat mensen tegenwoordig slechter in staat zijn om de legitimiteit van phishing e-mails te verifiëren. Dit is zorgelijk, zeker in een tijd waarin gemakkelijk beschikbare technologie het mogelijk maakt om snel geloofwaardige, gepersonaliseerde en taalkundig complexe phishing e-mails te maken. Defensieve technologie moet gelijke tred houden met de veranderingen in het e-mail-dreigingslandschap, en dat kan alleen met AI.”
Over het onderzoek
Censuswide heeft in opdracht van Darktrace onderzoek uitgevoerd onder 6.711 werknemers in het VK, de VS, Frankrijk, Duitsland, Australië en Nederland om beter te begrijpen hoe werknemers reageren op potentiële beveiligingsrisico’s, hun begrip van e-mailbeveiliging en de technologieën die worden gebruikt als hulpmiddel bij het uitvoeren van nieuwe dreigingen.
