Driekwart werknemers bezorgd over criminele inzet generatieve AI

Redactie

4 april 2023

Een ruime meerderheid van de Nederlandse werknemers maakt zich zorgen over de inzet van generatieve AI bij het genereren van phishing e-mails, waardoor deze vrijwel niet meer van legitieme berichten te onderscheiden zijn. Hierop duidt onderzoek in opdracht van Darktrace.

‘Nieuwe’ social engineering-aanvallen maken gebruik van geavanceerde taalkundige technieken, waaronder meer tekstvolume, interpunctie en zinslengte, maar gebruiken geen links of bijlagen. Deze trend suggereert dat generatieve AI, zoals ChatGPT die biedt, cybercriminelen snel en op grote schaal geavanceerde en gerichte aanvallen laat uitvoeren.

De drie belangrijkste kenmerken van communicatie waardoor werknemers denken dat een e-mail een phishingaanval is, zijn uitgenodigd worden op een link te klikken of bijlage te openen (70%), een onbekende afzender of onverwachte inhoud (61%) en slechte spelling en grammatica (56%).

Stel, een medewerker krijgt een e-mail van de CEO waarin zij om informatie vraagt. Het is geschreven in dezelfde taal en toon die zij doorgaans gebruikt. In het bericht wordt zelfs verwezen naar een persoonlijke anekdote of grap. De spelling en grammatica zijn perfect, het bericht bevat persoonlijke informatie en is dus overtuigend. De e-mail is echter opgesteld door generatieve AI met behulp van basisinformatie uit profielen op sociale media… Beveiligingsteams moeten het nu dus gaan opnemen tegen taalkundig complexe phishing-aanvallen gebaseerd op geheel nieuwe technieken en onderwerpen.

Zelflerende AI kan echter worden ingezet tegen aanvallen en fouten van werknemers. Van de Nederlandse medewwerkers heeft 33 procent wel eens per ongeluk een belangrijke e-mail naar de verkeerde ontvanger gestuurd door het typen van een gelijksoortige alias of de ‘auto aanvul’-functie. Dit gaat vaak fout in de IT- en telecomsector en de financiële dienstverlening, waar pakweg de helft zegt wel eens een e-mail naar de verkeerde ontvanger te hebben gestuurd.

Een zelflerend systeem kan dit soort fouten opsporen voordat de potentieel gevoelige informatie bij de verkeerde persoon terechtkomt. Zelflerende AI in e-mail is, in tegenstelling tot andere e-mailbeveilgingstools, niet getraind op hoe ‘slecht’ een e-mail eruit ziet, maar leert in plaats daarvan wat normale patronen zijn. Door te begrijpen wat normaal is, kan het bepalen wat niet thuishoort in de inbox van een individu. E-mailbeveiligingssystemen hebben dit nog vaak bij het foute eind: zeven op de tien respondenten zegt dat de spam-/beveiligingsfilters van hun bedrijf ten onrechte legitieme e-mails tegenhouden.

“Al 30 jaar geven beveiligingsteams werknemers training over het herkennen van spelfouten, verdachte links en bijlagen”, zegt Max Heinemeyer, Chief Product Officer bij Darktrace. “Echter merken we dat mensen tegenwoordig slechter in staat zijn om de legitimiteit van phishing e-mails te verifiëren. Dit is zorgelijk, zeker in een tijd waarin gemakkelijk beschikbare technologie het mogelijk maakt om snel geloofwaardige, gepersonaliseerde en taalkundig complexe phishing e-mails te maken. Defensieve technologie moet gelijke tred houden met de veranderingen in het e-mail-dreigingslandschap, en dat kan alleen met AI.”

Over het onderzoek

Censuswide heeft in opdracht van Darktrace onderzoek uitgevoerd onder 6.711 werknemers in het VK, de VS, Frankrijk, Duitsland, Australië en Nederland om beter te begrijpen hoe werknemers reageren op potentiële beveiligingsrisico’s, hun begrip van e-mailbeveiliging en de technologieën die worden gebruikt als hulpmiddel bij het uitvoeren van nieuwe dreigingen.

Gerelateerde artikelen

Twee derde werknemers gokt met security

Twee derde werknemers gokt met security

Ruim twee derde van Nederlandse werknemers brengt de organisatie bewust in gevaar, wat tot ransomware- of malware-infecties, datalekken of financieel verlies leidt. Meer dan vier op de vijf van de onderzochte organisaties maakte in 2023 ten minste één succesvolle aanval mee.

Overheid lanceert NIS2-Quickscan

Overheid lanceert NIS2-Quickscan

Op 29 februari heeft de Rijksoverheid de NIS2-Quickscan gelanceerd waarmee organisaties zich kunnen voorbereiden op de nieuwe Europese NIS2-richtlijn. Deze richtlijn is gericht op het vergroten van de digitale weerbaarheid van bedrijven en organisaties in de EU.

De 27e PwC CEO Survey: het CEO-gevoel ontcijferd voor de CISO

De 27e PwC CEO Survey: het CEO-gevoel ontcijferd voor de CISO

De nieuwste editie van de jaarlijkse PwC CEO Survey biedt een kijkje in de hoofden van CEO’s van over de hele wereld. Verschillende inzichten laten belangrijke veranderingen zien die impact hebben op CISO’s en hun organisaties, die zich zullen moeten aanpassen om concurrerend en compliant te blijven.

Bestuur CISO Platform Nederland is compleet

Bestuur CISO Platform Nederland is compleet

Het bestuur van CISO Platform Nederland, de non-profit vereniging van de CISO community Nederland, is compleet: de CISO’s Dimitri van Zantvliet, Luisella ten Pierik, Mahdi Abdulrazak, Justin Broeders en mede-oprichter Rob Beijleveld zijn op 16 februari officieel toegetreden tot het bestuur van de organisatie.