Hoe pakken we kwaadaardige op AI gebaseerde e-mailcampagnes aan?

Door Pieter Jansen, SVP of Cyber Innovation van Darktrace

Social engineering - en in het bijzonder kwaadaardige cybercampagnes via e-mail – blijft één van de grote gevaren voor organisaties. Een recent onderzoek uitgevoerd door Darktrace onder 6,700 professionals, laat zien dat bijna een derde van de ondervraagde organisaties (30%) weleens slachtoffer is geweest van een frauduleuze e-mail. En het risico lijkt oncontroleerbaar toe te nemen. Zo geeft 70% van de respondenten aan dat zij een toename zien in het aantal frauduleuze e-mails in de laatste zes maanden.

De brede toegankelijkheid van generatieve AI sinds eind vorig jaar heeft het probleem alleen maar vergroot omdat dit waarschijnlijk heeft bijgedragen aan de efficiëntie waarmee cybercriminelen e-mailaanvallen kunnen uitvoeren. Ondanks dat het aantal e-mailaanvallen bij de meeste organisaties ongeveer gelijk is gebleven, is het aantal aanvallers dat vertrouwt op enkel een kwaadaardige link wel afgenomen. Tegelijkertijd is wel de linguïstische complexiteit van e-mails, waaronder tekstvolume, interpunctie en zinslengte, toegenomen. Dit geeft aan dat cybercriminelen hun focus verleggen naar meer geavanceerde social engineering scams die het vertrouwen van de ontvanger misbruiken.

Het eerdergenoemde onderzoek naar e-mail scams concludeert een toename van 135% in ‘nieuwe’ social engineering aanvallen, wat overeenkomt met de brede beschikbaarheid van ChatGPT. Een ‘nieuwe’ social engineering phishing e-mail is een e-mail die sterke taalkundige afwijking vertoont – semantisch en syntactisch – in vergelijking met andere phishing-e-mails. Deze trend suggereert dat generatieve AI, zoals ChatGPT, een nieuwe manier biedt om geavanceerde en doelgerichte aanvallen te lanceren op grote schaal.

Organisaties zijn zich al bewust van de gevaren die deze ‘nieuwe’ social engineering aanvallen kunnen veroorzaken - 82% van de respondenten geeft namelijk aan dat zij zich zorgen maken over het gebruik van generatieve AI door hackers om e-mails te creëren die niet te onderscheiden zijn van oprechte communicatie.

Niet meer van echt te onderscheiden

Werknemers worden continu geëxploiteerd via hun communicatiemiddelen, met name e-mail. Als reactie daarop hebben organisaties onder meer trainingsprogramma’s opgezet die werknemers trainen en hen helpen om frauduleuze e-mails te herkennen en zichzelf en hun organisatie veilig te houden. Ondanks dat een defense-in-depth-aanpak over het algemeen een goed idee is, neemt de waarde van security awareness training snel af. Dit probleem wordt vooral duidelijk nu we onszelf in een wereld bevinden waarin kwaadaardige e-mails bijna niet meer te onderscheiden zijn van echte e-mails.

Het te veel benadrukken van de verantwoordelijkheid van werknemers kan zowel voor zakelijke als beveiligingsuitdagingen zorgen. In tijden van economische onzekerheid wordt zakelijk succes voorspeld op basis van productiviteit, creativiteit en efficiëntie. Alle drie worden onmogelijk als werknemers alle communicatie die zij ontvangen, zowel intern als extern, behandelen met wantrouwen.

Naarmate generatieve AI mainstream wordt, moeten we ons erop voorbereiden dat vertrouwen in digitale communicatie alleen maar verder zal afnemen. Wat gebeurt er met de werkplek wanneer een werknemer elke communicatie met een manager of collega wantrouwt?

De toekomst is AI

De toekomst ligt in een samenwerking tussen AI en mensen, waarbij algoritmen bepalen of communicatie kwaadaardig of goedaardig is. Zo kunnen mensen zich richten op hun productiviteit en prestaties. Huidige trainingsprogramma’s, in combinatie met traditionele e- mailbeveiligingstechnologie - die kennis van afgelopen aanvallen gebruikt om toekomstige aanvallen te voorspellen - zijn niet langer houdbaar in deze snel ontwikkelende wereld.

Ons onderzoek laat zien dat traditionele e-mailbeveiligingstools die vertrouwen op de kennis van afgelopen aanvallen er gemiddeld 13 dagen over doen om een aanval te detecteren. Hierdoor zijn organisaties bijna twee weken kwetsbaar. Dit onderstreept de inefficiëntie van 'attack-centric' e-mailbeveiliging. Als we niet weten hoe een nieuwe aanval eruitziet, hoe kunnen we deze dan identificeren?

Een diep begrip van ‘jou’ is nodig om deze radicale veranderingen en het e-mail- dreigingslandschap te overwinnen. In plaats van aanvallen proberen te voorspellen, is een begrip van het gedrag van werknemers, op basis van hun e-mail inbox, nodig om patronen te creëren: hun relaties, toon en sentimenten en honderden andere datapunten. Door AI te gebruiken om e-maildreigingen te bestrijden, verlagen we niet alleen het risico maar vergroten we ook het vertrouwen binnen de organisatie en dragen we bij aan het algehele succes.

Generatieve AI verergert de social engineering-uitdaging misschien, maar AI die u kent, kan zorgen voor een gelijk speelveld.