فیشینگ در عصر هوش مصنوعی: وقتی حمله دیگر شبیه حمله نیست

فیشینگ در عصر هوش مصنوعی: وقتی حمله دیگر شبیه حمله نیست

چکیده: ظهور هوش مصنوعی مولد، ماهیت حملات فیشینگ را به طور بنیادین تغییر داده است. این نوشتار با بررسی روندهای سال های اخیر، نشان می دهد که حجم کلی حملات فیشینگ در حال کاهش است، اما اثربخشی، دقت شخصی سازی و توان نفوذ حملات باقی مانده به طور چشمگیری افزایش یافته است. در ادامه، سه تحول کلیدی — فیشینگ چندریختی، گسترش به کانال های غیرایمیلی، و جابه جایی هدف از سطح مدیریت ارشد به کارکنان میانی — تحلیل شده و در پایان، مجموعه ای از راهکارهای عملی برای کاهش ریسک در سطح فردی و سازمانی ارائه می شود.

کلیدواژه ها: فیشینگ، هوش مصنوعی مولد، امنیت شبکه، مهندسی اجتماعی، احراز هویت چندعاملی

۱. مقدمه

تا همین چند سال پیش، تشخیص یک ایمیل فیشینگ کار چندان سختی نبود. غلط های املایی، لحن نامانوس، ترجمه ی ماشینی دست وپاشکسته، و یک لینک مشکوک، همگی نشانه هایی بودند که با کمی دقت قابل شناسایی می شدند. اما ورود گسترده ی هوش مصنوعی مولد به این معادله، این نشانه ها را یکی یکی محو کرده است. حمله ای که امروز به اینباکس یک کارمند می رسد، ممکن است دقیقا با لحن مدیرش نوشته شده باشد، به زبانی روان و بدون هیچ خطای نگارشی، و حتی با ارجاع به یک پروژه ی واقعی که آن کارمند روی آن کار می کند.

هدف این نوشتار، ارائه ی تصویری روشن و مستند از تحول فیشینگ در سال های اخیر است: چه چیزی واقعا تغییر کرده، کدام آمارها قابل اتکا هستند و کدام ها صرفا بازتاب تبلیغات صنعت امنیت، و مهم تر از همه، تیم های امنیتی و کاربران عادی چه اقدامات عملی ای می توانند در برابر این تهدید در پیش بگیرند.

۲. پیشینه و زمینه

فیشینگ به عنوان یکی از قدیمی ترین و در عین حال پایدارترین روش های حمله ی سایبری شناخته می شود؛ روشی که برخلاف بسیاری از تهدیدهای فنی، بیش از آنکه به آسیب پذیری نرم افزاری متکی باشد، از ضعف های شناختی و رفتاری انسان بهره می برد. در طول دو دهه ی گذشته، دفاع در برابر فیشینگ عمدتا حول محور آموزش کاربران برای شناسایی نشانه های ظاهری (خطای نگارشی، دامنه ی مشکوک، درخواست غیرمعمول) شکل گرفته بود.

با این حال، ظهور مدل های زبانی بزرگ و ابزارهای تولید محتوای چندرسانه ای (متن، صدا، تصویر و ویدیو)، مفروضات پایه ای این رویکرد دفاعی را زیر سوال برده است. مهاجم دیگر نیازی به تسلط زبانی، دانش روان شناختی یا حتی شناخت عمیق از فرهنگ سازمانی هدف ندارد؛ کافی است چند اطلاعات عمومی — از لینکدین، سایت شرکت، شبکه های اجتماعی یا حتی گزارش های خبری — در اختیار مدل زبانی قرار گیرد تا پیامی کاملا شخصی سازی شده و باورپذیر تولید شود، آن هم در عرض چند دقیقه به جای چند ساعت.

۳. سه تحول کلیدی

_{۳.۱ فیشینگ چندریختی (Polymorphic Phishing)}

در این رویکرد، هر گیرنده نسخه ای منحصربه فرد از پیام حمله را دریافت می کند؛ نسخه ای که از نظر ساختار جمله، انتخاب واژگان و حتی چیدمان بصری با نسخه ی ارسال شده برای گیرنده ی دیگر متفاوت است. این یعنی فیلترهای امنیتی مبتنی بر تطبیق امضا یا الگوهای تکراری، که سال ها ستون فقرات دفاع ایمیلی بوده اند، عملا کارایی خود را از دست می دهند. سهم این نوع حملات از کل ترافیک فیشینگ، طی دو سال اخیر روندی رو به رشد داشته است.

_{۳.۲ گسترش به کانال های غیرایمیلی}

روایت سنتی فیشینگ، محدود به ایمیل بود. اما امروز، کلون سازی صدا (Voice Cloning)، پیامک های جعلی (Smishing)، کدهای QR آلوده (Quishing)، و حتی تماس های تصویری مبتنی بر دیپ فیک، همگی به بخشی از چرخه ی حمله تبدیل شده اند. این کانال ها معمولا هیچ لایه ی فیلترینگ یا سامانه ی احراز صحت پیام مشابه ایمیل (مانند DMARC) ندارند، و همین موضوع آن ها را به گزینه ای جذاب برای مهاجمان تبدیل کرده است. نکته ی نگران کننده این است که بسیاری از سازمان ها، سیاست امنیتی مدونی برای این کانال ها ندارند، در حالی که برای ایمیل سال هاست چنین سیاست هایی وجود دارد.

_{۳.۳ هدف گیری فراتر از سطح مدیریت ارشد}

برخلاف تصور رایج، حمله های امروزی صرفا مدیرعامل یا مدیر مالی را هدف نمی گیرند. کارکنانی که به تراکنش های مالی یا داده های حساس دسترسی دارند — حتی در سطوح میانی سازمان — اکنون هدف اصلی اند؛ چراکه معمولا کمتر از مدیران ارشد زیر نظارت امنیتی قرار می گیرند، در حالی که سطح دسترسی مشابهی دارند. این تغییر الگو، سیاست های امنیتی متمرکز صرفا بر «کاربران پرریسک شناخته شده» را ناکافی می سازد.

۴. نگاهی نقادانه به آمارهای منتشرشده

در فضای رسانه ای و بازاریابی امنیت سایبری، ارقام بزرگ و چشمگیر درباره ی «رشد هزاردرصدی فیشینگ هوش مصنوعی» به وفور دیده می شود. بخش قابل توجهی از این آمارها، ریشه در گزارش های تبلیغاتی شرکت های فروشنده ی راهکارهای امنیتی دارند و فاقد روش شناسی شفاف و قابل راستی آزمایی اند. آنچه از منابع تحقیقاتی معتبرتر برمی آید، تصویری متفاوت اما همچنان نگران کننده است: حجم کلی حملات فیشینگ در سطح جهانی کاهش یافته، اما دقت، شخصی سازی و اثربخشی حملات باقی مانده به طور محسوسی افزایش پیدا کرده است.

برای تیم های امنیتی و پژوهشگران، این تمایز اهمیت روش شناختی زیادی دارد؛ چراکه سیاست گذاری دفاعی یا حتی جهت گیری تحقیقاتی بر مبنای آمار غیرمستند، می تواند منابع را در جهت نادرست هدایت کند. به عنوان یک اصل کلی، ارقامی که فاقد منبع اولیه ی مشخص و قابل ردیابی اند (برخلاف گزارش های نهادهایی مانند بخش تحقیقات تهدید شرکت های امنیتی شناخته شده یا نهادهای دولتی مرتبط) باید با احتیاط بیشتری تفسیر شوند.

۵. راهکارهای عملی برای کاهش ریسک

در سطح فردی و سازمانی، مجموعه ای از اقدامات می تواند اثر این تهدید را به طور محسوسی کاهش دهد:

• به «نوشتار بی نقص و لحن حرفه ای» به عنوان نشانه ی امنیت اعتماد نکنید؛ این معیار دیگر قابل اتکا نیست.
• احراز هویت چندعاملی (MFA) را روی تمام حساب های حیاتی فعال کنید، به ویژه حساب هایی با دسترسی مالی یا مدیریتی.
• درخواست های فوری برای انتقال وجه، تغییر اطلاعات بانکی یا افشای داده ی حساس را همواره از طریق یک کانال ارتباطی دوم و مستقل (مانند تماس تلفنی با شماره ای که از قبل ثبت شده، نه شماره ی داخل همان پیام) تایید کنید.
• آموزش امنیتی سالانه و یک باره دیگر پاسخگو نیست؛ چرخه ی تهدید به صورت روزانه تغییر می کند، بنابراین آموزش نیز باید مستمر، به روز و مبتنی بر سناریوهای واقعی باشد.
• برای کانال های غیرایمیلی (پیامک، تماس صوتی، شبکه های اجتماعی) نیز سیاست های مشخص تعریف کنید؛ نبود آگاهی در این کانال ها، بزرگ ترین حفره ی امنیتی امروز بسیاری از سازمان هاست.
• برای سازمان هایی با ریسک بالا، حرکت به سمت مدل های شناسایی رفتاری و امتیازدهی ریسک انسانی (Human Risk Scoring)، به جای تکیه ی صرف بر فیلترهای مبتنی بر امضا، توصیه می شود.
• سیاست تایید دومرحله ای برای هرگونه تغییر در اطلاعات حساب بانکی یا شماره ی تماس تامین کنندگان و شرکا را به صورت رسمی مستند و اجرایی کنید.

۶. جمع بندی

فیشینگ مبتنی بر هوش مصنوعی یک ترند گذرا یا موج رسانه ای نیست؛ به روش پیش فرض اجرای حملات مهندسی اجتماعی تبدیل شده است. کاهش حجم حملات نباید باعث آرامش کاذب شود، چراکه کیفیت و اثربخشی حملات باقی مانده به طور چشمگیری افزایش یافته است. تنها راه مواجهه ی موثر با این تحول، پذیرفتن واقعیت تغییریافته ی تهدید و بازطراحی سیاست ها، آموزش ها و ابزارهای دفاعی متناسب با آن است؛ رویکردی که باید هم در سطح فردی و هم در سطح سازمانی به صورت مستمر بازبینی و به روزرسانی شود.

نویسنده: غزاله انتفاعی | Ghazaleh Entefaei

منابع و مطالعه ی بیشتر

برای مطالعه ی بیشتر، گزارش های تحلیلی نهادها و شرکت های زیر می توانند نقطه ی شروع مناسبی باشند (توصیه می شود پیش از استناد در یک مقاله ی رسمی، به نسخه ی اصلی و تاریخ انتشار هر گزارش مراجعه شود):

• گزارش M-Trends شرکت Mandiant (بخش Google Cloud)
• گزارش های تحلیل تهدید ThreatLabz شرکت Zscaler
• گزارش های آموزشی و آماری شرکت KnowBe4 درباره ی روند فیشینگ
• هشدارهای رسمی FBI (IC3) درباره ی کلاهبرداری های مبتنی بر هوش مصنوعی
• گزارش سالانه ی روند فیشینگ شرکت Hoxhunt