מקבלים הודעות מייל ומסרונים לא ברורים? ייתכן שמישהו מנסה "לדוג" אתכם

לרבים מאיתנו יצא לקבל הודעת SMS לאיסוף חבילה, תשלום מכס או הטבה מיוחדת שקיבלנו מאתר אנחנו אוהבים לקנות בו. לעיתים אנו מצליחים לזהות שמדובר בניסיון "פישיניג" (דייג), שמטרתו לגנוב מידע רגיש כמו תמונות, מספר תעודת זהות, כרטיסי אשראי וכיוצא בזה, אך לפעמים ההבדלים בין הודעת פישינג להודעה אמיתית יכולים להיות מינוריים ולהקשות על הזיהוי. 

שוחחנו עם מומחי סייבר כדי לנסות ולהבין האם כולנו עלולים ליפול קורבן לניסיון פישינג? האם טכנולוגיית הבינה המלאכותית שנכנסה לתחום מסייעת למשתמשים, או דווקא מועילה יותר להאקרים? והאם ישנם פתרונות שניתן ליישם כדי להתגונן ממלכודות מהסוג הזה?

״בעבר, היה קל יחסית לזהות הודעות פישינג בגלל הכתיבה המרושלת שלהן, במיוחד כאשר הן נוצרו על ידי האקר בעל מיומנות מוגבלת בשפה עקב דקדוק לקוי, שימוש לא הגיוני במילים וטעויות רבות באיות. טעויות אלו ניתנות לזיהוי בקלות הן על ידי אמצעי אבטחה אוטומטיים והן על ידי אנשים ערניים", מסביר אבירם שמואלי, מייסד שותף ומנהל מחקר וחדשנות ראשי של חברת הסייבר jit.io. 

שמואלי מוסיף כי "מה שמדאיג במיוחד, הוא השימוש בבינה מלאכותית בניסיונות פישינג, שהולכים והופכים מתוחכמים יותר. כיום, טכנולוגיית AI מסוגלת לייצר מיילים בעלי מראה אותנטי שמושפעים מסגנון התקשורת של הנמען, מהמקצוע ותחומי העניין שלו. יתרה מכך, השימוש ב-AI הופך את ההפצה של הודעות פישינג לאוטומטי ויעיל יותר ומאפשר התקפות נרחבות".

רון רייטר, מייסד שותף וסמנכ״ל טכנולוגיות בחברת הסייבר Sentra, מסביר כיצד הטכנולוגיה שכללה את פעילות ההאקרים: ״ChatGPT יכול לקצר תהליכים רבים, כמו גם לסייע בכתיבת הודעות פישינג בזמן קצר ובדיוק מירבי. מה שהיה יכול להימשך ימים שלמים ולהעסיק האקרים שעות רבות, יכול לקרות באמצעות ChatGPT במספר דקות בלבד. כך, בקלות יחסית, האקר יכול להעמיד פנים שהוא מישהו אחר, גורם אמין שלא יעורר חשד באופן ראשוני, וכך להגדיל את סיכויי הצלחת התקיפה".

אורן אלימלך, Global Chief Information Security Officer בחברת Atera, מסביר על המוטיבציה והמאמצים של ההאקרים: ״כלי בינה מלאכותית מחקים תקשורת בצורה לגיטימית, עד כדי כך שיש חברות סטרטאפ שפיתחו מוצרים שנועדו רק לשם זיהוי תוצרי פרסום שנוצרו באמצעות בינה מלאכותית. היכולות האלו מאפשרות לפושעי סייבר לעקוף את מסנני הספאם המסורתיים ולהצליח להגיע עם ההודעה הזדונית עד לתיבת הדוא״ל של אנשים".

האם פישינג מגיע רק באמצעות תוכן כתוב כמו פנייה בהודעה או במייל?

שמואלי טוען שהאיום הוא לא בהכרח טקסטואלי, לדבריו ״Deepfake, טכנולוגית בינה מלאכותית המשתמשת ב-GAN (ראשי תיבות של: Generative Adversarial Network), יכולה להיות כלי בידי תוקפים ליצירת תכני אודיו ווידאו מזויפים. השימוש לרעה בה בהתקפות פישינג מדאיג במיוחד. למשל, פושעי סייבר יכולים ליצור התחזות משכנעת לאנשים כדי להונות קורבנות לחשוף מידע רגיש או לבצע פעולות שהם לא היו עושים בדרך כלל".

האם פגיעה מפישינג היא גזרת גורל?

רייטר טוען שהכל תלוי בהתנהלות המשתמשים: ״מכיוון שהתקיפות משתכללות, עלינו להיות מודעים יותר לסכנות הבינה המלאכותית, ולבחון כל הודעה או מייל שמגיעים אלינו, גם אם אלה נראים ממקור בטוח ואמין".

לדבריו, "כדאי לבדוק אם הודעת המייל אכן מגיעה מהשרת של החברה האמורה, האם היא כוללת חתימה אמינה. אם הכותב או הכותבת אינם מוכרים לנו - אפשר לעשות חיפוש קצר עליהם בגוגל או לינקדאין. אם עלי להשיא עצה אחת לעובדים בארגונים גדולים שמחזיקים במידע רגיש - הרי שהיא שימו לב לעוד פרטים בהודעה מעבר לסגנון הכתיבה והיו ערים לאמצעי האימות האחרים".

איך לזהות הודעות AIShing (פישינג באמצעות בינה מלאכותית):

לדבריו של אלי לוין, מנכ״ל ומייסד ELPC Networks, ישנן כמה דרכים ושיטות שבעזרתן, ניתן לזהות מתקפות מסוג זה ולהתגונן מפניהן:

• היו ספקניים: כדאי להיזהר מפני בקשות לא שגרתיות למידע רגיש, אפילו מאנשי קשר מוכרים.
• שימו-לב לכתובת ממנה מגיעה ההודעה, בדקו האם אכן מדובר מכתובת מייל ארגונית או אישית שהיא לגיטימית.
• חפשו אי-התאמות: ה-AIShing אינו מושלם. חפשו סטיות בשפה, בטון או בסגנון, נגיד פיסוק לא במקום.
• השתמשו באינטיליגנציה מלאכותית: מערכות אינטיליגנציה מלאכותית ולמידה מכונה יכולות לזהות מערכות AI ובכך לסכל שימוש בהן.