זינוק חד במספר ניסיונות ההונאה המקוונים בעזרת AI – כך קובע דו"ח ה-Cyber Signals החדש של מיקרוסופט. כעת, בעיצומו של חג הפסח, שבו מתבצעות רכישות רבות באינטרנט, הדו"ח מהווה תזכורת חשובה לחשיבות ההגנה מפני הונאות ברשת.
לפי ממצאי הדו"ח, רק בשנה האחרונה סיכלה מיקרוסופט ניסיונות הונאה בשווי כולל של כארבעה מיליארד דולר. בנוסף, בזכות מנגנוני הגנה מובנים, נמנעה העברת כספים בהיקף של כמיליארד דולר לידיים עברייניות.
לפי הדו"ח, החברה בלמה 49 אלף ניסיונות התחזות להרשמה לתוכניות שותפים ומנעה כ-1.6 מיליון ניסיונות הרשמה של בוטים לתוכניות אלו מדי שעה. תוכנית שותפים היא שיטת שיווק שבה עסקים משתפים פעולה עם שותפים חיצוניים (כמו בלוגרים, אתרי תוכן, משפיענים ועוד) שמקדמים את מוצריהם או שירותיהם בתמורה לעמלה. העמלה משולמת עבור פעולות שהוגדרו מראש – למשל, קליקים, לידים או רכישות שבוצעו דרך קישור ייחודי של השותף.
במיקרוסופט מציינים כי ככל שהבינה המלאכותית הופכת נגישה יותר, כך גם גורמים בעלי מיומנות טכנולוגית נמוכה מסוגלים לייצר הונאות מתוחכמות - החל בפישינג מבוסס דיפ-פייק ועד לאתרים מזויפים המדמים עסקים לגיטימיים.
אתרים מזויפים שהיו פעם נבנים במשך ימים ושבועות, יכולים כיום לקום באמצעות כלים אוטומטיים ומדויקים תוך דקות ספורות בלבד. מדובר בשלל כלים - מאפליקציות לגיטימיות ועד לכלים ייעודיים להונאות, הפועלים על בסיס AI. כך, הבינה המלאכותית הפכה את תהליך ייצור התוכן המזויף לקל, מהיר וזול.
אתרים מזויפים וגניבת זהויות
דו"ח מיקרוסופט מצביע על כך שכלי AI משמשים כיום שחקני תקיפה בזירה המקוונת, לצורך יצירת אתרי מסחר מזויפים, מודעות כוזבות, תיאורי מוצרים ותגובות גולשים, הכל באמצעות בינה מלאכותית. אתרי הקניות הפכו לכלי הונאה עיקרי: באמצעות ביקורות וחלונות ראווה שנוצרו על ידי AI, התוקפים יוצרים אתרי מסחר אלקטרוני שלמים, הכוללים היסטוריית עסקות בדויה וחוות דעת מומצאות.
לפי צוות האנטי-הונאה של מיקרוסופט, מתקפות מסוג זה פועלות בהיקף עולמי, כשמרכזי פעילות בולטים נמצאים בסין ובגרמניה. זאת, בין היתר, בשל היותה של גרמניה שוק מסחר מקוון מהגדולים באירופה. ככל שהשוק הדיגיטלי מתרחב, כך גוברת גם החשיפה לסיכוני הונאה.
בנוסף, כלי בינה מלאכותית מסוגלים לסרוק ולשלוף מידע מהאינטרנט על חברות ובכך מאפשרים לתוקפים לבנות פרופילים מדויקים של עובדים ויעדים נוספים, וליצור זהויות בדויות אמינות במיוחד. עבריינים מייצרים רשימות משרות מזויפות, גונבים זהויות, כותבים פוסטים בדויים על משרות, ושולחים מיילים של פישינג מתוחכם למחפשי עבודה. ראיונות עבודה מבוססי AI ומיילים אוטומטיים מוסיפים אמינות למתקפה, מה שמקשה על זיהוי ההונאה. במקרים אלה לרוב מבקשים מידע אישי כמו קורות חיים או אפילו פרטי חשבון בנק, תחת הטענה שיש לתקף ולאשר את המידע של המועמד.
כיצד להתגונן?
כדי לסייע בהגנה על צרכנים מפני הונאות, מיקרוסופט השיקה כלים ופיצ'רים חינמיים. כך למשל, דפדפן Microsoft Edge כולל הגנה על אתרי אינטרנט באמצעות טכנולוגיית למידה עמוקה, שמסייעת למשתמשים להימנע מגלישה לאתרים מזויפים או מתחזים. בנוסף, יכולת טביעת האצבע הדיגיטלית של מיקרוסופט מזהה התנהגויות זדוניות ומקשרת אותן לגורמים אנושיים ספציפיים. הטכנולוגיה מסייעת במעקב ובהגנה מפני ניסיונות גישה לא מורשים.
כלי ה-Quick Assist כולל כעת התראות ודורש מהמשתמשים לסמן תיבה המאשרת את השלכות האבטחה של שיתוף המסך שלהם. תוספת זו יוצרת "חיכוך אבטחתי" חיובי, שמעודד את המשתמשים , במיוחד כאלה שמבצעים כמה משימות במקביל, לעצור ולהקדיש תשומת לב לפני שיאשרו את השיתוף.
טיפים להתנהגות חכמה ברשת
- היזהרו ממבצעים שמוצגים כ"הצעה לזמן מוגבל" או כאלה המלווים בטיימרים שמטרתם להלחיץ אתכם לקבל החלטה מהירה.
- לחצו רק על פרסומות מאומתות. אתרי הונאה רבים מופצים באמצעות פרסומות ממומנות במדיה החברתית, המבוססות על אופטימיזציה של בינה מלאכותית. ודאו ששם הדומיין תקין ושהביקורות אמיתיות.
- היו סקפטיים כלפי הוכחות חברתיות: עבריינים עושים שימוש בביקורות מזויפות, בהמלצות של "משפיענים" מזויפים ובתגובות אוטומטיות שנוצרו על ידי AI כדי לייצר מצג שווא אמין.
במהלך חיפוש עבודה, מעסיקים אמיתיים לעולם לא יבקשו:
- למסור מידע אישי או פיננסי. הודעות SMS ודוא"ל לא רצויות המציעות משרות בשכר גבוה ללא דרישות סף הן לרוב הונאות. אין למסור מספר תעודת זהות, פרטי בנק או סיסמאות למעסיק שאינו מאומת.
- לשלם עבור הזדמנות תעסוקתית. הצעות עבודה הכוללות דרישה לתשלום, הצעות שנראות טוב מדי כדי להיות אמיתיות, או היעדר תקשורת רשמית - כל אלה הם סימנים מחשידים להונאה.
- להתנהל בערוצים לא רשמיים. מגייסים ומנהלי גיוס המתקשרים רק דרך SMS, וואטסאפ או כתובות דוא"ל פרטיות (למשל, johndoehr@gmail.com במקום hr@company.com) הם תמרור אזהרה. מעסיקים לגיטימיים משתמשים בפלטפורמות רשמיות של החברה לצורך גיוס. מסירת מידע אישי ורגיש צריך להיעשות רק דרך פלטפורמות בטוחות ומאובטחות.
