Estás leyendo la publicación: ¿Puede AI escribir un correo electrónico de phishing más convincente que los humanos?
El procesamiento del lenguaje natural y las capacidades de traducción avanzadas hacen que la IA generativa sea una herramienta invaluable para los piratas informáticos. Sin embargo, los correos electrónicos de phishing generados por IA pueden no ser más peligrosos que el contenido de estafa generado por humanos. ¿Qué deben saber los usuarios y los profesionales de la seguridad sobre el papel de la IA en el phishing y los ciberataques?
Cómo AI escribe correos electrónicos de phishing
Contenido de phishing denunciado aumentó un 61% desde 2021 hasta 2022. Desde URL maliciosas hasta estafas por correo electrónico, el phishing es cada vez más frecuente cada año. AI es la última herramienta que los piratas informáticos están adoptando para avanzar en las campañas de phishing. Si bien el procesamiento del lenguaje natural de AI es beneficioso, los piratas informáticos pueden aprovecharlo para crear contenido de phishing más efectivo.
La disponibilidad de plataformas de inteligencia artificial como servicio, como ChatGPT, hace que sea más fácil que nunca para cualquiera generar contenido. Un pirata informático podría mostrarle a un gran modelo de lenguaje AI miles de ejemplos de correos electrónicos legítimos y luego pedirle que cree correos electrónicos originales basados en ellos. El procesamiento del lenguaje natural (NLP) permite que la IA comprenda y recree contenido escrito realista, una herramienta perfecta en los ataques de phishing.
Idealmente, la IA genera un correo electrónico original que imita un correo electrónico escrito por humanos. El hacker puede pedirle que personalice el mensaje para incluir detalles sobre una empresa, persona o lugar en particular. La IA puede incluso traducir el mensaje a un idioma diferente. Los piratas informáticos pueden crear correos electrónicos de phishing completamente originales y personalizados en cuestión de minutos, lo que les permite alejarse del reciclaje de un correo electrónico malicioso entre muchos objetivos.
¿Son efectivos los correos electrónicos de phishing generados por IA?
Las posibilidades del phishing impulsado por IA pueden parecer intimidantes, pero ¿son más peligrosas que el contenido de phishing creado por humanos? Las ventajas de los correos electrónicos de phishing generados por IA se reducen principalmente a flujos de trabajo más eficientes para los piratas informáticos.
Los primeros estudios de investigación han mostrado correos electrónicos de phishing generados por IA son igual de convincentes como correos electrónicos de phishing generados por humanos. Los piratas informáticos también tienen un acceso limitado a las plataformas de IA como servicio. La mayoría de los grandes desarrolladores, incluido OpenAI, tienen medidas de seguridad para evitar aplicaciones ilegales de modelos de IA.
Las principales ventajas de la IA para los piratas informáticos de phishing son la eficiencia y el lenguaje. Usar IA para generar correos electrónicos fraudulentos es más rápido que escribirlos manualmente, lo que permite a los piratas informáticos crear una mayor variedad de correos electrónicos de phishing. Además, pueden dirigirse a víctimas en cualquier parte del mundo, gracias a las herramientas de traducción de IA de fácil acceso con capacidades de NLP.
Por lo tanto, los correos electrónicos de phishing generados por IA aumentan el riesgo de ataques de phishing, pero no necesariamente son más convincentes que el contenido generado por humanos.
Cómo defenderse contra el phishing generado por IA
La IA es una herramienta útil para los piratas informáticos, pero no es infalible. La tecnología de seguridad y los usuarios también pueden avanzar en sus estrategias de defensa a medida que los ataques de phishing se vuelven más inteligentes. Los usuarios deben comenzar por mantenerse actualizados sobre banderas rojas de contenido de phishingya que estos seguirán siendo relevantes incluso con correos electrónicos generados por IA.
Si bien puede ser más difícil detectar correos electrónicos de phishing de un vistazo, ciertos pasos de seguridad pueden minimizar o eliminar la posibilidad de que el phishing cause daños. Además, las nuevas tecnologías de detección pueden detectar correos electrónicos maliciosos tanto de IA como escritos por humanos.
Cambiar a almacenamiento en la nube
Cambiar al almacenamiento en la nube es una excelente manera de minimizar la amenaza de los correos electrónicos de phishing y los ataques cibernéticos. La naturaleza aislada del almacenamiento de datos convencional lo hace altamente vulnerable a la explotación por parte de piratas informáticos. Todo lo que un pirata informático debe hacer es obtener el control de un disco duro o servidor, y puede retener todos los datos de alguien como rehén.
El almacenamiento en la nube esquiva esta amenaza. Dado que los datos no están vinculados a ningún dispositivo específico, es mucho más difícil para los piratas informáticos eliminar o dañar cualquier información. La ciberseguridad basada en la nube también puede mejorar la resistencia a los intentos de piratería.
Por ejemplo, los usuarios pueden implementar exploraciones de vulnerabilidad automatizadas para encontrar debilidades en su nube seguridad. Esto es excelente para evitar que los piratas informáticos utilicen puertas traseras o credenciales robadas para acceder a los datos en la nube. Incluso si lo hacen, será difícil para ellos controlar los datos por completo ya que el almacenamiento en la nube está muy disperso.
Cree un sistema de verificación de bricolaje
Una solución de bricolaje para ayudar a disuadir los mensajes de phishing de cualquier tipo es establecer un sistema de códigos entre los corresponsales de confianza. Esto podría incluir a personas como familiares, amigos y compañeros de trabajo. Cada vez que los miembros del grupo se envían correos electrónicos entre sí, pueden escribir una frase clave específica para verificar que el mensaje es realmente de ellos.
Este sistema de códigos no necesita ser demasiado complicado. La idea es simplemente agregar un factor a los correos electrónicos que un pirata informático o una IA no podrían saber de antemano de manera confiable. Haga que la frase clave sea algo inusual para que sea poco probable que se encuentre comúnmente en los correos electrónicos de capacitación de una IA.
Por ejemplo, el código podría ser el nombre de un asentamiento fantasma, como “Agloe, Nueva York”. Es poco probable que los asentamientos fantasma aparezcan con frecuencia en los correos electrónicos, ya que son lugares ficticios que simplemente se agregan a los mapas con fines de derechos de autor.
Utilice la detección de phishing de IA
Los piratas informáticos no son los únicos que utilizan IA para innovar su metodología. Los usuarios y los profesionales de la seguridad pueden aprovechar los modelos de IA para detectar contenido de phishing, ya sea que lo escriba un humano o una IA.
Por ejemplo, los desarrolladores pueden usar el aprendizaje automático para monitorear y rastrear la comunicación natural patrones de corresponsales de correo electrónico legítimos. Si AI pudiera aprender rápidamente el estilo de comunicación único de un individuo, podría reconocer correos electrónicos falsos que no coinciden. Esto se aplica independientemente de si un humano o una IA escribió el correo electrónico.
Una de las mayores fortalezas del phishing impulsado por IA es también una falla importante. Los piratas informáticos pueden crear de manera eficiente correos electrónicos falsos creíbles con IA, pero el estilo de comunicación de esos correos electrónicos no se puede personalizar de manera eficiente. Un pirata informático generalmente no tiene la experiencia técnica o los recursos para entrenar una IA para replicar con precisión el estilo de escritura de una persona específica. Los modelos de IA de detección de phishing pueden aprovechar esta debilidad para defender a los usuarios.
Comprender el riesgo del phishing impulsado por IA
AI puede ser una herramienta valiosa para los piratas informáticos al crear correos electrónicos de phishing. Sin embargo, los correos electrónicos generados por IA no son necesariamente más convincentes que el contenido de phishing generado por humanos. Las principales señales de alerta del phishing, como las llamadas a la acción urgentes, siguen siendo relevantes independientemente de quién o qué esté creando el correo electrónico de phishing. Los usuarios y los profesionales de la seguridad pueden adoptar técnicas y tecnologías innovadoras para proteger sus datos de las campañas de phishing impulsadas por IA.
