AI Social Engineering

حمله‌های مهندسی اجتماعی مبتنی‌بر هوش مصنوعی

هوش مصنوعی، در‌حال پیشبرد نوآوری و دگرگون‌سازی تمامی صنایع، از بهداشت و درمان تا خرده‌فروشی و تولید است. این فناوری، زمینه را برای فعالیت مؤثرتر و پیچیده‌تر کسب‌وکارها در سراسر جهان فراهم می‌کند. اما در همین راستا، هوش مصنوعی به مجرمان سایبری نیز قدرت بخشیده است.

تکنیک کلاسیک مهندسی اجتماعی شامل روش‌های فریبنده‌ای مانند جعل هویت یا سوءاستفاده از اعتماد افراد، برای استخراج اطلاعات شخصی و محرمانه از قربانیان است. با افزایش قدرت و دسترس‌پذیری ابزارهای هوش مصنوعی، این حمله‌ها اکنون بسیار شخصی‌سازی‌شده، مؤثرتر و گسترده‌تر شده‌اند. مقابله با چنین حمله‌هایی، نیازمند ابزارهایی پیشرفته‌تر از گذشته است.

در این مقاله، بررسی می‌کنیم که چگونه هوش مصنوعی، مهندسی اجتماعی را به سطح جدیدی ارتقا داده است. به‌طور خاص، به این موضوع می‌پردازیم که فناوری‌های نوظهوری مانند دیپ‌فیک (جعل عمیق) چگونه تکنیک‌های مهندسی اجتماعی را تقویت کرده‌اند و پتانسیل تقلب را افزایش داده‌اند. همچنین، راهکارها و ابزارهای موجود برای سازمان‌ها را به‌منظور مقابلۀ مؤثر با این تهدیدات بررسی خواهیم کرد.

چگونه هوش مصنوعی، مهندسی اجتماعی سنتی را تقویت می‌کند؟

حمله‌های موفق مهندسی اجتماعی، با جمع‌آوری داده‌های شخصی کافی دربارۀ فرد هدف آغاز می‌شود تا اعتماد اولیۀ او جلب شود. سپس مهاجمان از این اعتماد اولیه، سوءاستفاده می‌کنند تا اطلاعات حساس‌تری را برای منافع شخصی به دست آورند. اینجاست که هوش مصنوعی می‌تواند نقش مهمی ایفا کند. هوش مصنوعی برای جمع‌آوری سریع و جامع حجم انبوهی از داده‌ها، ایده‌آل است. این فناوری می‌تواند مجموعه‌‌ای از داده‌های عظیم را پردازش، الگوها را شناسایی و اطلاعات مرتبط را با سرعت و دقتی بی‌سابقه استخراج کند. مهندسی اجتماعی همواره یک بازی مبتنی‌بر احتمالات است. مسئله این نیست که آیا حمله موفق خواهد شد یا نه، بلکه این است که چندبار تلاش لازم است تا به نتیجه برسد. اتوماسیون هوش مصنوعی و ادغام آن با پلتفرم‌های ارتباطی، احتمال موفقیت را در بازۀ زمانی کوتاه‌تری، به‌شدت افزایش می‌دهد.

ابزارهای هوش مصنوعی اکنون قادرند هزاران تماس تلفنی را به‌صورت هم‌زمان برقرار کنند؛ تماس‌هایی که هریک کاملاً شخصی‌سازی شده‌اند و می‌توانند مکالماتی طبیعی با دستور زبانی بی‌نقص ارائه دهند، حتی تا حدی که قادر به تقلید صدای آشنا برای فرد هدف نیز هستند. امروزه، بسیاری از این حمله‌ها، به یکی از پیشرفته‌ترین دستاوردهای اخیر هوش مصنوعی متکی هستند: دیپ‌فیک. مهاجمان از این فناوری برای تولید کلیپ‌های ویدیویی و صوتی فوق‌واقع‌گرایانه‌ای استفاده می‌کنند که تشخیص آن‌ها از محتوای واقعی دشوار است. برای ایجاد دیپ‌فیک، مهاجمان، تنها به نمونه‌های کوتاهی از ویدیو و صدای فرد هدف نیاز دارند. سپس الگوریتم‌های هوش مصنوعی، از این نمونه‌ها برای بازتولید دقیق صدا، چهره و حتی زبان بدن استفاده می‌کنند.

روش‌های کلیدی در حمله‌های مهندسی اجتماعی مبتنی‌بر هوش مصنوعی

هوش مصنوعی، به‌طور چشمگیری، حمله‌های سنتی مهندسی اجتماعی را ارتقا داده است. در این بخش، متداول‌ترین حمله‌هایی را بررسی می‌کنیم که با ادغام هوش مصنوعی، قدرت تخریب بسیار بیشتری یافته‌اند.

۱. کمپین‌های فیشینگ

فیشینگ، یکی از رایج‌ترین انواع حمله‌های مهندسی اجتماعی است. در این روش، با ارائۀ حجم قابل‌ توجهی از اطلاعات شخصی به قربانی، او را ترغیب می‌کنند تا یکی از اقدامات زیر را انجام دهد:

• کلیک روی لینک مخرب
• دانلود فایل آلوده
• افشای اطلاعات محرمانه مانند رمز عبور یا شمارۀ کارت اعتباری

مجرمان سایبری، این حمله‌ها را به‌صورت گسترده انجام می‌دهند و هدفشان این است که حداقل یک نفر، فریب این حمله‌ها را بخورد. ابزارهای هوش مصنوعی می‌توانند با تنظیم پویا و خودکار حمله‌ها براساس واکنش‌های کاربر، اثربخشی کمپین‌های فیشینگ را افزایش دهند. این تنظیمات، احتمال موفقیت حمله را با صرف زمان و انرژی کمتری، بالا می‌برند.

۲. جعل ایمیل سازمانی

مهاجمان اغلب سازمان‌هایی را هدف قرار می‌دهند که منابع مالی قابل توجهی دارند؛ چراکه این سازمان‌ها برای باج‌خواهی، جذاب‌تر از افراد عادی به شمار می‌آیند. یکی از روش‌های متداول، هدف قرار دادن کارمندان از طریق جعل هویت مدیران ارشد است. این استراتژی، به‌گونه‌ای طراحی شده است که کارمند ایمیل را معتبر تلقی کرده و بدون تردید، از درخواست‌های جعلی پیروی کند. ابزارهای هوش مصنوعی می‌توانند سبک نگارش مدیران را تحلیل و تقلید کنند؛ در نتیجه، ایمیل‌های جعلی را بسیار متقاعدکننده‌تر می‌سازند و تشخیص آن‌ها را دشوارتر می‌کنند.

۳. فیشینگ هدفمند

فیشینگ هدفمند، یکی از انواع حمله‌های فیشینگ است که به‌جای تمرکز بر کمیت، بر کیفیت حمله تمرکز دارد. فیشینگ‌های معمولی، دامنۀ گسترده‌ای از اهداف نامرتبط را شامل می‌شوند؛ درحالی‌که حمله‌های فیشینگ هدفمند، اهداف کمتر و مورد نظر را با دقت بیشتری مورد حمله قرار می‌دهد. در این روش، مهاجمان با استفاده از هوش مصنوعی، داده‌ها را جمع‌آوری کرده، رفتارها را تقلید می‌کنند و حتی پیام‌ها را به چندین زبان، به‌طور کامل ترجمه می‌کنند. این قابلیت‌ها باعث شده حمله‌های امروزی، شخصی‌سازی‌شده‌تر و متقاعدکننده‌تر از همیشه باشند. مهاجمان با استفاده از جزئیات شناخته‌شده یا روابط شخصی، پیام‌هایی طراحی می‌کنند که احتمال پاسخ‌گویی به ایمیل را افزایش می‌دهد.

بررسی مخاطرات دیپ‌فیک‌های مبتنی‌بر هوش مصنوعی

نخستین نمونه‌های فناوری دیپ‌فیک، به‌راحتی قابل تشخیص بودند؛ اما پیشرفت‌های اخیر در حوزۀ یادگیری ماشین و شبکه‌های عصبی، کیفیت این فناوری را به‌طور چشمگیری ارتقا داده است. امروزه، حتی افراد تیزبین نیز بیش از گذشته، در تشخیص محتوای دیپ‌فیک از محتوای واقعی، با مشکل مواجه می‌شوند. تاکنون، تکنیک‌های جعل هویت مبتنی‌بر دیپ‌فیک، خسارات مالی قابل‌ توجهی به شرکت‌های بزرگ وارد کرده‌اند. خطرناک‌ترین جنبۀ دیپ‌فیک‌های امروزی، توانایی آن‌ها در تأثیرگذاری بر افکار عمومی از طریق انتشار اطلاعات نادرست است. علاوه‌بر این، با متقاعدکننده‌تر شدن دیپ‌فیک‌ها، حتی محتوای صوتی و تصویری واقعی نیز بیش از پیش با شک و تردید مواجه می‌شود. این موضوع باعث شده بی‌اعتمادی فزاینده‌ای نسبت به اصالت هر نوع رسانۀ دیجیتال به وجود آید.

راهکارهای شناسایی و مقابله

خوشبختانه، همگام با پیشرفت فعالیت‌های مخرب مبتنی‌بر هوش مصنوعی، راهکارهای شناسایی و مقابله نیز درحال توسعه‌اند. بسیاری از این راهکارها، خود از فناوری‌های هوش مصنوعی برای محافظت از افراد و سازمان‌ها در برابر این نوع حمله‌ها بهره می‌برند. تحلیل رفتاری و شناسایی ناهنجاری‌ها، ازجمله تکنیک‌های پرکاربرد هوش مصنوعی هستند که به پلتفرم‌های امنیت سایبری امکان می‌دهند الگوهای مرتبط با فعالیت‌های مخرب تقویت‌شده با هوش مصنوعی را تشخیص دهند. در این نبرد دائمی، هر دو طرف، از هوش مصنوعی بهره می‌برند:

• مهاجمان از ابزارهای هوش مصنوعی تولیدی (Generative AI) برای توسعۀ حمله‌های مؤثرتر استفاده می‌کنند؛ مانند تولید ایمیل‌های فیشینگ با دقت و کارایی بالا.
• سامانه‌های دفاعی نیز با بهره‌گیری از فناوری‌هایی مانند پردازش زبان طبیعی و شناسایی ناهنجاری‌ها، ایمیل‌های واقعی را از پیام‌های جعلی تشخیص می‌دهند و همواره در تلاش هستند تا یک گام، جلوتر از تهدیدات حرکت کنند.

بااین‌حال، سازمان‌ها نباید صرفاً به هوش مصنوعی برای امنیت سایبری متکی باشند. آموزش کارکنان دربارۀ اصول اولیۀ امنیت سایبری و راهکارهای متداول حمله، از مؤثرترین اقدامات پیشگیرانه محسوب می‌شود. با پیچیده‌تر شدن حمله‌های مهندسی اجتماعی مبتنی‌بر هوش مصنوعی، ضروری است که آموزش‌های امنیتی و شبیه‌سازی حمله‌ها، به‌روز و منطبق با تهدیدات جدید باشند. تنها در این صورت می‌توان کارکنان را برای مواجهه با موقعیت‌های واقعی آماده کرد و از بی‌توجهی و تصمیم‌گیری‌های نادرست جلوگیری کرد.

  این مقاله، ترجمه‌ای از مقالۀ Crowd Strike است.