Come i Cyber criminali usano AI. I criminali informatici utilizzano l’intelligenza artificiale per portare a termine diversi attacchi informatici, tra cui il cracking di password, le e-mail di phishing, l’impersonificazione e i deepfakes. È importante capire come i criminali informatici utilizzano l’IA a loro vantaggio, in modo da poter proteggere meglio se stessi e loro attività, nonché i propri account e dati.
L’articolo racconta gli attacchi informatici basati sull’intelligenza artificiale e cosa poter fare per tenersi al sicuro da Come i Cyber criminali usano AI.
Cos’è l’intelligenza artificiale (AI)?
L’intelligenza artificiale è un tipo di tecnologia che imita l’intelligenza umana. L’IA è essenzialmente ciò che aiuta i computer a fare cose senza bisogno dell’assistenza umana, come riconoscere schemi, prendere decisioni e risolvere problemi. Alcuni strumenti di IA attualmente più in uso sono i modelli linguistici di grandi dimensioni come ChatGPT.
Come l’IA viene utilizzata dai criminali informatici
Ecco alcuni dei modi Come i Cyber criminali usano AI per sferrare attacchi informatici.
IA per il cracking delle password
Il cracking delle password è una tecnica utilizzata dai criminali informatici per decifrare le password. Spesso i criminali informatici usano programmi per il cracking delle password che impiegano variazioni di password comunemente utilizzate o parole del dizionario e tentano ogni possibile combinazione fino a quando non riescono a decifrare una password. Questo è noto anche come “attacco a forza bruta”.
Recentemente, un rapporto di Home Security Heroes ha rivelato che l’intelligenza artificiale può facilmente decifrare le password più comuni. Si tratta di un grave rischio per la sicurezza di chi non utilizza password forti per i propri account. Il rapporto ha sperimentato uno strumento di cracking delle password alimentato dall’intelligenza artificiale, chiamato PassGAN, su oltre 15 milioni di password di uso comune. Il rapporto ha rilevato che il 51% delle password di uso comune può essere decifrato in meno di un minuto, il 65% in un’ora, il 71% in un giorno e l’81% in un mese.
Email di phishing generate dall’intelligenza artificiale
Il phishing è un tipo di attacco di “ingegneria sociale” che tenta di ingannare la vittima bersaglio per farle rivelare informazioni sensibili. Un tempo le e-mail di phishing erano facili da individuare perché presentavano frequenti errori grammaticali e di ortografia, ma l’intelligenza artificiale rende ora più facile per i criminali informatici generare contenuti ben scritti e convincenti per le truffe di phishing. Invece di scrivere le proprie e-mail di phishing o i propri messaggi di testo, i criminali informatici sfruttao l’intelligenza artificiale per inviare le truffe al posto loro. Ad esempio, le e-mail di phishing generate dall’intelligenza artificiale possono imitare il tono delle e-mail ordinarie, il linguaggio e lo stile. Questo rende la truffa più credibile. I criminali informatici sono anche in grado di utilizzare l’intelligenza artificiale per personalizzare le e-mail in base ai dati raccolti da Internet o alle informazioni fornite dagli utenti.
Impersonificazione dell’IA
L’impersonificazione dell’intelligenza artificiale è diventata sempre più comune quando i criminali informatici effettuano truffe di “vishing”. Il vishing è un tipo di truffa di phishing che avviene attraverso una telefonata. Per effettuare un attacco di vishing, un criminale informatico chiama il suo obiettivo e finge di essere qualcuno che la vittima conosce, come un collega, un amico o un familiare.
Poiché gli algoritmi di intelligenza artificiale sono in grado di analizzare grandi quantità di dati, possono creare un personaggio falso a partire da essi. Attraverso una tecnica chiamata sintesi, un criminale informatico può arrivare a riprodurre la voce di qualcuno con l’aiuto dell’IA. Questo avviene analizzando la voce della persona da registrazioni audio e video, per poi generare un discorso che suona esattamente come l’individuo che sta parlando.
Queste truffe di vishing sono diventate sempre più comuni, dato che l’IA continua a diventare sempre più sofisticata.
Deepfakes
I deepfakes sono forme di media falsi creati con l’intelligenza artificiale in cui il volto o il corpo di una persona sono stati alterati per farla sembrare una notizia come vera quando vera non lo è. I deepfakes sono spesso utilizzati in modo malevolo per diffondere informazioni false e rappresentano un grosso modo Come i Cyber criminali usano AI. Sebbene i deepfakes esistano da tempo, con il progredire della tecnologia è diventato quasi impossibile individuarli. Persino le forze dell’ordine faticano a riconoscere i deepfakes.
Come tenersi al sicuro dagli attacchi informatici basati sull’intelligenza artificiale
Ecco alcuni modi per proteggersi dagli attacchi informatici basati sull’intelligenza artificiale.
Proteggere i propri account
Per proteggere i propri dati dalla compromissione, una cosa che dovremmo già fare è utilizzare dei alti livelli sicurezza ai propri account. Ciò significa utilizzare password forti e uniche ed avere l’autenticazione a più fattori (MFA) abilitata ovunque questa sia consentita.
Le password forti non devono mai essere riutilizzate, devono essere lunghe almeno 16 caratteri, avere lettere maiuscole e minuscole e includere numeri e simboli. La creazione di password forti può essere una seccatura da fare da soli, ma è possibile utilizzare un gestore di password che le crei e le gestisca per l’utente.
I gestori di password sono strumenti che aiutano gli utenti a generare, gestire e archiviare in modo sicuro le password. I migliori gestori di password possono memorizzare anche le nostre password. L’unica password che dovremo ricordare è la master password, che funge da chiave d’accesso al nostro “caveau”.
L’autenticazione a più fattori è un ulteriore livello di sicurezza da aggiungere ai nostri account. Quando l’MFA è abilitata, un utente non può accedere al proprio account senza aver verificato la propria identità attraverso un metodo di verifica scelto, come ad esempio un’app di autenticazione e di solito tramite un determinato dispositivo.
Non rispondere alle richieste di informazioni personali (Come i Cyber criminali usano AI)
L’obiettivo delle truffe di phishing è quello di indurre il malcapitato a rivelare informazioni personali che i criminali informatici possono poi utilizzare per accedere agli account di terzi o rubare il denaro. Poiché le truffe di phishing possono avvenire tramite e-mail, telefonate o messaggi di testo, è importante essere sempre cauti nel condividere le informazioni.
Ad esempio, se riceviamo un’e-mail che dichiara di provenire dalla nostra banca e ci chiede di confermare informazioni sensibili come il numero della carta, è bene non fidarsi subito. La maggior parte delle aziende non ci contatterà chiedendo informazioni personali all’improvviso. Prima di soddisfare una richiesta di informazioni personali, è buona pratica contattare direttamente l’azienda o la persona per avere la conferma che il mittente sia autentico. Quando contattiamo un’azienda, assicurimoci di ricavare il numero di telefono dal sito web dell’azienda stessa.
Non cliccare su link o allegati non richiesti
Le più comuni truffe di phishing tentano anche di farci cliccare su link o allegati dannosi. Se riceviamo link e allegati non richiesti, è meglio non cliccarci. Facendo clic su di essi si può innescare un’infezione da malware che mette a rischio di compromissione tutti i propri dati sensibili.
Eseguire regolarmente il backup dei dati
I dati memorizzati sui propri dispositivi devono sempre essere sottoposti a backup. Questa non è solo una best practice di cybersecurity, ma serve a proteggere i propri dati nel caso in cui il nostro dispositivo venga rubato, perso o danneggiato. Se il dispositivo dovesse essere infettato da malware, il backup ci proteggerà anche dalla perdita definitiva dei dati.
Consigliamo di archiviare i dati utilizzando un servizio crittografato. Un ulteriore vantaggio di alcuni gestori di password è che memorizzano più delle semplici password. Ad esempio, Keeper Password Manager offre un componente aggiuntivo per l’archiviazione sicura dei file che salva tutti i tipi di dati, compresi file e immagini. Tutti i dati memorizzati sono crittografati e possono essere consultati solo dall’utente. Eseguire regolarmente il backup dei dati con un servizio come Secure File Storage protegge i dati dalle mani sbagliate.
Mantenete aggiornati i software e dispositivi
Un’altra best practice di cybersecurity da seguire è l’aggiornamento dei software e dei dispositivi non appena è disponibile un nuovo aggiornamento. Non solo gli aggiornamenti contengono nuove funzionalità, ma gli aggiornamenti del software correggono anche le falle di sicurezza e le vulnerabilità che possono essere sfruttate se non vengono aggiornate immediatamente. I criminali informatici spesso cercano queste vulnerabilità e le sfruttano a loro vantaggio per attaccare con successo utenti ignari.
Creare una parola d’ordine con la famiglia
A causa dell’aumento delle truffe di AI vishing, si consiglia di creare una parola di sicurezza con la propria famiglia. Alcune di queste truffe hanno preso di mira le generazioni più anziane per convincerle che la persona che sta chiamando è il loro nipote. In genere utilizzano scenari come un incidente d’auto o la prigione e il bisogno di denaro. Se creiamo una “parola d’ordine” con i famigliari, sapremo subito se la persona che ci chiama è davvero un membro della famiglia che ha bisogno di aiuto o un truffatore.
Proteggersi dagli attacchi informatici dell’intelligenza artificiale
Se da un lato la rapida innovazione dell’IA è utile per alcuni compiti, dall’altro rappresenta un grosso rischio per la nostra sicurezza informatica. È importante tenersi aggiornati su tutti gli ultimi attacchi informatici dell’IA e seguire le migliori pratiche di sicurezza informatica. In questo modo si eviterà di cadere vittima di attacchi che possono portare alla compromissione dell’account, a perdite finanziarie e al furto dell’identità.
(fonte)
Innovaformazione, scuola informatica specialistica promuove la cultura della sicurezza informatica nello sviluppo software e all’interno delle aziende. Su queste tematiche trovate due corsi principali (per aziende):
INFO: info@innovaformazione.net – tel. 3471012275 (Dario Carrassi)