MI kā uzbrucējs: pikšķerēšana, deepfake un viltus balss zvani

Mākslīgais intelekts (turpmāk – MI) šodien raksta vēstules, analizē datus, tulko, ģenerē kodu un atbild klientiem. Tas noņem no pleciem darbu, ko neviens nemīl. To pašu rīku komplektu ir saņēmuši arī uzbrucēji.

Uzbrukums ar MI reti kad ir ģeniāls. Uzbrucējs nesāk ar kļūdas meklēšanu sistēmā, ja mērķi sasniedz vienkāršāk: pierunā cilvēku uzklikšķināt uz saites, ievadīt paroli, apmaksāt rēķinu, atvērt pielikumu vai pārsūtīt vienreizējo kodu.

Tāpēc pikšķerēšana joprojām ir īsākais ceļš līdz naudai, kontiem, datiem un uzņēmuma sistēmām. MI šeit mainīja vienu lietu: vēstules kļuva pārliecinošākas, tās var izsūtīt tūkstošos, un atpazīt tās ir grūtāk.

Šis raksts ir sērijas sākumpunkts. Detaļas izklāstītas atsevišķi: MI pikšķerēšana un tās atpazīšana, deepfake krāpšana un balss pikšķerēšana, OSINT un publiskā informācija, MI kā aizsardzība un LLM integrāciju ielaušanās testēšana.

Kāpēc pikšķerēšana joprojām strādā

Pikšķerēšana neuzbrūk tehnoloģijai. Tā uzbrūk cilvēkam, un tajā ir viss noslēpums.

Kāpēc lauzt ugunsmūri, ja darbinieks paroli iedod pats? Kāpēc meklēt sarežģītu ievainojamību, ja kāds atver pielikumu? Kāpēc ielauzties bankā, ja pietiek nobiedēt cilvēku ar konta bloķēšanu?

Pikšķerēšanas vēstule strādā ar emocijām: bailēm, ziņkāri, stresu, laika spiedienu un uzticēšanos autoritātei. Tipiski teksti izskatās šādi:

• „Sūtījumu neizdevās piegādāt. Apstipriniet adresi.“
• „Konts tiks bloķēts 24 stundu laikā.“
• „Lūdzam steidzami apmaksāt pievienoto rēķinu.“
• „Vajadzīgs apstiprinājuma kods, risinām incidentu.“
• „Pievienoju šodienas sapulces dokumentu.“

Agrāk viltojumu nodeva slikta latviešu valoda: nomestas garumzīmes, ačgārna vārdu kārtība un redzamas mašīntulkojuma pēdas. Uz to vairs paļauties nevar. MI raksta gludā latviešu, angļu un krievu valodā, trāpa uzņēmuma tonī un saliek vēstuli, kas iet cauri kā parasta darba sarakste.

Tāpēc īstais jautājums vairs nav, vai vēstule uzrakstīta pareizi. Jautājums ir, vai lūgums vispār ir pamatots – un vai to var apstiprināt citā kanālā.

Praktisku kontrolsarakstu apkopojām rakstā MI pikšķerēšana un tās atpazīšana.

Kā MI stiprina sociālo inženieriju

Sociālā inženierija nelauž sistēmu, bet pierunā cilvēku. Mērķis ir iemantot uzticību un pēc tam radīt situāciju, kurā upuris rīkojas ātri un neko nepārbauda.

MI palīdz trijās vietās.

Pirmā ir valoda. Uzbrucējs uzraksta latviski, pats valodu neprazdams. Teksts var skanēt oficiāli, draudzīgi, vadītāja balsī vai tehniski – atkarībā no tā, kam tas adresēts. Latvijā tam pievienojas vēl viens apstāklis: tirgus ir divvalodīgs, un viena kampaņa bez papildu izmaksām iznāk gan latviski, gan krieviski.

Otrā ir personalizācija. Uzbrucējs izlasa LinkedIn, uzņēmuma mājaslapu, preses relīzes, darba sludinājumus, komentārus sociālajos tīklos un publiskos dokumentus. MI no šīm druskām saliek konkrētu stāstu. Piemēram: „Sveiki, Jāni! Redzēju, ka komanda strādā pie jaunā loģistikas projekta. Pievienoju precizēto līguma projektu.“

Trešā ir apjoms. Simt personalizētu vēstuļu sagatavošana agrāk aizņēma dienas. Tagad tās ir minūtes. Kampaņu var ātri pārlikt uz citu uzņēmumu, citu nodaļu, citu valodu un citu amatu.

Rezultātā mazāk nejaušu mēstuļu un vairāk ziņojumu, kas iekļaujas parastā darba dienā.

Deepfake un viltus balss zvani

Vēl viens liels risks ir deepfake krāpšana. Deepfake ir mākslīgi radīts vai pārveidots audio, video vai attēls, kas izliekas par īstu cilvēku. Praksē tas nozīmē vienu: balss telefonā un seja ekrānā vairs nevienu neidentificē.

Šodien lielākais risks ir balss, tas ir, balss pikšķerēšana jeb vishing. Uzbrucējs atdarina vadītāja, kolēģa, ģimenes locekļa vai klienta balsi. Pietiek ar dažu sekunžu ierakstu no video, raidieraksta, tiešsaistes sapulces vai sociālā tīkla, lai mūsdienu rīki izveidotu pārliecinošu kopiju.

Tipisks scenārijs: grāmatvedībā ienāk zvans. Balss skan kā vadītāja balss. Viņš esot ceļā, paskaidrot nevarot, un rēķins esot jāapmaksā tūlīt. Vai personāldaļa saņem ziņu no „darbinieka“, kuram esot mainījies bankas konta numurs. Vai vecāki saņem zvanu no „bērna“, kurš iekūlies nepatikšanās un kuram steidzami vajag naudu.

Latvijā šī shēma nāk ar vietējo iepakojumu. Zvana it kā bankas drošības dienests vai policija, sarunas laikā zvanītājs lūdz apstiprināt darbību ar Smart-ID vai eParaksts mobile, un cilvēks paraksta nevis „drošības pārbaudi“, bet maksājumu vai kredīta pieteikumu. Vienīgais, kas šo ķēdi pārrauj, ir vienkāršs ieradums: nolikt klausuli un atzvanīt pašam uz numuru, kas ņemts no bankas mājaslapas, nevis no zvana.

Tā nav zinātniskā fantastika. Tā MI pārbīda krāpšanu no teksta uz balsi un attēlu.

Pazīmes un pārbaudes soļus apkopojām rakstā deepfake krāpšana un balss pikšķerēšana.

OSINT: ko uzbrucējs zina, pirms uzraksta pirmo rindu

OSINT ir informācijas vākšana no publiski pieejamiem avotiem. Skan tehniski, bet runa ir par ikdienišķām lietām: LinkedIn profili, uzņēmumu mājaslapas, konferenču fotogrāfijas, darbinieku saraksti, darba sludinājumi, publiskie reģistri, sociālie tīkli un komentāri zem ierakstiem.

Latvijā šis materiāls ir neparasti viegli pieejams. Uzņēmumu reģistrs bez maksas parāda amatpersonas un patiesā labuma guvējus, gada pārskati atklāj apgrozījumu un darbinieku skaitu, bet publisko iepirkumu dokumenti nosauc līgumu summas, kontaktpersonas un nereti arī izmantoto programmatūru. Darba sludinājums, kurā prasīta pieredze ar konkrētu sistēmu, uzbrucējam pasaka to, kas citādi būtu jāizlūko.

Uzbrucējam tas ir gatavs izejmateriāls. No tā izriet, kurš ir vadītājs, kurš sēž grāmatvedībā, kurš uztur sistēmas, kas ir piegādātāji un kad kurš dodas uz konferenci.

MI no šīm šķembām izveido ticamu ieganstu. Vairs nepienāk vēstule ar uzrunu „Cienījamais klient!“. Pienāk ziņojums, kas zina vārdu, projektu, amatu un uzņēmuma vārdu krājumu.

Kiberdrošība tātad nesākas tikai ar pretvīrusu programmu. Tā sākas arī ar to, ko publicējam par sevi un savu uzņēmumu.

Šīs tēmas praktisko pusi izklāstījām rakstā OSINT un publiskā informācija.

Aardvark, Mythos un automatizēta ievainojamību meklēšana

MI pārkārto arī kiberdrošības tehnisko pusi. Jaunākie modeļi lasa kodu, pamana aizdomīgas likumsakarības, pārbauda kļūdas un piedāvā labojumus. Aizstāvjiem, izstrādātājiem un drošības komandām tas ir nopietns ieguvums.

Viens piemērs ir Aardvark, ko vēlāk saistīja ar Codex Security un ko prezentēja kā aģentisku drošības pētnieku. Tā uzdevums ir analizēt pirmkodu, atrast programmatūras ievainojamības, apstiprināt tās un piedāvāt labojumu.

Otrs piemērs ir Mythos Preview, kas prata ievainojamības gan atrast, gan pierādīt, ka tās ir īstas. Aizsardzībai tā ir laba ziņa, jo šādi rīki kļūdu var atrast, pirms to izmanto kāds cits. Vienlaikus tas ir brīdinājums: ja MI palīdz aizstāvim, uzbrucējs sniegsies pēc tā paša rīka.

Tehniskās detaļas – izmantošanas koda uzbūve, operētājsistēmas kodols, atmiņas kļūdas – šeit nav svarīgas. Pietiek ar vienu principu: laiks starp ievainojamības atklāšanu un pirmo uzbrukumu saīsinās. Atjauninājumus, drošības pārbaudes un uzraudzību tāpēc vairs nevar atlikt „uz vēlāku laiku“.

Pašu MI integrāciju riskus apkopojām atsevišķi: LLM integrāciju ielaušanās testēšana.

MI aizsardzības pusē: labs rīks, slikts tiesnesis

Mākslīgais intelekts nav tikai drauds. Aizsardzības pusē tas ir spēcīgs rīks: filtrē pikšķerēšanas vēstules, pamana neparastu uzvedību, apkopo incidentus, izskata žurnālfailus un konfigurācijas un saīsina komandas reakcijas laiku.

Problēma nav MI. Problēma ir akla uzticēšanās.

MI var palīdzēt, bet nedrīkst lemt viens. Drošība joprojām balstās uz cilvēka uzraudzību, skaidriem noteikumiem, pārbaudi, daudzfaktoru autentifikāciju, rezerves kopijām, atjauninājumiem un veselīgu devu neuzticības.

Aizstāvja skatījumu izklāstījām atsevišķi: MI kā aizsardzība.

Ko darīt praksē

Neviena atsevišķa lietotne šo neatrisina. Kopā strādā daži vienkārši ieradumi un daži tehniski pasākumi.

Sākt ir vērts ar šo:

1. Pārbaudiet steidzamos lūgumus citā kanālā. Ja kāds prasa ātru maksājumu, atzvaniet uz zināmu numuru – nevis uz to, kas norādīts aizdomīgajā ziņojumā.
2. Ieslēdziet daudzfaktoru autentifikāciju. Latvijā ērtākie risinājumi ir Smart-ID un eParaksts mobile, der arī autentifikācijas lietotne vai aparatūras drošības atslēga. Paļauties tikai uz SMS kodu ir vājākais variants.
3. Neklikšķiniet uz saitēm refleksīvi. Labāk ievadiet adresi pārlūkā paši un pieslēdzieties savam kontam oficiālajā vietnē.
4. Apmāciet darbiniekus regulāri, nevis reizi gadā. MI pikšķerēšana mainās ātri, tāpēc darbinieku kiberdrošības apmācības der tikai tad, ja tās ir praktiskas.
5. Pierakstiet noteikumus par maksājumiem, konta numura maiņu un sensitīviem datiem. Neviens steidzams lūgums nedrīkst apiet kontroli. Konta numura maiņai der divu cilvēku apstiprinājums un atzvanīšana uz līgumā norādīto numuru.
6. Atjauniniet sistēmas un lietotnes. Jo ātrāk MI atrod kļūdu, jo vairāk nozīmes ir labojuma tempam.
7. Pārskatiet, ko publicējat par savu uzņēmumu. Mazāk publisku detaļu nozīmē mazāk munīcijas uzbrucējam.

Vai cilvēki īstu uzbrukumu atpazīs, lekcija neparāda. To parāda sociālā inženierija: saskaņotā tvērumā un ar rakstisku atļauju izspēlēti ziņojumi un zvani, pēc kuriem redzams, kurš kontroles posms nostrādāja un kurš ne.

Ko par to prasa Latvijas regulējums

Pienākumi šeit nav jauni. Jauns ir tikai iemesls tos atcerēties.

Nacionālās kiberdrošības likuma (turpmāk – NKDL) 25. panta piektās daļas 2. punkts nosaka, ka kiberdrošības pārvaldniekam ne retāk kā reizi gadā ir jāveic informācijas un komunikācijas tehnoloģiju drošības pārbaude un atbilstoši tās rezultātiem jāorganizē konstatēto trūkumu novēršana. Tas attiecas uz likuma subjektiem, nevis uz visiem uzņēmumiem, un pārbaudes metodi norma nenosaka.

Ja kompetentā kiberincidentu novēršanas institūcija paziņo par atklātu ievainojamību, NKDL 40. panta pirmā daļa dod tās novēršanai institūcijas noteikto termiņu, bet ne ilgāku par 90 dienām no informācijas saņemšanas. Ja objektīvu iemeslu dēļ ievainojamību šajā termiņā novērst nav iespējams, panta otrā daļa ļauj subjektam lūgt pagarinājumu, bet ne vairāk kā līdz 180 dienām no ievainojamības atklāšanas ziņojuma iesniegšanas brīža. Kad ievainojamību meklēšana kļūst automatizēta, šis kalendārs saspringst vairāk, nekā izskatās uz papīra.

Uzņēmumam ārpus NKDL tvēruma prasība bieži atnāk pa citu ceļu. Ministru kabineta noteikumu Nr. 397 41.2. apakšpunkts liek subjektam analizēt arī piegādes ķēdes riskus, tāpēc pārbaudes no apakšuzņēmēja pieprasa klients, uz kuru likums attiecas. Tā pati loģika strādā ar apdrošinātājiem un iepirkumu nolikumiem.

Un viena robeža, ko labāk pateikt uzreiz. HAXORIS ir Slovākijas uzņēmums, un mūsu darbs ir tehniska drošības testēšana un gatavības novērtēšana. NKDL 44. pantā noteikto atbilstības auditu neveicam.

Secinājums: mainījās nevis mērķis, bet uzbrukumu kvalitāte

Uzbrucēju mērķis ir palicis tas pats: nauda, dati, piekļuve un uzticēšanās. Mainījušies ir rīki. Pikšķerēšanas vēstule ir ticamāka, klonēta balss skan dzīvi, OSINT ir ātrāks, un ievainojamību meklēšana notiek arvien vairāk pati no sevis.

Laba ziņa ir tā, ka aizsardzībai nevajag sarežģītu risinājumu. Vesels saprāts, pārbaude citā kanālā, daudzfaktoru autentifikācija, apmācības, atjauninājumi un skaidri iekšējie noteikumi lielāko daļu uzbrukumu padara krietni dārgākus.

Kiberdrošība šodien nav tikai IT nodaļas lieta. Tā ir uzticēšanās jautājums. MI laikmetā vairāk nekā jebkad der vecais noteikums: „uzticies, bet pārbaudi“.

MI kā uzbrucējs – biežāk uzdotie jautājumi

Saistītie Haxoris pakalpojumi: sociālās inženierijas testi un pikšķerēšanas simulācijas