AI ako útočník: phishing, deepfaky a nové kybernetické hrozby
Umelá inteligencia je dnes všade. Pomáha písať texty, analyzovať dáta, prekladať, programovať, odpovedať zákazníkom a zrýchľovať prácu. Lenže každá silná technológia má aj druhú stranu. To, čo pomáha bežným ľuďom a firmám, môže pomáhať aj útočníkom.
A práve v AI kybernetickej bezpečnosti to začíname vidieť veľmi výrazne. Útočník už nemusí byť génius, ktorý celé dni hľadá chyby v systémoch. Veľmi často mu stačí niečo jednoduchšie: presvedčiť človeka, aby klikol na odkaz, zadal heslo, poslal faktúru, otvoril prílohu alebo prezradil kód z SMS.
Preto phishing zostáva jedným z najjednoduchších spôsobov, ako sa dostať k peniazom, účtom, dátam alebo firemným systémom. A AI ho robí ešte presvedčivejším.
Tento článok berte ako pilierový rozcestník k sérii o AI a kybernetických hrozbách. Detailnejšie návody rozoberajú AI phishing, deepfake podvody a vishing, AI a OSINT, Mythos, Aardvark a AI hľadanie zraniteľností, umelú inteligenciu ako obranu a ochranu detí online.
Prečo je phishing stále taký účinný
Phishing funguje preto, že neútočí primárne na technológiu. Útočí na človeka.
Útočník nemusí prelomiť firewall, keď dokáže presvedčiť zamestnanca, aby mu sám odovzdal prihlasovacie údaje. Nemusí hľadať zložitú zraniteľnosť v systéme, keď niekto otvorí škodlivú prílohu. Nemusí hacknúť banku, keď dokáže človeka vystrašiť, že jeho účet bude zablokovaný.
Phishing využíva emócie. Najčastejšie strach, zvedavosť, stres, časový tlak alebo dôveru v autoritu. Typické správy vyzerajú napríklad takto:
- „Vaša zásielka nemohla byť doručená. Kliknite sem.“
- „Váš účet bude zablokovaný do 24 hodín.“
- „Prosím, urgentne uhraď túto faktúru.“
- „Potrebujem od teba overovací kód, riešime incident.“
- „Tu je dokument k dnešnému stretnutiu.“
V minulosti sa phishing často dal spoznať podľa zlej gramatiky, čudného prekladu alebo neprofesionálneho vzhľadu. Dnes to už neplatí. AI dokáže napísať e-mail v dobrej slovenčine, prispôsobiť tón konkrétnej firme a vytvoriť správu, ktorá pôsobí prirodzene.
Praktický checklist k tejto téme nájdete v samostatnom návode čo je AI phishing a ako ho rozpoznať.
Ako AI posilňuje sociálne inžinierstvo
Sociálne inžinierstvo znamená, že útočník manipuluje človeka, nie systém. Snaží sa vyvolať dôveru a dostať obeť do situácie, kde koná rýchlo a bez overenia.
AI tomuto procesu pomáha v troch hlavných oblastiach.
Po prvé, zlepšuje jazyk. Útočník môže napísať správu po slovensky, anglicky, nemecky alebo česky bez toho, aby daný jazyk ovládal. Text môže znieť formálne, priateľsky, manažérsky alebo technicky. Presne podľa toho, na koho cieli.
Po druhé, zlepšuje personalizáciu. Útočník si môže pozrieť LinkedIn, firemný web, tlačové správy, pracovné pozície, komentáre na sociálnych sieťach a verejné dokumenty. AI mu potom pomôže z týchto informácií vytvoriť konkrétny príbeh. Napríklad: „Ahoj Peter, videl som, že riešite nový projekt pre klienta v logistike. Posielam aktualizovaný návrh zmluvy.“
Po tretie, zlepšuje škálovanie. Kedysi bolo náročné pripraviť stovky kvalitných personalizovaných správ. Dnes to môže byť otázka minút. Útočníci môžu rýchlo vytvárať kampane pre rôzne firmy, oddelenia, jazyky a pracovné role.
Výsledok? Menej náhodného spamu, viac presvedčivých správ, ktoré pôsobia ako bežná pracovná komunikácia.
Deepfaky a falošné hlasové hovory
Ďalšou veľkou témou sú deepfaky. Deepfake je umelo vytvorený alebo upravený obraz, video alebo hlas, ktorý sa tvári ako skutočný človek. Pre bežného človeka to znamená jednoduchú vec: už sa nedá automaticky veriť tomu, že keď niekoho počujete alebo vidíte na obrazovke, je to naozaj on.
Najväčšie riziko dnes predstavujú hlasové podvody, často označované ako vishing. Útočník môže napodobniť hlas šéfa, kolegu, rodinného príslušníka alebo zákazníka. Stačí krátka vzorka hlasu z videa, podcastu, online mítingu alebo sociálnych sietí a moderné nástroje dokážu vytvoriť veľmi presvedčivú napodobeninu.
Predstavte si situáciu: finančné oddelenie dostane telefonát. Na druhej strane je hlas, ktorý znie ako riaditeľ. Hovorí, že je na ceste, nemá čas vysvetľovať, ale treba okamžite zaplatiť faktúru. Alebo HR oddelenie dostane správu od „zamestnanca“, ktorý žiada zmenu čísla účtu na výplatu. Alebo rodičovi zavolá „dieťa“, že je v probléme a potrebuje rýchlo poslať peniaze.
Toto už nie je sci-fi. Je to praktická ukážka toho, ako AI mení podvody z textových správ na hlasové a video manipulácie.
Podrobnejší návod k hlasovým podvodom rozoberá článok deepfake podvody a vishing.
OSINT: útočník často používa informácie, ktoré sme sami zverejnili
OSINT znamená získavanie informácií z verejne dostupných zdrojov. Znie to technicky, ale v praxi ide o veci, ktoré vidíme každý deň: LinkedIn profily, firemné weby, fotografie z konferencií, zoznamy zamestnancov, pracovné inzeráty, verejné registre, sociálne siete alebo komentáre pod príspevkami.
Pre útočníka sú tieto informácie veľmi cenné. Vie zistiť, kto je CEO, kto rieši financie, kto má na starosti IT, akých dodávateľov firma používa, aké technológie hľadá v pracovných ponukách a kedy má tím konferenciu alebo dovolenku.
AI potom tieto kúsky informácií spojí do presvedčivého príbehu. Nie je to už všeobecný e-mail typu „vážený zákazník“. Je to správa, ktorá pozná meno, kontext, projekt, pozíciu a jazyk firmy.
Preto je dôležité uvedomiť si, že kybernetická bezpečnosť nezačína až pri antivíruse. Začína aj pri tom, čo o sebe a firme verejne zdieľame.
Ak chcete znížiť digitálnu stopu firmy, pokračujte článkom AI a OSINT: ako útočníci využívajú verejné informácie.
Autonómne hľadanie zraniteľností: Aardvark, Mythos a nová realita
Popri phishingu sa mení aj technickejšia časť kybernetickej bezpečnosti. Nové AI modely dokážu čítať kód, hľadať podozrivé miesta, testovať chyby a navrhovať opravy. To je obrovská pomoc pre obrancov, vývojárov a bezpečnostné tímy.
Príkladom je Aardvark, neskôr spájaný s Codex Security, ktorý bol predstavený ako agentický bezpečnostný výskumník. Jeho úlohou je analyzovať zdrojový kód, hľadať zraniteľnosti, overovať ich a navrhovať opravy.
Ďalším príkladom je Mythos Preview, ktorý ukázal veľmi silné schopnosti v oblasti hľadania a validácie zraniteľností. Pre obrancov je to dobrá správa, pretože podobné nástroje môžu zrýchliť odhaľovanie chýb skôr, než ich niekto zneužije. Zároveň je to však varovanie: ak AI dokáže pomáhať obrane, podobné schopnosti budú chcieť zneužiť aj útočníci.
Nie je potrebné, aby bežný človek rozumel detailom exploitov, kernelov alebo pamäťových chýb. Dôležité je pochopiť princíp: čas medzi objavením chyby a jej možným zneužitím sa skracuje. Firmy preto nemôžu odkladať aktualizácie, bezpečnostné kontroly a monitoring na „niekedy neskôr“.
Technickejšiu časť tejto témy rozoberá článok Mythos, Aardvark a AI hľadanie zraniteľností.
AI ako obrana: dobrý sluha, zlý pán
Umelá inteligencia však nie je iba hrozba. Je aj silný obranný nástroj. Vie pomáhať filtrovať phishing, odhaľovať podozrivé správanie, sumarizovať incidenty, analyzovať logy, kontrolovať konfigurácie a pomáhať bezpečnostným tímom reagovať rýchlejšie.
Problém nie je AI samotná. Problém je nekritická dôvera.
AI môže pomôcť, ale nemala by byť jediným rozhodcom. Pri bezpečnosti stále potrebujeme ľudský dohľad, pravidlá, overovanie, viacfaktorové prihlasovanie, zálohy, aktualizácie a zdravú mieru podozrievavosti.
Pozitívnu stránku AI v bezpečnosti rozoberáme v článku umelá inteligencia ako obrana.
Ako sa brániť v praxi
Najlepšia ochrana nie je jedna zázračná aplikácia. Je to kombinácia jednoduchých návykov a technických opatrení.
Začnite týmito krokmi:
- Overujte urgentné požiadavky iným kanálom. Ak vám niekto píše, že treba rýchlo zaplatiť faktúru, zavolajte mu na známe číslo. Nie na číslo uvedené v podozrivej správe.
- Používajte viacfaktorové overenie. Ideálne cez aplikáciu alebo bezpečnostný kľúč, nielen cez SMS.
- Neklikajte na odkazy v správach bez rozmýšľania. Prihláste sa radšej priamo cez oficiálnu stránku.
- Školte ľudí pravidelne, nie raz za rok. Phishing sa mení rýchlo a tréning musí byť praktický.
- Nastavte firemné pravidlá pre platby, zmeny účtov a citlivé údaje. Žiadna urgentná požiadavka by nemala obísť kontrolu.
- Aktualizujte systémy a aplikácie. Pri nových AI nástrojoch na hľadanie zraniteľností bude rýchlosť opráv čoraz dôležitejšia.
- Sledujte, čo zverejňujete. Menej verejných detailov znamená menej munície pre útočníkov.
Záver: AI nezmenila cieľ útokov. Zmenila ich kvalitu
Cieľ útočníkov zostáva rovnaký: peniaze, dáta, prístupy, dôvera. Zmenili sa však nástroje. Phishing je presvedčivejší, deepfake hlas znie reálnejšie, OSINT je rýchlejší a hľadanie zraniteľností je čoraz viac automatizované.
Dobrá správa je, že obrana nemusí byť komplikovaná. Väčšina útokov sa dá výrazne sťažiť kombináciou zdravého rozumu, overovania, MFA, školení, aktualizácií a jasných interných pravidiel.
Kybernetická bezpečnosť dnes nie je iba o IT. Je o dôvere. A v dobe umelej inteligencie platí jednoduché pravidlo: dôveruj, ale overuj.