Inviare mail di phishing con l’obiettivo di far aprire agli utenti un file dannoso o di far cliccare su un link per rubare le credenziali è una pratica sempre più comune, ma la maggior parte dei truffatori non è molto brava, e il tasso di successo è relativamente basso: nel 2021, il tasso medio di clic per una campagna di phishing era del 17,8%.
Mail di phishing generate dall’intelligenza artificiale, cosa c’è da sapere
Tuttavia, ora i criminali informatici dispongono dell’IA per scrivere le loro email, il che potrebbe migliorare notevolmente i loro tassi di successo nel phishing, ed ecco perché.
I vecchi indizi per capire se qualcosa era una mail di phishing erano:
- Chiede di aggiornare e compilare informazioni personali.
- L’URL nell’email e l’URL che appare quando si passa il mouse sopra al link sono diversi l’uno dall’altro.
- L’indirizzo “Da” è un’imitazione di un indirizzo legittimo, specialmente di un marchio noto.
- La formattazione e il design sono diversi da quelli che si ricevono di solito da un marchio.
- Il contenuto è scritto male e potrebbe includere errori di battitura.
- C’è un senso di urgenza nel messaggio, che ti incoraggia a eseguire rapidamente un’azione.
- L’email contiene un allegato che non ti aspettavi.
Mentre la maggior parte di questi sono ancora validi, ce ne sono alcuni che puoi eliminare dalla lista a causa dell’introduzione dell’IA.
Quando un truffatore utilizza un Large Language Model (LLM) come ChatGPT, poche istruzioni semplici sono sufficienti per far sembrare che l’email provenga dal mittente previsto, pertanto gli LLM non commettono errori grammaticali (oppure relativamente pochi) o aggiungono spazi extra tra le parole (a meno che non li si richieda).
Non sono limitati a una sola lingua; l’IA può scrivere la stessa email in ogni lingua desiderata e far sembrare che si stia trattando con un madrelingu ed è anche più facile creare email di phishing personalizzate per il destinatario previsto.
In generale, la quantità di lavoro necessaria per creare un’email di phishing efficace è stata drasticamente ridotta, e di conseguenza il numero di email di phishing è aumentato di conseguenza; nell’ultimo anno, c’è stato un aumento del 1.265% nelle email di phishing dannose e un aumento del 967% nel phishing delle credenziali in particolare.
A causa dell’IA, è diventato molto più difficile riconoscere le email di phishing, il che rende quasi impossibile per il software di filtraggio, secondo il fornitore di sicurezza email Egress, il 71% degli attacchi email creati tramite l’IA passa inosservato; quindi, come riconosci le email di phishing dell’IA?
Ecco alcune idee per capire se un testo è generato dall’AI oppure no:
- Il punto 4 sopra menzionato: la formattazione e il design sono diversi da quelli che si ricevono di solito da un marchio è molto utile. Confronta l’email con qualsiasi comunicazione precedente che hai dal presunto mittente e se ci sono incongruenze nel tono, nello stile o nel vocabolario, ciò potrebbe indicare che il messaggio è un tentativo di phishing.
- Il punto 5 : il contenuto è scritto male e potrebbe includere errori di battitura, pertanto le email di phishing dell’IA potrebbero ancora utilizzare saluti generici, come “Gentile utente” o “Gentile cliente”, invece di rivolgersi al destinatario per nome. Cerca anche firme generiche o non corrispondenti che non si allineano con la firma tipica del mittente.
- Il punto 7: L’email contiene un allegato che non ti aspettavi e se conosci la persona che ha inviato l’email ma non ti fidi del contenuto, contatta il mittente attraverso un metodo di comunicazione alternativo per verificare se l’ha effettivamente inviata.
Per le organizzazioni è importante avere una procedura chiara di segnalazione e seguire attivamente le email di phishing sospette segnalate, pertanto se i dipendenti non ricevono mai riscontri su una segnalazione di una email di phishing, sono meno propensi a segnalarne un’altra; un elogio per averne intercettata una va molto lontano, molto più degli comuni castighi e biasimi per aver cliccato su un link dannoso.
La formazione ripetitiva sul phishing che non si allinea al modo in cui gli utenti interagiscono con le email, né fornisce strumenti adeguati per rispondere a email ambigue, è una perdita di tempo, denaro e pazienza dell’impiegato.
E, soprattutto, assicurati che le tue comunicazioni, interne ed esterne, non assomiglino a tentativi di phishing.