Los Peligros de la IA: correos electrónicos de phishing generados por IA se acercan a la eficacia humana
2023-10-31 08:53:54
Un equipo de investigación de IBM está estudiando la eficacia de la IA generativa en ingeniería social y redacción de correos electrónicos de phishing.
Los investigadores utilizaron cinco mensajes ChatGPT para crear correos electrónicos de phishing para sectores específicos. Los mensajes se centraban en las principales preocupaciones de los empleados de esos sectores y seleccionaban específicamente técnicas de ingeniería social y marketing para aumentar la probabilidad de que los empleados hicieran clic en un enlace del correo electrónico.
El phishing con IA es casi tan bueno como el phishing humano, pero mucho más rápido
Los correos electrónicos de phishing generados por la IA y por humanos se enviaron a más de 800 empleados en una prueba A/B. Los resultados mostraron que los correos electrónicos de phishing generados por la IA eran sólo ligeramente inferiores a los generados por humanos. Los resultados mostraron que los correos electrónicos de phishing generados por IA sólo iban ligeramente por detrás de los generados por humanos.
Según IBM, el hecho de que los correos electrónicos generados por humanos siguieran teniendo ventaja se debió a que estaban más personalizados y adaptados a la empresa, mientras que ChatGPT adoptó un enfoque más genérico. Aun así, los ataques por correo electrónico de ChatGPT fueron casi iguales a los ataques humanos, aunque se notificaron como sospechosos con más frecuencia.
La diferencia está en el tiempo necesario: el equipo rojo de IBM tarda unas 16 horas en crear un correo electrónico de phishing de alta calidad. ChatGPT lo hizo en cinco minutos.
«Los atacantes pueden ahorrarse potencialmente casi dos días de trabajo utilizando modelos generativos de IA», escribe Stephanie Carruthers, hacker jefe de personas en IBM X-Force Red.
Los investigadores de IBM apuntan a herramientas como WormGPT, LLM optimizados para ciberataques que pueden comprarse en línea. Esperan que los ataques con IA se vuelvan más sofisticados y superen a los ataques humanos, aunque todavía no han visto ataques de phishing con IA generativa.
En este contexto, un cita reciente del consejero delegado de OpenAI, Sam Altman es digna de mención: Predice que la IA será «capaz de una persuasión sobrehumana» incluso antes de que, en general, sea intelectualmente superior a los humanos. Puedes imaginarte lo que esto significa para el phishing y la ciberseguridad.
Para prepararse ante el cambiante panorama de las amenazas, los investigadores de seguridad de IBM creen que las empresas y los consumidores deberían tener en cuenta las siguientes recomendaciones:
- En caso de duda, llame al remitente para verificar la legitimidad de un correo electrónico o una estafa telefónica.
- Supera el estereotipo gramatical y haz que los empleados sean conscientes de la extensión y complejidad del contenido de los correos electrónicos.
- Revise los programas de ingeniería social, incluida la incorporación a la formación de técnicas como el vishing.
- Refuerce los controles de gestión de identidades y accesos para verificar el acceso y los privilegios de los usuarios.
- Adaptarse e innovar continuamente para adelantarse a los malos actores.
