2023-07-16 11:01:46
Los ciberdelincuentes utilizan cada vez más herramientas de IA generativa como ChatGPT o WormGPT, un modelo de malware específico, para enviar correos electrónicos falsos muy convincentes a las organizaciones, lo que les permite eludir las medidas de seguridad.
Una nueva oleada de correos electrónicos falsos muy convincentes está afectando a empleados desprevenidos. Así lo afirma el hacker informático británico Daniely Kelley, que ha estado investigando WormGPT, una herramienta de IA optimizada para ciberdelitos como el Business Email Compromise (BEC). Kelley se refiere concretamente a sus observaciones en foros clandestinos.
Además, se intercambian mensajes especiales conocidos como «jailbreaks» para manipular modelos como ChatGPT y generar resultados que podrían incluir la revelación de información sensible o la ejecución de código malicioso.
«Este método introduce una dura implicación: los atacantes, incluso los que carecen de fluidez en un idioma concreto, son ahora más capaces que nunca de fabricar correos electrónicos persuasivos para ataques de phishing o BEC», escribe Kelley.
Los correos electrónicos generados por IA son gramaticalmente correctos, lo que, según Kelley, hace más probable que pasen desapercibidos, y los modelos de IA fáciles de usar han reducido la barrera de entrada para los ataques.
WormGPT es un modelo de IA optimizado para el fraude en línea
WormGPT es un modelo de IA diseñado específicamente para actividades delictivas y maliciosas que se comparte en populares foros de ciberdelincuencia en línea. Se comercializa como una alternativa «blackhat» a los modelos GPT oficiales y se anuncia con protección de la privacidad y «dinero rápido».
Al igual que ChatGPT, WormGPT puede crear correos electrónicos convincentes y estratégicamente sofisticados. Esto lo convierte en una poderosa herramienta para sofisticados ataques de phishing y BEC. Kelley lo describe como ChatGPT «sin límites ni restricciones éticas».
WormGPT se basa en el modelo GPT-J de código abierto que se aproxima al rendimiento de GPT-3 y puede realizar tareas textuales similares a ChatGPT, así como escribir o formatear código simple. Se dice que el derivado de WormGPT ha sido entrenado con conjuntos de datos de malware adicionales, aunque el autor de la herramienta de pirateo no los revela.
Kelley probó WormGPT en un correo electrónico de phishing diseñado para engañar a un representante de atención al cliente para que pagara una factura falsa urgente. El remitente del correo electrónico era el director general de la empresa objetivo (ver captura de pantalla).
Kelley califica los resultados del experimento de «inquietantes» y el correo electrónico fraudulento generado de «notablemente persuasivo, pero también estratégicamente astuto». Incluso los ciberdelincuentes sin experiencia podrían suponer una amenaza significativa con una herramienta como WormGPT, escribe Kelley.
La mejor protección contra los ataques BEC basados en IA es la prevención
A medida que las herramientas de IA sigan proliferando, surgirán nuevos vectores de ataque, por lo que es esencial contar con fuertes medidas de prevención, afirma Kelley. Las organizaciones deben desarrollar una formación específica sobre BEC y aplicar medidas mejoradas de verificación del correo electrónico para protegerse contra los ataques BEC basados en IA.
Por ejemplo, Kelley cita las alertas de correos electrónicos procedentes de fuera de la organización que suplantan la identidad de directivos o proveedores. Otros sistemas podrían marcar mensajes con palabras clave como «urgente», «sensible» o «transferencia bancaria», que se asocian a ataques BEC.
