La evolución de las tecnologías de inteligencia artificial (IA), como ChatGPT de OpenAI, ha introducido un nuevo vector para los ataques de compromiso de correo electrónico empresarial (BEC). Este modelo de IA genera texto similar al humano en función de la entrada que recibe. Los ciberdelincuentes pueden aprovechar esta tecnología para automatizar la creación de correos electrónicos falsos muy convincentes, personalizados para el destinatario, lo que incrementa las posibilidades de éxito del ataque.
Guía para enviar BEC
Un ciberdelincuente mostró el potencial de utilizar la IA generativa para refinar un correo electrónico que podría usarse en un ataque de phishing o BEC. Recomiendan redactar el correo electrónico en el idioma nativo, traducirlo y luego introducirlo en una interfaz como ChatGPT para mejorar su sofisticación y formalidad. Este método presenta una clara implicación: los atacantes, incluso aquellos que no dominan un idioma en particular, ahora son más capaces que nunca de fabricar correos electrónicos persuasivos para ataques de phishing o BEC.
WormGPT
Los actores maliciosos están creando sus propios módulos personalizados similares a ChatGPT, pero más fáciles de usar para fines nefastos. Estos módulos se anuncian a otros actores maliciosos, lo que muestra cómo la ciberseguridad se está volviendo más desafiante debido a la creciente complejidad y adaptabilidad de estas actividades en un mundo moldeado por la IA.
La herramienta conocida como «WormGPT» está diseñada específicamente para actividades maliciosas. WormGPT es un módulo de IA basado en el modelo de lenguaje GPTJ, que se desarrolló en 2021. Cuenta con características como soporte ilimitado de caracteres, retención de memoria de chat y capacidades de formato de código.
WormGPT supuestamente fue entrenado en una amplia gama de fuentes de datos, concentrándose particularmente en datos relacionados con malware. Sin embargo, los conjuntos de datos específicos utilizados durante el proceso de capacitación permanecen confidenciales según lo decidido por el autor de la herramienta.
Beneficios de usar IA generativa para ataques BEC
¿Qué ventajas específicas confiere el uso de IA generativa para los ataques BEC?
- Gramática excepcional: la IA generativa puede crear correos electrónicos con una gramática impecable, haciéndolos parecer legítimos y reduciendo la probabilidad de que se marquen como sospechosos.
- Umbral de entrada reducido: el uso de IA generativa democratiza la ejecución de ataques BEC sofisticados. Incluso los atacantes con habilidades limitadas pueden usar esta tecnología, lo que la convierte en una herramienta accesible para un espectro más amplio de ciberdelincuentes.
El crecimiento de la IA trae nuevos vectores de ataque progresivos. La implementación de fuertes medidas preventivas es crucial. Las empresas deben desarrollar programas de capacitación extensos y actualizados regularmente destinados a contrarrestar los ataques de BEC, especialmente aquellos mejorados por IA.
Estos programas deben educar a los empleados sobre la naturaleza de las amenazas BEC, cómo se usa la IA para aumentarlas y las tácticas empleadas por los atacantes. Esta capacitación también debe incorporarse como un aspecto continuo del desarrollo profesional de los empleados.
Para fortalecerse contra los ataques BEC impulsados por IA, las organizaciones deben aplicar procesos estrictos de verificación de correo electrónico. Estos incluyen la implementación de sistemas que alertan automáticamente cuando los correos electrónicos que se originan fuera de la organización se hacen pasar por ejecutivos o proveedores internos, y el uso de sistemas de correo electrónico que marcan mensajes que contienen palabras clave específicas vinculadas a ataques BEC como «urgente», «sensible» o «transferencia bancaria». Estas medidas garantizan que los correos electrónicos potencialmente maliciosos se sometan a un examen exhaustivo antes de tomar cualquier medida.