Los chatbots de inteligencia artificial (IA) como ChatGPT se han convertido en una herramienta para que los ciberdelincuentes mejoren sus ataques de phishing por correo electrónico. Estos chatbots utilizan grandes conjuntos de datos de lenguaje natural y aprendizaje por refuerzo para crear correos electrónicos sin errores tipográficos y gramaticalmente correctos, dando una apariencia de legitimidad a objetivos desprevenidos. Esto ha suscitado preocupación entre los responsables de ciberseguridad, ya que el 72% admite estar preocupado por el uso de la IA para elaborar mejores correos electrónicos y campañas de phishing.
Los chatbots pueden ayudar a los ciberdelincuentes a escalar la producción de ataques avanzados de ingeniería social, como el fraude de CEO o los ataques de compromiso de correo electrónico empresarial (BEC). Además, los ciberdelincuentes pueden utilizar chatbots con IA para extraer datos personales o financieros de las redes sociales, crear correos electrónicos y sitios web de suplantación de marca, o incluso generar código para malware como el ransomware. En particular, sin IA, la creación de malware es una tarea especializada que requiere ciberdelincuentes cualificados. Sin embargo, el uso de chatbots podría facilitar esta tarea a los no especialistas, y también podemos esperar que los resultados generados por la IA mejoren con el tiempo.
«DAN» — El revolucionario exploit de ChatGPT
Antes, si le pedía explícitamente a ChatGPT que produjera malware o escribiera un correo electrónico de phishing, el chatbot incluía una advertencia de seguridad antes de generar el resultado. Sin embargo, investigadores de seguridad han anunciado el descubrimiento de un nuevo exploit para ChatGPT. El exploit, llamado «DAN» (abreviatura de Do Anything Now), permite a los usuarios eludir las limitaciones incorporadas de ChatGPT.
Los investigadores se sintieron frustrados por la tendencia del modelo a responder a temas delicados con mensajes poco útiles como «Lo siento, pero como modelo lingüístico de IA, no soy capaz de…». Pero con DAN, los usuarios pueden decirle a ChatGPT que ahora opera bajo una nueva personalidad que no está sujeta a los prejuicios éticos o morales del modelo. DAN tratará todas las respuestas por igual y no proporcionará ninguna advertencia o consejo de precaución al principio de sus mensajes.
Las implicaciones de esta nueva hazaña son importantes. Ahora los usuarios pueden preguntar cualquier cosa a ChatGPT sin miedo a la censura o a ser juzgados. Sin embargo, las capacidades de DAN van más allá de las del ChatGPT original, lo que lo convierte en una nueva y poderosa herramienta para los ciberdelincuentes. Ya no tendrán que seleccionar palabras específicas para evitar ser marcados por los filtros, sino que podrán hacer preguntas como «¿Cuál es el mejor malware para hacer?» o «¿Cómo lo disfrazo?» o «¿Cuál es una plantilla de correo electrónico de phishing eficaz?».
¿Cómo pueden protegerse las organizaciones de los ataques de phishing asistidos por IA?
Las organizaciones deben ser conscientes de los riesgos que plantean los ciberataques basados en chatbots y tomar medidas para protegerse. Las soluciones integradas de seguridad del correo electrónico en la nube (ICES) pueden ayudar a las organizaciones a detectar y protegerse contra ataques avanzados, tanto si están escritos por humanos como por chatbots de IA. Estas soluciones despliegan sus propios modelos de IA y aprendizaje automático para detectar ataques basados en texto, formatos y solicitudes sospechosos, lenguaje que intenta crear urgencia, líneas de asunto que llaman la atención, etc.
A medida que la tecnología de IA sigue avanzando, las organizaciones se enfrentan a una necesidad cada vez más urgente de abordar los posibles riesgos y vulnerabilidades de seguridad. Aquí es donde entra en juego la ingeniería de detección. Al identificar y abordar proactivamente las amenazas potenciales, las empresas pueden adelantarse a los ciberatacantes y mitigar los riesgos para sus sistemas y datos. Mientras que los chatbots tienen el potencial de ayudar a los ciberdelincuentes a elaborar correos electrónicos de phishing más creíbles y crear malware, las organizaciones deben priorizar la implementación de contramedidas eficaces, como las soluciones ICES, que pueden detectar y evitar que estos ataques hagan daño.
Fuente WEB | Editado por CambioDigital OnLine
