Kunstig intelligens har gitt cyberkriminelle nye verktøy

AI har ikke skapt nye typer angrep, men den har endret hvor raskt og treffsikkert de gjennomføres, og i hvilket omfang. Vi ser tre utviklingstrekk som peker seg ut som spesielt relevante for norske virksomheter.

Deepfake-teknologi gjør identitet til en svakhet

AI har gjort det mulig å forfalske en stemme fra bare noen sekunder med lydopptak, og et ansikt fra noen få bilder eller en kort video – en podcast eller et foredrag kan være nok. I praksis betyr dette at en svindler kan ringe med stemmen til sjefen, og at et videomøte kan se ekte ut uten å være det.

Det mest kjente eksemplet er en sak fra Hongkong, der en ansatt overførte over 200 millioner kroner etter et videomøte der alle, inkludert økonomidirektøren, var generert av kunstig intelligens. Økokrim advarer om at denne typen angrep også vil bli forsøkt mot norske bedrifter.

AI-styrte boter som later som de er mennesker

En bot er et dataprogram som utfører oppgaver automatisk. De er gjerne blitt brukt til å teste stjålne passord mot ulike nettjenester i håp om å komme seg inn på andres kontoer. Disse programmene har vært relativt enkle å kjenne igjen og avsløre da de har jobbet i faste mønstre.

Med kunstig intelligens er disse nå i stand til å etterligne atferden til et menneske, med små pauser og variasjoner i hvordan de skriver og klikker. AI-agentene kan nå selv åpne, navigere og fylle ut skjemaer på nettsider. Det gjør det vanskeligere for sikkerhetstjenester å se forskjellen på et ekte innloggingsforsøk og et automatisert.

Raskere sårbarhetsjakt

Å kartlegge svakheter, som utdaterte systemer, feilkonfigurasjoner eller gamle brukerkontoer, har tidligere krevd tid og spesialkompetanse. Kunstig intelligens kan nå gjøre denne kartleggingen langt raskere og i mye større skala enn tidligere. Tiden fra et sikkerhetshull blir oppdaget til det utnyttes, er også redusert betraktelig.

Konsekvensen er at en angriper finner og utnytter dette sikkerhetshullet før bedriften selv gjør det.

Helhetlig sikkerhet er viktigere enn noen gang

Det finnes ikke noen enkelttiltak som stopper disse angrepene alene. Gode rutiner hjelper mot deepfake-svindel, men ikke mot automatiserte boter. Bot-håndtering stopper ikke falske telefonsamtaler. Morgendagens angrep krever et forsvar som henger sammen, ikke tiltak som løser ett problem hver for seg.