4 min leestijd
AI versnelt aanvallen, voorbereiding moet volgen
Op een donderdag om 22.40 uur, terwijl de IT van een distributiebedrijf met 300 medewerkers tegen ransomware vecht, ontvangt de financiële directrice een spraakbericht van de algemeen directeur, die op reis is. Hij vraagt haar nog vanavond een leverancier te betalen wiens bankgegevens zijn gewijzigd, en daarvoor niet langs de gebruikelijke goedkeuring te gaan, bij gebrek aan tijd. De stem is de zijne, en de mail die volgt is foutloos geschreven en vermeldt het juiste bestelnummer. Alles is vals, vervaardigd uit openbare opnames en informatie die online te vinden was. Het bedrijf is fictief. Het scenario zelf is van het soort dat generatieve kunstmatige intelligentie gemakkelijker heeft gemaakt, en het dwingt tot de vraag wat ze verandert aan de voorbereiding op cyberincidenten.
Wat verandert aan de kant van de aanvaller
Generatieve kunstmatige intelligentie heeft cybercriminaliteit niet uitgevonden. Ze heeft sommige stappen goedkoper en sneller gemaakt, te beginnen bij de meest zichtbare, het phishingbericht. Enkele jaren geleden verraadde een frauduleuze mail zich vaak door gebrekkige spelling of een vreemde zinswending. Vandaag kan een bericht in de taal van de ontvanger worden geschreven, op zijn functie worden afgestemd aan de hand van openbare informatie en op grote schaal met varianten worden verstuurd. Een gekloonde stem en een vervalste video dienen dan weer om zich als een directielid voor te doen, en overschrijvingsfraude die op die manier is gepleegd, is gemeld. Tools voor verkenning of programmeren, lang voorbehouden aan ervaren aanvallers, komen binnen het bereik van minder gevorderde profielen.
Het praktische gevolg is ongemakkelijk. De waarschuwingssignalen die men leerde in sensibiliseringsopleidingen, zoals taalfouten, verdwijnen stilaan, en een medewerker die heeft geleerd ze te zoeken, kan zich veilig voelen bij een bericht dat er geen bevat. Sensibilisering moet dus van onderwerp veranderen: minder fouten opsporen, meer via een tweede kanaal controleren wat om geld, een toegang of een uitzondering vraagt.
Wat verandert aan de kant van de verdediging, en de grenzen ervan
De verdediging beschikt over dezelfde tools. Kunstmatige intelligentie helpt alerts te sorteren, logs samen te vatten, een eerste ontwerp van een mededeling op te stellen of een bericht voor een buitenlandse klant te vertalen, en ze wint tijd waar die het meest ontbreekt. Het zou absurd zijn zich ervan te onthouden. Ze heeft echter een zwakte die in een crisis zwaar weegt: ze vergist zich met overtuiging, en een verkeerd, goed geformuleerd antwoord leest precies als een juist antwoord.
Tijdens een incident is het schaarse goed echter het vaststaande feit: wat weet men echt, sinds wanneer, met welke mate van zekerheid? Een mededeling die een model opstelt op basis van onvolledige informatie zal vlot zijn en kan onjuist zijn, en niemand heeft de tijd om ze zin voor zin na te gaan. Ze vraagt dus altijd iemand die weet wat waar is, wat van de menselijke nalezing, meer dan van het opstellen, de echte flessenhals maakt. Een team dat dat heeft begrepen, gebruikt ze om tijd te winnen op de vorm, nooit om over de inhoud te beslissen.
Het vergeten risico: AI in de crisiscel
Er bestaat een risico dat bedrijven zelden voorzien, omdat het niet van een aanvaller komt maar van het team zelf. Onder druk kopieert iemand het incidentlogboek, een klantenlijst of het losgeldbericht in een openbare assistent om sneller te gaan. Persoonlijke en vertrouwelijke gegevens verlaten dan de organisatie, midden in een incident, op het moment dat ze het minst in staat is het te merken. Het gebaar is begrijpelijk: de tool staat open in een ander tabblad, de taak is dringend en niemand heeft gezegd dat het verboden was. Het kan nochtans een tweede probleem aan het eerste toevoegen, met name op het vlak van gegevensbescherming.
Dat beslist men vóór de crisis, want men kan het niet in de hitte van het moment afwegen. Het komt erop aan te bepalen welke AI-tools tijdens een incident zijn toegestaan, welke informatie men er nooit in plakt en wie in de crisiscel het team daaraan herinnert wanneer de vermoeidheid toeslaat. Een richtlijn van drie regels, door iedereen gekend en herhaald, volstaat daarvoor.
Oefenen op bedrog, en sneller voorbereiden
Terug naar de financiële directrice van 22.40 uur. Weten dat dit soort fraude bestaat, volstaat voor haar niet: belangrijk is te weten of de controleprocedure, namelijk de directeur terugbellen op een bekend nummer en een tweede goedkeuring eisen voor elke wijziging van bankgegevens, standhoudt wanneer iedereen moe is en het incident alle aandacht opeist. Dat is testbaar, op voorwaarde dat men het in een oefening stopt. Een goed scenario bevat voortaan een identiteitsfraude: een telefoontje “van de algemeen directeur” dat vraagt de gebruikelijke goedkeuring te omzeilen, een valse mail van een leverancier die midden in het incident binnenkomt met nieuwe bankgegevens. Dan kijkt men wat de groep doet, en niet wat ze zegt dat ze zou doen.
Kunstmatige intelligentie kan ook de voorbereiding dienen in plaats van de aanval, door de kosten ervan te verlagen. Een scenario afstemmen op uw sector, uw systemen en uw rollen vroeg dagen handwerk, wat verklaart waarom weinig organisaties vaak oefenen. UnderCrisis gebruikt ze om de oefening te genereren op basis van de context van uw organisatie, en de beslissingen blijven die van uw teams. Als aanvallen aan snelheid winnen, kan de voorbereiding geen jaarlijks project meer blijven: ze moet zo vaak kunnen worden herhaald als de situaties veranderen.