AI maakt phishing-aanvallen en andere cybercriminaliteit hyperrealistisch, goedkoop en op enorme schaal uitvoerbaar, waardoor vooral MKB-bedrijven kwetsbaarder worden. Criminelen gebruiken grote taalmodellen niet alleen voor massa-spam, maar ook voor geavanceerde, gerichte aanvallen, deepfake video’s en het automatisch zoeken naar kwetsbaarheden in systemen, waardoor de drempel om aan te vallen daalt en het volume toeneemt.

Wat er aan de hand is

Sinds de introductie van ChatGPT eind 2022 gebruiken cybercriminelen actief generatieve AI om hun operaties een boost te geven. Volgens het artikel in Technology Review zetten ze de technologie in voor uiteenlopende taken: het opstellen van overtuigende phishing-mails, het maken van hyperrealistische deepfake video’s, het aanpassen van malware om detectie te omzeilen, en het automatiseren van het zoeken naar kwetsbaarheden in netwerken. Interpol waarschuwde dat oplichtingscentra in Zuidoost-Azië goedkope AI-tools omarmen om snel meer potentiële slachtoffers te targeten. Daarnaast claimden de Verenigde Arabische Emiraten recent een reeks AI-gestuurde aanvallen op vitale sectoren te hebben verijdeld. Het probleem wordt verergerd doordat de publiek beschikbare AI-systemen steeds beter worden; AI-bedrijf Anthropic claimde dat een getest model duizenden kritieke kwetsbaarheden vond in alle grote besturingssystemen en webbrowsers.

Wat dit betekent

Voor ondernemers en professionals betekent dit een concrete toename van het risico. AI maakt aanvallen niet per se slimmer, maar wel veel efficiënter en schaalbaarder. Waar je voorheen misschien een slecht geschreven phishing-mail gemakkelijk kon herkennen, kunnen die nu perfect lijken op communicatie van een collega, leverancier of de bank. Deepfakes kunnen worden gebruikt voor CEO-fraude, waarbij een nep-videogesprek wordt gebruikt om een financiële overboeking te legitimeren. Voor MKB-bedrijven, die vaak over minder gespecialiseerde IT-beveiliging beschikken dan grote corporates, is de impact groot. De aanvallen hoeven niet eens heel geavanceerd te zijn; door het enorme volume is het een kwestie van geluk hebben dat een mail of link bij een onoplettende medewerker terechtkomt. De combinatie van hogere kwaliteit en grotere kwantiteit zet de cyberbeveiliging onder extra druk.

Hoe je dit kunt toepassen

De praktische aanpak verschuift van alleen het filteren van spam naar het trainen van alertheid en het implementeren van simpele, robuuste procedures.

Als je een klein team aanstuurt… organiseer dan regelmatig, korte trainingen over de nieuwe vormen van phishing. Laat concrete voorbeelden zien van hoe een AI-gestuurde phishing-mail eruit kan zien: perfect Nederlands, met de juiste aanhef en zonder spelfouten. Leer medewerkers om altijd de afzender te controleren (niet alleen de weergavenaam) en bij twijfel niet via de mail te reageren, maar de collega of contactpersoon even te bellen via een bekend nummer.

Als je financiële transacties moet goedkeuren… voer een ‘four-eyes-principe’ in voor alle betalingen boven een bepaald bedrag, waarbij twee personen onafhankelijk van elkaar moeten instemmen. Stel een vaste, geverifieerde communicatielijn (bijvoorbeeld een beveiligde bedrijfsapp of een telefonische code) in voor het bevestigen van betaalverzoeken, vooral als die via mail of onverwacht via een videocall worden aangevraagd. Een deepfake-verzoek moet dan via dit tweede, vertrouwde kanaal worden geverifieerd.

Als je verantwoordelijk bent voor IT in een MKB… focus je dan minder op het proberen alle geavanceerde aanvallen te blokkeren en meer op het beperken van schade. Zorg ervoor dat gebruikersaccounts de minst mogelijke rechten hebben (het ‘principle of least privilege’), zodat een gehackt account niet meteen toegang heeft tot alles. Implementeer multi-factorauthenticatie (MFA) op alle systemen waar dat mogelijk is, niet alleen voor e-mail. Maak regelmatig, geautomatiseerde back-ups van cruciale data en test of je die back-ups ook daadwerkelijk kunt terugzetten.

Als je zelf veel online communiceert met klanten of partners… wees je bewust van je digitale voetafdruk. Informatie die je openbaar deelt op LinkedIn of je website kan worden gebruikt om een gerichte phishing-mail te personaliseren. Overweeg om minder specifieke taakomschrijvingen of contactgegevens openbaar te maken. Spreek af met belangrijke contacten hoe jullie gevoelige informatie of verzoeken zullen bevestigen, zodat er een protocol ligt bij een onverwacht bericht.

Bron: Technologyreview