网络钓鱼攻击就是利用虚假身份和欺骗手段，通过网站、语音、短信、邮件、Wi-Fi等途径，诱导用户泄露用户名、密码、银行账户等个人敏感信息的一种网络攻击方式。
网络安全是一场持续不断的攻防竞赛，随着防御策略的不断改进，攻击者也在持续寻求增强攻击效果的新技术。研究人员发现，在目前广泛流行的网络钓鱼活动中，AI技术的采用和传播速度正在惊人发展，甚至会在不久的将来完全淘汰传统的人工网络钓鱼攻击。企业组织该如何面对这一安全挑战?
AI网络钓鱼攻击的新挑战
简单来说，网络钓鱼攻击就是利用虚假身份和欺骗手段，通过网站、语音、短信、邮件、Wi-Fi等途径，诱导用户泄露用户名、密码、银行账户等个人敏感信息的一种网络攻击方式。随着人工智能变得越来越容易获得和先进，威胁行为者也正在利用这种技术改造传统的网络钓鱼攻击活动，并带来了以下安全挑战：
- 更熟练地利用社会工程：AI技术能够更熟练地利用的社会工程技巧，使得网络钓鱼活动更加有效。通过利用AI技术，攻击者可以访问的大量数据，从而为每个攻击目标量身定制个性化网络钓鱼电子邮件。这种个性化无疑会增加攻击意图被检测出的难度。
- 生成更真实的欺诈内容：通过AI技术生成的钓鱼内容在语法、风格和语气等方面都会更加接近于合法的通信，使欺诈信息难以被检测;
- 增强钓鱼攻击的可扩展性：AI技术可以帮助网络钓鱼活动自动执行攻击的不同阶段，例如电子邮件创建、分发和处理响应。攻击的自动化将使得更多的企业和用户成为攻击目标。
- 自适应的规避检测：AI可以帮助攻击者根据攻击反馈进行效果进化，这使得现有的安全防护系统很难跟上网络钓鱼策略的改进步伐。网络钓鱼者在AI的加持下，能够采用多种规避手段绕过反网络钓鱼措施或电子邮件过滤器。AI的自适应能力将帮助攻击者不断改进他们的攻击策略，使检测和缓解这些类型的网络钓鱼攻击变得更加困难。
- 钓鱼攻击目标定位更准确：AI技术能够收集和分析目标企业的大量公开信息。这些数据将用于量身定制网络钓鱼的剧本。因为这些信息对受害者来说是相关和真实的，因此将大大增加攻击的成功率。
- 创建深度伪造(deepfakes)：网络钓鱼攻击活动并不仅限于书面文字，一种常见的变体是涉及语音通话的“语音钓鱼”(vishing)。AI使攻击者能够模仿录制特定人的声音，并创建令人信服的虚假录音。
积极应对AI时代的新型网络钓鱼
尽管网络钓鱼攻击者已经将AI用于攻击目的，但企业用户和网络安全厂商必须勇敢迎接挑战，并争取领先于新型网络钓鱼攻击。有一些积极的措施和尝试，可以在很大程度上帮助企业应对AI增强的网络钓鱼攻击。
1、部署AI/ML支持的高级威胁检测系统
为复杂的网络钓鱼攻击提供动力的AI技术同时也是击败它们的绝佳工具。企业应该将AI和ML技术集成到现有的网络安全系统中，提升对新型威胁的预测分析能力。在AI技术的帮助下，这些系统也可以从每次攻防对抗中学习，并随着时间的推移变得更聪明、更有效，通过分析异常用户的行为模式和习惯，新一代高级威胁检测系统有能力识别潜在的钓鱼攻击。
2、设计便捷的网络钓鱼报告机制
为了更有效地应对AI增强的新型网络钓鱼攻击，企业应该及时提醒安全人员注意正在发生的网络钓鱼活动，而便捷的报告机制可以让企业快速通知每一个员工，并为反网络钓鱼工具和人工智能检测模型提供关键输入。
在便捷的网络钓鱼报告机制中，除了要使提交报告变得容易，还要确保该机制能够捕获尽可能多的钓鱼活动信息，以提高其价值并使其具有可操作性。网络钓鱼报告机制应该成为企业构建强大安全防护基础设施的重要组成部分，特别在AI钓鱼活动逐渐泛滥的背景下，有效的报告变得尤为重要，因为攻击者也会通过自动化收集和整合各类信息来扩展网络钓鱼攻击的能力。
3、采用更有效的身份验证措施
基于密码的身份验证本质上容易受到新型网络钓鱼的影响，但另一方面，目前已经有很多可以很好低于网络钓鱼的身份验证新方法。Passkey技术正是能够有效抵御网络钓鱼的身份验证模式之一，它正变得越来越主流。此外，如果采用多因素身份验证(MFA)方式，将会给企业应对新型网络钓鱼活动增加另外一层安全性。即使网络钓鱼攻击成功地迷惑了员工，组织仍然可以通过MFA来阻止攻击者对敏感数据的访问。MFA需要多种形式的身份验证，攻击者仅使用被盗凭据则无法获得对关键数据的访问权限。
4、部署电子邮件安全网关
如今，主流的电子邮件安全网关系统在应对电子邮件钓鱼攻击时已经变得非常强大，它们会在审查收到的电子邮件时使用先进的AI算法，全面分析电子邮件的各项安全指标，例如发件人的安全声誉、链接和附件。通过应有电子邮件安全网关，企业可以在钓鱼邮件被用户实际打开前有效地识别和过滤掉。
5、重视员工安全意识培养
通过技术手段抵御网络钓鱼活动无疑是重要的，但在击败AI网络钓鱼方面，人是抵御网络钓鱼攻击的第一道防线，人的因素永远都是最重要的组成部分。反网络钓鱼，归根结底是要将所有员工的网络安全素养提高教育。对此，企业要高度重视培养员工和合作伙伴识别网络钓鱼的能力，保证普适性的网络安全意识培训，并确保一些掌握较大权限的用户能够抵挡比较高级的钓鱼攻击。
参考链接：
https://www.tripwire.com/state-of-security/navigating-new-waters-ai-powered-phishing-attacks。
https://www.automation.com/en-us/articles/may-2023/how-defend-ai-powered-phishing-attacks-data。
https://www.csoonline.com/article/574745/7-guidelines-for-identifying-and-mitigating-ai-enabled-phishing-campaigns.html。
责任编辑：山木
来源： 安全牛
相关文章