Şirketler yapay zekanın (AI) faydalarından yararlanmak için çalışırken, aynı zamanda onun kötü potansiyeline de dikkat etmeleri gerekiyor. Yapay zeka kaynaklı sosyal mühendislik saldırılarındaki artışın ortasında, deepfake’ler yeni ve ikna edici bir tehdit vektörü olarak ortaya çıktı. Bu yılın başlarında uluslararası bir şirket, bir finans çalışanının şirketin CFO’sunu taklit eden sahte bir video görüşmesine kanması sonucu 25 milyon dolar kaybetti. Böyle bir hikaye anormal gibi görünse de gerçek şu ki, üretken yapay zeka her zamankinden daha fazla veri yaratıyor; kötü aktörlerin saldırıları daha inandırıcı hale getirmek için kullanabileceği veriler. Ek olarak teknoloji, bu tür saldırıların çoğalmasını destekledi; tekli saldırılardan hızlı bir şekilde her biri söz konusu hedefe göre tasarlanmış on binlerce saldırıya dönüştü.
Deepfake’ler ve yapay zeka tarafından üretilen diğer sosyal mühendislik saldırıları daha yaygın ve ikna edici olmaya devam ettikçe, şirketlerin geleneksel tehdit istihbaratının ötesine geçmesi gerekiyor. Güvende kalabilmek için yapay zekadan yararlanmalı, segmentasyonu benimsemeli ve çalışanlarını sürekli eğitmeliler.
Ateşe ateşle karşılık vermek
Deepfakes, kötü aktörlerin kapıdan içeri girmesinin son derece karmaşık bir yoludur. Yapay zeka, Nijeryalı olduğu iddia edilen bir prensten tuhaf ifadelerle yazılmış bir e-posta almak yerine, kötü aktörlerin olağan tehlike işaretlerini maskeleyen son derece kişiselleştirilmiş ve ikna edici e-postalar göndermesine yardımcı olabilir. Ağa erişim sağladıktan sonra, hedefleri için ikna edici bir saldırı oluşturmak için kullanılabilecek verileri dışa aktarmaya, toplamaya ve paylaşmaya başlayabilirler. Bu nedenle şirketlerin, her kullanıcının programı ve davranışı için normal bir temel oluşturabilecek araçlara ihtiyacı var. Daha sonra, birisinin tuhaf saatlerde giriş yapması veya büyük miktarlarda bilgi depolaması gibi ortaya çıkan anormallikleri hızlı bir şekilde tespit etmek ve düzeltmek için yapay zekadan yararlanılabilir. Şüpheli etkinlikleri tespit etmek için yapay zekayı kullanan şirketler, tehlike işaretlerini ortaya çıkarmak için muazzam miktardaki gürültüyü eleyebilir.
Segmentasyonu benimseyin
Deepfake’lerin ve diğer sosyal mühendislik saldırılarının etkisi, segmentasyon yoluyla saldırı yüzeyinin önemli ölçüde daraltılmasıyla en aza indirilebilir. Son derece hassas verilere sahip devlet kurumlarının her zaman birkaç koruma halkası vardır: sınıflandırılmamış, sınıflandırılmış ve çok gizli ağlar. Bu, tüm şirketlerin benimsemesi gereken bir zihniyettir. Her şeyin tek bir ağda olması, söz konusu ağ sıfır güven ilkelerini kullansa bile son derece risklidir.
Aslında son Crowdstrike kesintisi havayollarını tamamen zayıflattı çünkü her şey tek bir ağ üzerinde bulunuyor ve bu da tek bir arıza noktası yaratıyor. En önemli verileri daha az kritik verilerden ayırmanın yanı sıra, standart mesajlaşma için Microsoft Teams’in kullanılması ve daha hassas konuşmalar için özel sohbet özelliği gibi farklı uygulamalara güvenmek de yararlı olabilir. Ağları, iletişim tarzlarını ve veri alanlarını bölümlere ayırmak, kötü bir aktör deepfake kullanarak kapıdan girse bile hassas bilgilere tam ve tam erişime sahip olamamasını sağlar.
Çalışanları eğitin
İdeal bir durumda, segmentasyon ve anormallik tespiti gerekli değildir çünkü kötü aktörler hiçbir zaman işin içine girmez; bu nedenle, çalışanları deepfake’lerin yükselişi konusunda eğitmek, şirket genelinde güvenliği sağlamanın en etkili yolu olabilir. Sıfır güven yalnızca bir teknoloji veya protokol değil, bir zihniyettir ve çalışanlara son derece çalışkan olmayı öğretmek uzun bir yol kat edebilir. Bir isteğin kötü amaçlı olma ihtimali küçük bile olsa, çalışanlar bunu isteğin geldiği kanalın dışından doğrulamaya teşvik edilmelidir. Bu, telefonu alıp sadece söz konusu kişiyi aramak anlamına gelebilir. Ek olarak, mevcut yetenekler hakkında bilgi vermek ve çalışanlara tıklamadan önce düşünmelerini hatırlatmak, deepfake’leri önlemenin basit ama etkili yollarıdır.
Toplamda, kötü aktörlerin kullanabileceği teknoloji gelişmeye devam edecek, ancak şirketler yapay zekayı kendileri konuşlandırarak, segmentasyonu benimseyerek ve çalışanlarını mevcut tehditler konusunda eğiterek değişimin hızına ayak uydurabilirler. Bu adımlar olmadan kuruluşlar, derin sahtekarlıklara ve diğer sosyal mühendislik saldırılarına karşı savunmasız kalacak, bu da verilerini ve itibarlarını riske atacaktır.
Reklam