Yapay zekâ destekli kimlik avı, saldırganın aldatıcı e-posta, mesaj veya ses içeriğini elle yazmak yerine üretken dil modellerine ürettirdiği bir saldırı biçimidir. Eski kimlik avı kampanyalarını ele veren bozuk dilbilgisi, tuhaf çeviri ve genel hitap kalıpları bu yöntemde ortadan kalkar; mesaj hedefin diline, sektörüne ve hatta yazışma tarzına uyar.

Yapay zekâ destekli kimlik avı, aldatmayı el işçiliği olmaktan çıkarıp ölçeklenebilir, kişiye özel ve dil hatasız bir üretim hattına dönüştürür.

Saldırı Nasıl Kurgulanır?

Saldırgan önce hedef hakkında halka açık kaynaklardan bilgi toplar: unvan, yöneticinin adı, kullanılan yazılımlar, son katıldığı etkinlik. Ardından bu bağlamı modele vererek hedefin beklediği türden bir mesaj ürettirir; örneğin muhasebe müdürüne, gerçek bir tedarikçinin ödeme talebini taklit eden bir e-posta. Model aynı senaryonun onlarca farklı sürümünü saniyeler içinde ürettiğinden, savunma tarafının kalıp tanıma yeteneği zayıflar.

Neden Daha Tehlikeli?

Klasik farkındalık eğitimlerinin belkemiği olan ipuçları -imla hataları, garip cümleler, kişiselleştirilmemiş hitaplar- bu saldırılarda büyük ölçüde kaybolur. Üstelik model, hedefin yanıtına gerçek zamanlı olarak inandırıcı karşılıklar üretebildiği için yazışma bir diyaloğa dönüşür. Bu yönüyle yöntem, seçilmiş kişilere odaklanan Hedefli kimlik avı taktiklerini çok daha az emekle ölçeklenebilir hale getirir; geleneksel Kimlik avı kampanyalarına kıyasla açılma ve tıklanma oranları belirgin biçimde yükselir.

Sesli ve Görüntülü Varyantlar

Metin tek cephe değildir. Ses klonlama teknolojisi, birkaç saniyelik kayıttan bir yöneticinin sesini taklit ederek telefonla acil havale talebi yapan senaryolar üretir; bu yönüyle saldırı Vishing sesli kimlik avı alanına taşar. Görüntülü toplantılarda sahte yüz ve ses birleştiren örnekler ise doğrulamanın artık göz ve kulakla yapılamayacağını gösterir.

Savunma Yaklaşımı

Teknik katmanda e-posta kimlik doğrulama kayıtları, bağlantı analizi ve anormal ödeme talebi tespiti önemini korur; ancak içeriğin kusursuzluğu nedeniyle savunma insan davranışına kaymalıdır. Para transferi ve kimlik değişikliği gibi işlemler için ikinci kanaldan doğrulama zorunlu hale getirilmelidir. Personelin bu yeni gerçeklikle tanışması için Farkındalık eğitimi programları senaryolarını yapay zekâ üretimi örneklerle güncellemelidir.

Kurumun bu saldırılara karşı gerçek dayanıklılığını ölçmenin en sağlam yolu, kontrollü ve gerçekçi bir simülasyondur. Privia’nın Siber tatbikat hizmetimiz yapay zekâ üretimi kimlik avı senaryolarını kullanarak çalışanların ve süreçlerin nerede kırıldığını canlı ortama zarar vermeden ortaya koyar.