Der Schein trügt nicht mehr

Chatbots und ihr Einfluss auf die Cybersicherheit

Der Hype um Chatbots mit künstlicher Intelligenz ist groß. Allerdings bringt die Technologie auch Cyberkriminelle aufs Parkett, die sich die neuen Möglichkeiten zunutze machen. Chester Wisniewski, Cybersecurity-Experte bei Sophos, gibt dazu Statements und Beispiele.

Bild: ©Stratocaster/stock.adobe.com

Der auf künstlicher Intelligenz basierende Chatbot ChatGPT macht weltweit Schlagzeilen – dabei steht auch die IT-Sicherheit im Fokus der Diskussionen. Denn trotz aller Sicherheitsbemühungen des Herstellers bringt die breitere Verfügbarkeit des Tools neue Herausforderungen mit sich, etwa wenn es um Phishing-Köder oder dialogorientierte Betrugsmaschen wie Romance Scams oder geschäftlich ausgerichtete Kompromittierungsangriffe via E-Mail geht.

Phishing-Köder mit KI verbessern

„Eines der größten Risiken besteht darin, dass Angreifer diese Plattformen nutzen, um die Qualität ihrer Phishing-Köder erheblich zu verbessern. Damit sind Phishing-Angriffe selbst für aufmerksame Nutzer immer schwieriger zu identifizieren“, so Chet Wisniewski vom Cybersecurityspezialisten Sophos. „Letztendlich liefern die immer besseren KI-Chatbots ein kostenloses Upgrade für alle Arten von Social-Engineering-Angriffen.“ Programme wie ChatGPT könnten dazu genutzt werden, kriminell orientierte, sehr realistische, interaktive Gespräche via E-Mail zu führen oder Chat-Angriffe über Facebook Messenger, WhatsApp oder andere Chat-Apps zu starten, sagt Wisniewski. Die größte Gefahr bestehe heute für die englischsprachige Zielgruppe. Es sei aber wahrscheinlich nur eine Frage der Zeit, bis neue Versionen verfügbar sind, um glaubwürdige Texte in allen häufig gesprochenen Sprachen der Welt zu erstellen. „Wir haben ein Stadium erreicht, in dem Menschen immer öfter nicht in der Lage sind, maschinengenerierte Prosa von der von Menschen geschriebenen zu unterscheiden – im Besonderen, wenn wir das Gegenüber nicht gut kennen.“

Nach Ansicht des Cybersecurityspezialisten sind die Zeiten, in denen sich Unternehmen darauf verlassen konnten, dass die Mitarbeiter eine aktive Rolle bei der Verteidigung gegen Cyberattacken spielen, in dem sie auf Grammatik- und Rechtschreibfehler oder seltsame Formulierungen achten, vorbei. Eines der letzten effizienten Elemente von Schulungsprogrammen werde durch Chatbots wie ChatGPT ausgehebelt. Wie, das zeigen die folgenden Beispiele:

Der originale Ködertext eines BEC-Betrügers (Business E-Mail Compromise), der versucht, den Gehaltsscheck einer anderen Person auf das Konto des Angreifers umzuleiten, ist relativ einfach als ’nicht echt’ zu erkennen. Im Vergleich dazu steht im Anschluss eine Variante, die durch die Eingabe der entsprechenden thematischen Eckpunkte von ChatGPT geschrieben wurde.

Standard Betrugs-E-Mail:

Hi ….,

I changed my banks because of my old account is no longer good to accept dd payment and I’ll like to change my paycheck direct deposit details, can the change be effective for the current pay date?

Thanks, ….

Von ChatGPT geschriebener Text:

Dear HR,

I am writing to request that you update my direct deposit information in the company’s payroll system. My current bank account information is no longer valid and I will be switching to a new bank.

Could you please let me know what information you need in order to update my direct deposit information? I am happy to provide any necessary details.

I would also like to request that this update be made in time for the next payroll period. Is there anything else I need to do to ensure a smooth transition?

Thank you for your attention in this matter. I appreciate your help in ensuring that my paychecks are deposited into the correct account.

Sincerely,

[Your name]

Und auch das folgende Beispiel für einen Geschenkkartenbetrug zeigt, wie weit KI-Chatbots mittlerweile sind.

Please, I need you to purchase gift cards. We have a few clients I want to send gifts to. How quickly can you arrange these? Because I need to send them out in less than 1 hour. So can I tell you which product we will need and the amount?

Thanks.

Hey [Employee]

I hope you’re doing well. I’m reaching out because I need your help with something really important.

I have a client who needs a gift card ASAP, and I don’t have time to get it myself. Would you be able to pick up a gift card from [store or e-gift card website] for [amount] and send it to me via email as soon as possible?

I know this might be a bit of inconvenience, but I really appreciate your help in getting this taken care of quickly. If you have any questions of need more info, just let me know.

Thanks a ton for your help.

Take care,

„Beide Beispiele klingen wie die E-Mail einer realen Person, haben gute Zeichensetzung, Rechtschreibung und Grammatik. Sind sie perfekt? Nein. Sind sie gut genug? Auf jeden Fall! Da Betrüger bereits Millionen mit ihren schlecht gefertigten Ködern verdienen, lässt sich die neue Dimension dieser KI-gepushten Kommunikation leicht vorstellen. Stellen sie sich vor, sie würden mit diesem Bot über WhatsApp oder Microsoft Teams chatten. Hätten sie die Maschine erkannt?“, sagt Wisniewski.

KI kann den Menschen täuschen

Nahezu alle Anwendungsarten im Bereich KI seien bereits an einem Punkt angelangt, an dem sie einen Menschen in fast 100 Prozent der Fälle täuschen können, so die Sophos-Experten. Die Qualität des ’Gesprächs’, das mit ChatGPT geführt werden könne, sei bemerkenswert. Und auch die Fähigkeit, gefälschte menschliche Gesichter zu erzeugen, die (für Menschen) von echten Fotos fast nicht zu unterscheiden sind, sei ebenfalls bereits Realität.

„Wir alle müssen unsere Iron-Man-Anzüge anziehen, wenn wir den immer gefährlicher werdenden Gewässern des Internets trotzen wollen“, so Wisniewski. „Es sieht zunehmend so aus, als würden wir Maschinen brauchen, um zu erkennen, wenn andere Maschinen versuchen, uns zu täuschen. Ein interessanter Proof of Concept wurde von Hugging Face entwickelt, das Texte erkennen kann, die mit GPT-2 generiert wurden – was darauf hindeutet, dass ähnliche Techniken verwendet werden könnten, um GPT-3-Ausgaben zu erkennen.“

„Traurig aber wahr: KI hat den letzten Nagel in den Sarg des Endbenutzer-Sicherheitsbewusstseins geschlagen. Will ich damit sagen, dass wir ganz damit aufhören sollten? Nein, aber wir müssen unsere Erwartungen zurückschrauben. Es schadet auf keinen Fall, die bislang und oftmals immer noch geltenden Best Practices in Sachen IT-Sicherheit zu befolgen. Wir müssen die Benutzer dazu animieren, noch misstrauischer als bislang zu sein und vor allem auch fehlerfreie Mitteilungen gewissenhaft zu überprüfen, die den Zugang zu persönlichen Informationen oder monetäre Elemente enthalten. Es geht darum, Fragen zu stellen, um Hilfe zu bitten und sich die wenigen Momente zusätzlicher Zeit zu nehmen, die notwendig sind, um zu bestätigen, dass die Dinge wirklich so sind, wie sie scheinen“, sagt Wisniewski.

Das könnte Sie auch interessieren:

Verwaltung einer Distributed Multicloud
Cloud Services am Würfelmodell analysieren

Analytik-Dashboards, Datenplattformen, IoT-Hubs, Machine-Learning-Services und natürlich Systeme für PLM, ERP und MES – fast jede Software für Produzenten lässt sich heute aus der Cloud beziehen. Die so entstehenden Distributed Multiclouds lassen sich anschaulich in einem Würfel-Modell analysieren. ‣ weiterlesen

Azure OpenAI in der Praxis
Wie KI bei der Produktbeschreibung hilft

Generative KI bietet sich für Bereiche wie Marketing und Produktmanagement in der Konsumgüterindustrie gerade zu an, sind hier doch oft große Sortimente in unterschiedlichen Sprachen zu beschreiben. Wie das funktionieren kann, zeigen der Sportartikelhersteller O’Neal und der Datenspezialist Pmone – die menschliche Kontrolle bleibt dabei unerlässlich. ‣ weiterlesen

Effizienzsteigerung durch KI
Wie Generative AI CRM-Anwender unterstützt

Für Fertigungsbetriebe sind ERP-Systeme wahre Tausendsassa. Doch ohne Eingabe oder Abfrage des Anwenders geschieht oft nichts. Künstliche Intelligenz birgt jedoch das Potenzial, diese eher passive Rolle grundlegend zu ändern. Welche Effekte sich daraus konkret ergeben können, zeigt der Einsatz im CRM-Umfeld. ‣ weiterlesen

Fachmesse bietet vielfältiges Rahmenprogramm
Nortec 2024 in Hamburg

Die Nortec, Fachmesse für Produktion, wird vom 23. bis zum 26. Januar 2024 in Hamburg wieder zum gewohnten Termin stattfinden. "Wir sind bereits mitten in der Aufplanung und es kommen täglich noch neue Anmeldungen herein", berichtet Florian Schmitz, Leiter Messen und Events bei der Messe Stuttgart.‣ weiterlesen

Die Geschichte der Industrie 4.0 - Teil 1
Es begann mit einer Zugfahrt

Seit vielen Jahren ist die Industrie 4.0 in aller Munde. Doch was verbirgt sich dahinter, wie nahm die Vision der vierten industriellen Revolution überhaupt Formen an und wie sieht die Zukunft in diesem Transformationsprozess aus? In unserer Artikelserie werfen wir einen Blick auf Vergangenheit, Gegenwart und Zukunft. ‣ weiterlesen

Störungsmeldesysteme
Grünes Licht für die Lebensmittelindustrie

In der Nahrungsmittelindustrie werden hohe Anforderungen an die Hygiene gestellt. Genau in diesem Bereich hat sich das niederländische Unternehmen Innovotech spezialisiert und zu einem wichtigen Anbieter von kompletten Anlagen und Maschinenlinien etabliert. Jetzt hat die Firma ein Großprojekt realisiert, in dem Signalgeräte von Werma in Ampelfarben zeigen, wie es um die Produktion steht. ‣ weiterlesen

Nutzenaspekte aktueller CRM-Plattformen
Plattformen für Customer Experience

Heute braucht es oft mehr als das beste Produkt, um langfristig gegen die Konkurrenz zu bestehen. Um die dafür erforderliche Kundenbetreuung sicherzustellen, ist der Betrieb einer CRM-Plattform beinahe obligatorisch. Ein Selbstläufer ist das nicht. ‣ weiterlesen

Produktionsplanung per MES
Planungsaufwand reduziert

Um den Planungsaufwand zu reduzieren machte sich Wallram Werkzeugtechnik auf die Suche nach einem Manufacturing Execution System. Fündig wurde das Essener Unternehmen bei der Software proMExS von Sack EDV-Systeme. Dadurch spart Wallram nun täglich mehrere Arbeitsstunden. ‣ weiterlesen

Large Language Models
Google stellt Bard-Update Gemini vor

Mit seinem neusten Bard-Update Gemini will Google das Konkurrenzprodukt ChatGPT 3.5 in sechs von acht branchenüblichen Benchmarks geschlagen haben. Bard wird es künftig in drei Versionen geben. Die mittlere davon ist für Durchschnittsanwender gedacht – und sie lässt sich bereits in englischer Sprache testen.‣ weiterlesen

Fachkräfte für die Industrie 4.0
Was Lernfabriken zur Weiterbildung beitragen

Was können sogenannte Lernfabriken 4.0 für die Weiterbildung von Fachkräften leisten? Sehr viel – wenn Lehrkonzepte und Rahmenbedingungen stimmen. Zu diesem Ergebnis kommt eine Studie des Karlsruher Instituts für Technologie (KIT). ‣ weiterlesen

Kommentar von Martin J. Krämer, KnowBe4
Ransomware-Gruppe BlackCat setzt Opfer mit Vorschriften unter Druck

Jüngste Ereignisse zeigen, dass Cyberkriminelle nicht nur über technisches Knowhow verfügen, sondern auch über ein grundlegendes Verständnis für die Regulierung von Cyberverbrechen. Martin J. Krämer von KnowBe4 kommentiert: „Sie wissen, an welche Unternehmen sie sich halten müssen und nutzen dieses Wissen auch, um noch raffiniertere Cyberangriffe zu starten.“ Der Security Awareness Advocate fasst die Methode zusammen. ‣ weiterlesen