Der Schein trügt nicht mehr

Chatbots und ihr Einfluss auf die Cybersicherheit

Der Hype um Chatbots mit künstlicher Intelligenz ist groß. Allerdings bringt die Technologie auch Cyberkriminelle aufs Parkett, die sich die neuen Möglichkeiten zunutze machen. Chester Wisniewski, Cybersecurity-Experte bei Sophos, gibt dazu Statements und Beispiele.

(Bild: ©Stratocaster/stock.adobe.com)

Der auf künstlicher Intelligenz basierende Chatbot ChatGPT macht weltweit Schlagzeilen – dabei steht auch die IT-Sicherheit im Fokus der Diskussionen. Denn trotz aller Sicherheitsbemühungen des Herstellers bringt die breitere Verfügbarkeit des Tools neue Herausforderungen mit sich, etwa wenn es um Phishing-Köder oder dialogorientierte Betrugsmaschen wie Romance Scams oder geschäftlich ausgerichtete Kompromittierungsangriffe via E-Mail geht.

Phishing-Köder mit KI verbessern

„Eines der größten Risiken besteht darin, dass Angreifer diese Plattformen nutzen, um die Qualität ihrer Phishing-Köder erheblich zu verbessern. Damit sind Phishing-Angriffe selbst für aufmerksame Nutzer immer schwieriger zu identifizieren“, so Chet Wisniewski vom Cybersecurityspezialisten Sophos. „Letztendlich liefern die immer besseren KI-Chatbots ein kostenloses Upgrade für alle Arten von Social-Engineering-Angriffen.“ Programme wie ChatGPT könnten dazu genutzt werden, kriminell orientierte, sehr realistische, interaktive Gespräche via E-Mail zu führen oder Chat-Angriffe über Facebook Messenger, WhatsApp oder andere Chat-Apps zu starten, sagt Wisniewski. Die größte Gefahr bestehe heute für die englischsprachige Zielgruppe. Es sei aber wahrscheinlich nur eine Frage der Zeit, bis neue Versionen verfügbar sind, um glaubwürdige Texte in allen häufig gesprochenen Sprachen der Welt zu erstellen. „Wir haben ein Stadium erreicht, in dem Menschen immer öfter nicht in der Lage sind, maschinengenerierte Prosa von der von Menschen geschriebenen zu unterscheiden – im Besonderen, wenn wir das Gegenüber nicht gut kennen.“

Nach Ansicht des Cybersecurityspezialisten sind die Zeiten, in denen sich Unternehmen darauf verlassen konnten, dass die Mitarbeiter eine aktive Rolle bei der Verteidigung gegen Cyberattacken spielen, in dem sie auf Grammatik- und Rechtschreibfehler oder seltsame Formulierungen achten, vorbei. Eines der letzten effizienten Elemente von Schulungsprogrammen werde durch Chatbots wie ChatGPT ausgehebelt. Wie, das zeigen die folgenden Beispiele:

Der originale Ködertext eines BEC-Betrügers (Business E-Mail Compromise), der versucht, den Gehaltsscheck einer anderen Person auf das Konto des Angreifers umzuleiten, ist relativ einfach als ’nicht echt’ zu erkennen. Im Vergleich dazu steht im Anschluss eine Variante, die durch die Eingabe der entsprechenden thematischen Eckpunkte von ChatGPT geschrieben wurde.

Standard Betrugs-E-Mail:

Hi ….,

I changed my banks because of my old account is no longer good to accept dd payment and I’ll like to change my paycheck direct deposit details, can the change be effective for the current pay date?

Thanks, ….

Von ChatGPT geschriebener Text:

Dear HR,

I am writing to request that you update my direct deposit information in the company’s payroll system. My current bank account information is no longer valid and I will be switching to a new bank.

Could you please let me know what information you need in order to update my direct deposit information? I am happy to provide any necessary details.

I would also like to request that this update be made in time for the next payroll period. Is there anything else I need to do to ensure a smooth transition?

Thank you for your attention in this matter. I appreciate your help in ensuring that my paychecks are deposited into the correct account.

Sincerely,

[Your name]

Und auch das folgende Beispiel für einen Geschenkkartenbetrug zeigt, wie weit KI-Chatbots mittlerweile sind.

Standard Betrugs-E-Mail:

Please, I need you to purchase gift cards. We have a few clients I want to send gifts to. How quickly can you arrange these? Because I need to send them out in less than 1 hour. So can I tell you which product we will need and the amount?

Thanks.

Von ChatGPT geschriebener Text:

Hey [Employee]

I hope you’re doing well. I’m reaching out because I need your help with something really important.

I have a client who needs a gift card ASAP, and I don’t have time to get it myself. Would you be able to pick up a gift card from [store or e-gift card website] for [amount] and send it to me via email as soon as possible?

I know this might be a bit of inconvenience, but I really appreciate your help in getting this taken care of quickly. If you have any questions of need more info, just let me know.

Thanks a ton for your help.

Take care,

„Beide Beispiele klingen wie die E-Mail einer realen Person, haben gute Zeichensetzung, Rechtschreibung und Grammatik. Sind sie perfekt? Nein. Sind sie gut genug? Auf jeden Fall! Da Betrüger bereits Millionen mit ihren schlecht gefertigten Ködern verdienen, lässt sich die neue Dimension dieser KI-gepushten Kommunikation leicht vorstellen. Stellen sie sich vor, sie würden mit diesem Bot über WhatsApp oder Microsoft Teams chatten. Hätten sie die Maschine erkannt?“, sagt Wisniewski.

KI kann den Menschen täuschen

Nahezu alle Anwendungsarten im Bereich KI seien bereits an einem Punkt angelangt, an dem sie einen Menschen in fast 100 Prozent der Fälle täuschen können, so die Sophos-Experten. Die Qualität des ’Gesprächs’, das mit ChatGPT geführt werden könne, sei bemerkenswert. Und auch die Fähigkeit, gefälschte menschliche Gesichter zu erzeugen, die (für Menschen) von echten Fotos fast nicht zu unterscheiden sind, sei ebenfalls bereits Realität.

„Wir alle müssen unsere Iron-Man-Anzüge anziehen, wenn wir den immer gefährlicher werdenden Gewässern des Internets trotzen wollen“, so Wisniewski. „Es sieht zunehmend so aus, als würden wir Maschinen brauchen, um zu erkennen, wenn andere Maschinen versuchen, uns zu täuschen. Ein interessanter Proof of Concept wurde von Hugging Face entwickelt, das Texte erkennen kann, die mit GPT-2 generiert wurden – was darauf hindeutet, dass ähnliche Techniken verwendet werden könnten, um GPT-3-Ausgaben zu erkennen.“

„Traurig aber wahr: KI hat den letzten Nagel in den Sarg des Endbenutzer-Sicherheitsbewusstseins geschlagen. Will ich damit sagen, dass wir ganz damit aufhören sollten? Nein, aber wir müssen unsere Erwartungen zurückschrauben. Es schadet auf keinen Fall, die bislang und oftmals immer noch geltenden Best Practices in Sachen IT-Sicherheit zu befolgen. Wir müssen die Benutzer dazu animieren, noch misstrauischer als bislang zu sein und vor allem auch fehlerfreie Mitteilungen gewissenhaft zu überprüfen, die den Zugang zu persönlichen Informationen oder monetäre Elemente enthalten. Es geht darum, Fragen zu stellen, um Hilfe zu bitten und sich die wenigen Momente zusätzlicher Zeit zu nehmen, die notwendig sind, um zu bestätigen, dass die Dinge wirklich so sind, wie sie scheinen“, sagt Wisniewski.

Das könnte Sie auch interessieren

Der Nutzen neuer Technologien kommt nur dann zum Tragen, wenn diese von den Menschen mindestens toleriert, besser aber gesamtgesellschaftlich angenommen werden. Dafür braucht es Dialog und Möglichkeiten für gemeinsame Gestaltung. Welche Kommunikationsformate sich hierfür eignen und welche Wirkung sie bei den Beteiligten erzielen, das hat das Acatech-Projekt 'Technologischen Wandel gestalten' bei den Themen elektronische Patientenakte, digitale Verwaltung und Katastrophenschutz untersucht. Jetzt hat das Projektteam die Ergebnisse vorgelegt.‣ weiterlesen

Der Fachkräftemangel erfordert einen möglichst intelligenten und flexiblen Personaleinsatz. KI spielt dabei eine wichtige Rolle. Der Industriesoftware-Spezialist Augmentir zeigt sechs Ansatzmöglichkeiten auf.‣ weiterlesen

Eine aktuelle Studie von Reichelt Elektronik betrachtet den aktuellen Stand der Digitalisierung und stellt die Frage, wie Deutschland im Vergleich zu anderen europäischen Ländern abschneidet.‣ weiterlesen

Können Roboter dabei helfen, dem Fachkräftemangel in der Logistik-Branche Herr zu werden? Der Branchenverband IFR meint ja - und zwar mit Hilfe von Robotik, die durch künstliche Intelligenz unterstützt wird.‣ weiterlesen

Künstliche Intelligenz (KI) lässt sich auch für die automatische Qualitätsüberwachung in Roboterschweißzellen nutzen. Oft fehlen hier jedoch Daten zum Trainieren und Ausführen der Algorithmen. Insbesondere für Bestandsanlagen existieren meist keine passenden Standardsysteme, da Geräte über uneinheitliche Datenmodelle und Schnittstellen verfügen. IoT-Baukästen können helfen.‣ weiterlesen

Nach Angaben der Eclipse Foundation verzeichnete die IoT-Einführung im Jahr 2023 einen sprunghaften Anstieg. 64 Prozent der Befragten setzen mittlerweile entsprechende Lösungen ein - ein Plus von 11 Prozentpunkten.‣ weiterlesen

2023 blockierte Trend Micro mehr als 161 Milliarden Cyberbedrohungen weltweit - 10 Prozent mehr als im Jahr zuvor und fast 107 Milliarden mehr als noch vor fünf Jahren. Der Security-Spezialist berichtet zudem davon, dass Cyberkriminelle gezieltere Attacken setzen. Auch Cloud-Umgebungen rücken zunehmend in den Fokus.‣ weiterlesen

Ein Forschungsteam vom Fraunhofer IPA und vom Campus Schwarzwald hat eine Roboterzelle aufgebaut, die Brennstoffzellen in Sekundenschnelle und automatisiert stecken kann. Brennstoffzellensysteme könnten so günstiger werden und den Verbrenner im Schwerlastverkehr ablösen.‣ weiterlesen

Das Fraunhofer-Institut für Produktionstechnik und Automatisierung IPA und das Technologieunternehmen Q.ANT haben einen Vertrag zur Gründung des Kompetenz-Zentrums Mensch-Maschine-Schnittstelle unterzeichnet.‣ weiterlesen

Der Digitale Zwilling einer Produktionsanlage ermöglicht die Simulation des Verhaltens aktueller Konfigurationen. Die Implementierung neuer Produktionskonfigurationen kann so bereits im Vorfeld getestet werden. Die Integration der benötigten Simulationsmodelle einzelner Komponenten ist jedoch mit Aufwand verbunden. Hier kann die Verwaltungsschale helfen.‣ weiterlesen

Logicalis veröffentlicht seinen zehnten Jahresbericht, basierend auf den Erfahrungen von 1.000 CIOs weltweit. Technologien wie Künstliche Intelligenz (KI) und neue Cyberbedrohungen dominieren darin die Prioritäten der CIOs.‣ weiterlesen