گروه‌های عامل باج‌افزار (Ransomware operators) با بهره‌گیری از هوش مصنوعی مولد (Generative AI)، در حال ارتقای سطح حملات فیشینگ (Phishing)، تسریع فرآیند شناسایی (Reconnaissance) و شناسایی دقیق‌تر اطلاعات حساس شرکت‌ها برای سرقت هستند.
گزارش Zscaler ThreatLabz نشان‌دهنده تغییری استراتژیک به سمت باج‌گیری سریع‌تر و گزینشی‌تر است؛ جایی که مهاجمان به جای تکیه صرف بر رمزگذاری فایل‌ها (Encryption)، اولویت خود را بر افشای داده‌های آسیب‌رسان قرار می‌دهند. این روند نشان‌دهنده افزایش سالانه ۲۷۵.۸ درصدی در این نوع فعالیت‌هاست.
تغییر پارادایم: از رمزگذاری به باج‌گیری از طریق افشا
پس از ایجاد دسترسی اولیه، مهاجمان از هوش مصنوعی مولد برای دسته‌بندی اسناد و جستجوی اطلاعات با ارزش تجاری یا حساس استفاده می‌کنند. به جای بررسی دستی مخازن عظیم داده، اپراتورهای مهاجم می‌توانند بر روی مطالبی تمرکز کنند که افشای آن‌ها فشار اقتصادی، شهرت یا نظارتی قابل توجهی بر سازمان وارد می‌کند.
این فعالیت در واقع مرحله شناسایی پس از نفوذ (Post-compromise reconnaissance) است. هوش مصنوعی به مهاجم کمک می‌کند تا پس از نفوذ به یک حساب کاربری یا نقطه پایانی (Endpoint)، تشخیص دهد کدام داده‌ها ارزش توجه بیشتری دارند. میزان موفقیت این روش به سطح دسترسی‌های حساب‌های قربانی بستگی دارد، که این امر اهمیت مدیریت دقیق حقوق دسترسی (Access Rights) را دوچندان می‌کند.
در یک تحلیل مرتبط، یک سازمان حوزه سلامت گزارش شده که تنها برای جلوگیری از انتشار اطلاعات سرقت شده، مبلغ ۲ میلیون دلار پرداخت کرده است، بدون اینکه هیچ‌گونه رمزگذاری (Encryption) روی فایل‌ها انجام شده باشد. این موضوع نشان می‌دهد که بازیابی از نسخه‌های پشتیبان (Backups) دیگر برای مقابله با تمام سناریوهای باج‌افزار کافی نیست.
بهبود حملات فیشینگ و توسعه ابزارها
هوش مصنوعی مولد همچنین نقاط ضعف زبانی را که به طور سنتی باعث شناسایی پیام‌های فیشینگ می‌شد، از بین می‌برد. مهاجمان اکنون می‌توانند ایمیل‌های بسیار دقیق، وب‌سایت‌های متقاعدکننده و محتوای جعل هویت بومی‌سازی شده تولید کنند که استراتژی‌های آگاهی‌بخشی مبتنی بر بررسی غلط‌های املایی یا گرامری را بی‌اثر می‌کند.
علاوه بر این، هوش مصنوعی در توسعه ابزارها (Tooling) نیز به کار گرفته می‌شود. مشاهده شده است که در حملات مرتبط با Payouts King، نسخه‌های مختلفی از اسکریپت‌های مخرب (Batch scripts) وجود دارد که احتمالاً به صورت برنامه‌نویسی شده توسط هوش مصنوعی تولید شده‌اند. این تغییر سریع در کدها می‌تواند تطبیق امضا (Signature matching) را برای سیستم‌های دفاعی دشوار کند.
اولویت‌های دفاعی برای مدیران امنیت
با توجه به این تهدیدات، اولویت‌های دفاعی باید فراتر از مسدودسازی بدافزار (Malware blocking) باشد. سازمان‌ها باید اقدامات زیر را در دستور کار قرار دهند:
- محدود کردن دسترسی‌های مدیریت از راه دور (Remote administration) غیرمجاز.
- اجرای مدل دسترسی با حداقل امتیازات (Least Privilege).
- مانیتورینگ دقیق دانلودهای حجیم، فعالیت‌های غیرعادی در مرحله آماده‌سازی داده‌ها (Staging) و انتقال‌های غیرمنتظره به مقاصد ناشناخته.
- استفاده از سیستم‌های جلوگیری از نشت داده (DLP) و کنترل‌های دسترسی ابری (Cloud access controls).
در نهایت، شاخص عملیاتی حیاتی، “زمان تا سرقت داده” (Time to exfiltration) است. تشخیص صرفِ رمزگذاری ممکن است به این معنا باشد که سازمان کنترل حساس‌ترین اطلاعات خود را از دست داده است.
