مهندسی اجتماعی در عصر رسانه‌های سنتتیک: چالش‌های جدید هوش مصنوعی در جعل هویت

بسیاری از حملات مهندسی اجتماعی مبتنی بر هوش مصنوعی (AI) همچنان توسط دفاعات موجود قابل شناسایی هستند، اما ظهور رسانه‌های سنتتیک (Synthetic Media) سازمان‌ها را مجبور می‌کند تا رویکرد خود را تغییر دهند و دیگر چهره یا صدای آشنا را به عنوان مدرک قطعی برای تایید هویت نپذیرند.

تکامل فیشینگ و مدل‌های مخرب AI

استفاده از هوش مصنوعی در مهندسی اجتماعی، از جمله شخصی‌سازی پیام‌های فیشینگ (Phishing)، ساخت وب‌سایت‌های جعلی و اتوماسیون پاسخ‌ها، باعث شده تا تکنیک‌های قدیمی سریع‌تر، ارزان‌تر و در مقیاس وسیع‌تری اجرا شوند. با این حال، کنترل‌های امنیتی فعلی مانند فیلترینگ، رویه‌های تایید هویت و آموزش‌های مکرده همچنان در کاهش موفقیت این حملات موثر هستند.

با این حال، مدل‌های زبانی بزرگ (LLM) مخرب و پلتفرم‌های Generative AI، موانع ورود به این حوزه را کاهش داده‌اند. مدل‌هایی مانند WormGPT، FraudGPT و WolfGPT به عاملان تهدید (Threat Actors) اجازه می‌دهند تا بدون محدودیت‌های اخلاقی، پیام‌های فیشینگ متقاعدکننده، کدهای مخرب و یادداشت‌های باج‌افزار (Ransomware) تولید کنند. همچنین ظهور مدل‌های Phishing-as-a-Service (PhaaS) مانند EvilTokens، این اکوسیستم را حرفه‌ای‌تر کرده است تا حتی افراد با مهارت پایین نیز بتوانند زیرساخت‌های پیچیده فیشینگ را پیاده‌سازی کنند.

تهدید رسانه‌های سنتتیک و دیپ‌فیک (Deepfake)

رسانه‌های سنتتیک شامل صدا، ویدیو، تصاویر یا اسنادی هستند که توسط AI ایجاد یا تغییر یافته‌اند. این تکنولوژی سیگنال‌های بصری و شنیداری را که پیش از این به عنوان گواه هویت پذیرفته می‌شدند، تضعیف می‌کند. عاملان تهدید اکنون می‌توانند صدای مدیران ارشد را کلون کنند یا در تماس‌های ویدیویی زنده، چهره افراد دیگر را جعل نمایند.

برای مثال، در یک مورد گزارش شده، مهاجمان با استفاده از ویدیوهای دیپ‌فیک و صداهای سنتتیک، خود را به جای مدیر مالی و سایر کارکنان یک شرکت مهندسی در بریتانیا جا زده و یک کارمند را متقاعد کردند تا مبلغ ۲۵ میلیون دلار را منتقل کند. همچنین گزارش‌هایی از جعل جلسات Zoom با مقامات دولتی در سنگاپور برای کلاهبرداری‌های مالی گسترده منتشر شده است.

حملات تزریق بیومتریک (Biometric Injection)

فراتر از فریب انسان، AI اکنون سیستم‌های تایید هویت را هدف قرار داده است. در حملات تزریق بیومتریک (Biometric Injection)، مهاجمان به جای فریب کاربر، مستقیماً داده‌های جعلی را به سیستم تزریق می‌کنند. آن‌ها با استفاده از دوربین‌های مجازی (Virtual Cameras) یا نرم‌افزارهای تغییر یافته، چهره‌های سنتتیک را وارد جریان ویدیویی می‌کنند تا سیستم‌های بررسی زنده بودن (Liveness Check) را دور بزنند.

تحقیقات نشان می‌دهد که ابزارهای تشخیص دیپ‌فیک به تنهایی کافی نیستند و نرخ دقت انسان در تشخیص محتوای سنتتیک تنها حدود ۵۱.۲٪ است که عملاً با شانس برابر است.

استراتژی‌های دفاعی برای مدیران امنیت

برای مقابله با این تهدیدات، سازمان‌ها باید از لایه‌های دفاعی زیر استفاده کنند:

• تایید هویت از طریق کانال‌های مجزا: هرگونه درخواست حساس (مانند انتقال وجه یا تغییر دسترسی) باید از طریق یک کانال ارتباطی مورد اعتماد و مجزا (مثلاً تماس تلفنی با شماره ثبت شده) تایید شود.
• تاییدیه چندمرحله‌ای (Multi-approver): برای پرداخت‌های کلان یا تغییرات در لیست حقوق و دستمزد، حضور حداقل دو تاییدکننده مستقل الزامی شود.
• استفاده از MFA مقاوم در برابر فیشینگ: جایگزینی روش‌های سنتی با پروتکل‌های پیشرفته‌تر برای جلوگیری از سرقت نشست‌ها (Session Hijacking).
• آموزش‌های به‌روز: کارکنان باید بدانند که کیفیت بالای نوشتار، جزئیات شخصی یا برندینگ آشنا، دیگر دلیلی بر مشروعیت یک درخواست نیست.