پژوهشگران Malwarebytes در گزارش اخیر خود هشدار دادند که وب‌سایت‌های جعلی که اشتراک ابزارهای تبدیل گفتار به متن (Transcription)، تولید تصویر و سایر دستیارهای دیجیتال مبتنی بر هوش مصنوعی را ارائه می‌دهند، می‌توانند داده‌های سازمانی را در معرض خطر قرار دهند.
الگوهای فریب و جعل هویت
این وب‌سایت‌ها با جعل نام محصولات معتبر مانند GPT-6 Astra، DaVinci Resolve، PixAI و OpenCut، کاربران را به دام می‌اندازند. برخی از این سایت‌ها حتی نام سرویس‌هایی که مدت‌هاست تعطیل شده‌اند (مانند Omegle) را برای جذب کاربران به کار می‌برند. این صفحات با ظاهری حرفه‌ای طراحی شده‌اند و برای افزایش اعتماد کاربران، از سیستم احراز هویت واقعی گوگل (Sign in with Google) استفاده می‌کنند تا در نهایت مبالغی بین ۱۰ دلار تا ۲۰۰۰ دلار را به عنوان هزینه اشتراک سالانه از کارت‌های بانکی کاربران دریافت کنند.
خطرات نشت داده‌ها و Shadow IT
برخلاف بسیاری از حملات فیشینگ، این سایت‌ها از فرم‌های جعلی رمز عبور یا توزیع بدافزار (Malware) استفاده نمی‌کنند. با این حال، خطر اصلی زمانی بروز می‌کند که این سایت‌ها از کاربران می‌خواهند برای فعال‌سازی سرویس‌ها، اسناد، فایل‌های صوتی یا داده‌های حساس خود را آپلود کنند.
این موضوع به‌ویژه برای سازمان‌ها یک تهدید جدی است. زمانی که کارکنان برای خرید ابزارهای AI از بودجه‌های داخلی دپارتمان خود استفاده کرده و بدون اطلاع واحد IT اقدام به خرید می‌کنند (پدیده‌ای known as Shadow IT)، سازمان کنترل خود را بر جریان داده‌ها از دست می‌دهد و مشخص نیست داده‌های آپلود شده در این سرویس‌های مشکوک به کجا منتقل می‌شوند.
تحلیل فنی زیرساخت حملات
تحلیلگران معتقدند تمامی این سایت‌ها توسط یک گروه یا شخص واحد مدیریت می‌شوند، زیرا همگی با استفاده از یک کیت ساخت وب‌سایت (Website Creation Kit) تجاری و فایل‌های زیرساختی یکسان ایجاد شده‌اند. همچنین ایمیل‌های توسعه‌دهندگان مرتبط با این سایت‌ها شباهت‌های زیادی به یکدیگر دارند.
در مورد احراز هویت گوگل، این سایت‌ها از OAuth واقعی استفاده می‌کنند تا اطلاعات پایه (نام، ایمیل و عکس پروفایل) را دریافت کنند. با این حال، در صفحه رضایت (Consent Screen) گوگل، به جای آدرس‌های رسمی شرکت‌های معتبر، ایمیل‌های رایگان و عمومی (Webmail) برای ارتباط با توسعه‌دهنده درج شده است که یک نشانه هشدار (Red Flag) جدی است.
توصیه‌های امنیتی برای مدیران و کاربران
- بررسی هویت ارائه‌دهنده: تنها به طراحی ظاهری سایت یا وجود دکمه‌های احراز هویت معتبر اکتفا نکنید و اطلاعات شرکت ارائه‌دهنده را به‌صورت مستقل بررسی کنید.
- پرهیز از آپلود داده‌های حساس: هرگز اسناد یا فایل‌های محرمانه سازمانی را در سرویس‌های AI ناشناخته آپلود نکنید.
- مدیریت دسترسی‌های گوگل: کاربران باید به‌طور منظم بخش Connections در حساب گوگل خود را بررسی کرده و دسترسی سرویس‌های ناشناخته یا غیرضروری را حذف کنند.
