AI Baru Saja Menulis Ulang Aturan BEC: Apakah Pertahanan Anda Siap?

Hari ini, email phishing rata-rata yang masuk ke kotak masuk CEO Anda sempurna. Email tersebut menggunakan tata bahasa yang sempurna, berisi pemahaman mendalam tentang lanskap bisnis organisasi Anda saat ini, dan diakhiri dengan permintaan mendesak yang relevan dengan konteks. Ini bukanlah karya seorang penjahat siber biasa; ini adalah ciri khas dari AI generatif yang sedang dipersenjatai, mengubah rekayasa sosial dari permainan angka menjadi serangan terarah.

Evolusi yang didorong oleh AI ini berarti bahwa penipuan phishing dan kompromi email bisnis (BEC) sedang supercharged secara aktif hingga tingkat yang belum pernah terjadi sebelumnya. Bagi para profesional keamanan siber, memahami evolusi cepat ini tidak lagi bersifat opsional; itu sangat penting untuk mencegah kerusakan finansial dan reputasi yang berpotensi menghancurkan.

Blog ini mengeksplorasi realitas baru dari phishing yang diperkuat AI dan BEC. Kami akan mengungkap bagaimana para penyerang memanfaatkan AI untuk kampanye yang sangat realistis, mengapa serangan canggih ini sering berhasil melewati keamanan tradisional, dan—yang terpenting—strategi pertahanan dan langkah proaktif yang harus sekarang diterapkan oleh para pemimpin keamanan. Lanskap keamanan siber sedang berkembang secepat AI itu sendiri; apakah pertahanan Anda sudah memadai?

Bagaimana AI memperkuat serangan phishing dan BEC

Kemampuan beradaptasi dari AI generatif adalah tepatnya yang membuatnya menjadi alat yang sangat ampuh bagi para penjahat siber. Para penyerang tidak lagi dibatasi oleh keterampilan menulis mereka sendiri, kemampuan bahasa, atau bahkan kebutuhan untuk secara manual menyusun setiap pesan. AI memberikan mereka kemampuan untuk meningkatkan baik kecanggihan maupun kecepatan operasi phishing dan BEC mereka.

Membuat umpan hyper-realistis dengan LLM

Model bahasa besar (LLM), teknologi yang sama yang mendukung chatbot AI populer seperti ChatGPT dari OpenAI atau Gemini dari Google, berada di garis depan rekayasa sosial yang didorong oleh AI. Para penyerang sekarang menggunakan LLM untuk menghasilkan email phishing dan pesan BEC tingkat lanjut yang hampir tidak dapat dibedakan dari komunikasi yang sah. Model-model ini dapat menghasilkan teks dengan tata bahasa dan ejaan yang sempurna, mengadopsi nada tertentu, dan menggabungkan rincian yang relevan dengan konteks untuk menciptakan narasi yang sangat dipersonalisasi dan dapat dipercaya. Tingkat kehalusan ini sering kali memudahkan untuk menyesuaikan serangan pada individu atau peran tertentu dalam sebuah organisasi, yang secara signifikan meningkatkan kemungkinan keberhasilannya.

Lebih dari sekadar peningkatan bahasa, LLM juga secara fundamental mengatasi hambatan tradisional bagi penyerang. Misalnya, LLM dapat dengan mudah menerjemahkan dan menyusun pesan dalam berbagai bahasa, memungkinkan pelaku ancaman untuk memperluas kampanye mereka secara global tanpa kesalahan mencolok yang dulunya menjadi tanda bahaya. Teks yang terdengar alami juga berarti bahwa email berbahaya ini semakin mahir dalam melewati filter keamanan email tradisional. Banyak sistem lama bergantung pada deteksi tata bahasa yang buruk, kata kunci mencurigakan, atau tanda tangan jahat yang diketahui—semuanya dapat dirancang dengan spesifik untuk menghindarinya oleh konten yang dihasilkan AI.

Deepfake memasuki arena: Peniruan suara dan video

Sayangnya, senjata AI sedang berkembang tidak hanya dalam serangan berbasis teks tetapi juga ke media lainnya, yang sering disebut sebagai “deepfake.” Perkembangan ini mencakup phishing suara (vishing), di mana kemampuan AI untuk meniru suara dari sampel audio yang relatif kecil menciptakan peniruan yang sangat meyakinkan.

Bayangkan menerima panggilan yang diduga berasal dari CEO Anda, suara mereka ditiru dengan sempurna, meminta Anda untuk mengautentikasi transfer dana yang mendesak. Skenario ini adalah vektor serangan yang semakin mungkin. Deepfake suara yang dihasilkan AI menambah lapisan keaslian dan urgensi yang kuat pada penipuan BEC, terutama ketika dikombinasikan dengan email yang meyakinkan. Selain audio, ancaman video deepfake dalam BEC dan rekayasa sosial juga dengan cepat muncul. Walaupun mungkin kurang umum karena tuntutan teknis yang lebih besar, penyerang bisa jadi menggunakan AI untuk membuat klip video pendek yang meniru eksekutif dalam panggilan video atau pesan yang direkam. Taktik ini dapat membujuk karyawan untuk memberikan otorisasi transaksi yang menipu atau membagikan informasi sensitif.

Kemampuan untuk menggabungkan teks yang dihasilkan AI yang sempurna dengan suara sintetis yang meyakinkan dan, akhirnya, video, mewakili peningkatan serius dalam kecanggihan serangan peniruan—menantang metode tradisional verifikasi identitas.

Wajah baru BEC: Evolusi penipuan yang didorong oleh AI

Kecerdasan buatan tidak hanya membuat pesan phishing dan BEC yang ada terlihat dan terdengar lebih baik—tetapi juga secara aktif mendorong evolusi dalam kompleksitas dan penargetan penipuan itu sendiri. Para penyerang memanfaatkan AI untuk melampaui taktik dasar, mengembangkan skema penipuan yang lebih rumit dan menentukan korban mereka dengan akurasi yang mengkhawatirkan.

Bergerak melampaui penipuan dasar

Belum lama ini, banyak upaya BEC relatif sederhana, sering kali melibatkan email yang ditulis dengan buruk dari seorang "CEO" yang meminta pembelian kartu hadiah secara mendesak. Meskipun ini masih terjadi, sekarang kita melihat upaya yang ditingkatkan oleh AI dalam manipulasi faktur yang kompleks, pengalihan pembayaran, dan penipuan yang meyakinkan dengan beberapa tahap dalam berpura-pura menjadi vendor. AI berkontribusi pada komunikasi penipuan yang lebih lengkap dengan meningkatkan aspek-aspek seperti:

Membuat semua komunikasi dengan tingkat kehalusan yang lebih tinggi
Menghasilkan dokumentasi dan narasi palsu yang lebih meyakinkan untuk permintaan
Menyusun pesan tindak lanjut yang mengatasi skeptisisme awal

Skema BEC dasar telah berkembang, membuat penipuan yang rumit ini lebih sulit bagi karyawan untuk mendeteksi dan mengatasi.

Penargetan presisi melalui pengintaian AI

Rekonesans phishing adalah fase awal di mana penyerang mengumpulkan informasi tentang target sebelum memulai serangan phishing. Kecerdasan buatan secara signifikan meningkatkan kemampuan penyerang untuk melakukan rekonesans, memungkinkan mereka untuk dengan cepat menyaring sejumlah besar data publik untuk mengidentifikasi target bernilai tinggi dan mengumpulkan intelijen kontekstual. Apa yang dulunya mencakup berminggu-minggu menyisir situs web perusahaan, media sosial, dan aset berita publik untuk menyempurnakan serangan siber sekarang dapat dilakukan dengan akurat dalam waktu kurang dari beberapa menit.

Wawasan yang dibantu AI memungkinkan serangan BEC yang sangat dipersonalisasi di mana pesan-pesan palsu dengan meyakinkan merujuk pada proyek internal tertentu, peran seseorang, acara perusahaan terbaru, atau meniru dengan akurat gaya komunikasi dari pihak yang dipersonifikasikan, membuat penipuan ini sangat spesifik dan jauh lebih mungkin untuk dipercaya oleh penerima.

Meniru komunikasi internal

Kemampuan AI untuk mempelajari dan meniru pola linguistik sangat berbahaya ketika menyangkut peniruan komunikasi internal—sebuah vektor serangan utama untuk BEC. Pelaku serangan dapat melatih model pada contoh gaya sebuah perusahaan atau menggunakan AI untuk menghasilkan pesan yang dengan sempurna mengadopsi nada, format, dan jargon yang biasanya digunakan dalam sebuah organisasi. Pertimbangkan contoh-contoh potensial dari hasil kerja AI ini:

Sebuah email mendesak, yang tampaknya dari departemen TI, menjelaskan pembaruan sistem yang kritis (tetapi palsu) yang mengharuskan karyawan untuk segera mengklik tautan dan memasukkan kredensial mereka, menggunakan bahasa yang secara teknis masuk akal.
Sebuah notifikasi yang tampaknya berasal dari HR tentang pendaftaran manfaat baru yang sensitif terhadap waktu atau kebijakan kerja jarak jauh yang diperbarui, dibuat untuk terlihat sah dan relevan bagi karyawan
Sebuah arahan dari "eksekutif senior" atau "ketua departemen keuangan" yang meminta transfer dana mendesak ke vendor baru, merujuk pada proyek yang diduga rahasia atau tenggat waktu yang akan datang, semua disampaikan dengan tingkat otoritas dan konteks internal yang diharapkan.

Mengapa serangan yang ditingkatkan dengan AI lebih sulit dideteksi

Sofistikasi yang dibawa oleh AI pada phishing dan BEC tidak hanya membuat serangan ini lebih meyakinkan; itu pada dasarnya membuatnya lebih menantang bagi karyawan dan sistem keamanan tradisional untuk mendeteksinya. Tanda-tanda lama yang dapat dikenali semakin pudar, digantikan oleh taktik yang mengeksploitasi kepercayaan dan konteks dengan lebih halus.

Hilangnya tanda-tanda jelas yang mencolok

Email phishing biasanya memiliki tanda-tanda jelas yang telah dilatih banyak pengguna untuk dikenali. Tanda-tanda ini, seperti tata bahasa yang buruk, kesalahan ejaan yang mencolok, frasa yang canggung, atau sambutan umum, dulunya merupakan indikator yang dapat diandalkan dari upaya phishing. Namun, AI dan LLM yang canggih sebagian besar menghilangkan tanda-tanda merah ini dengan menghasilkan teks yang hampir sempurna secara tata bahasa, sesuai secara gaya, dan bebas dari kesalahan umum tersebut. Hasil akhirnya? Pesan berbahaya yang tampak sepenuhnya sah pada pandangan pertama dan lolos dari pemeriksaan manusia standar.

Penipuan yang sadar konteks

Selain teks yang sudah disempurnakan, AI juga unggul dalam menciptakan penipuan yang relevan secara kontekstual. Pelaku penipuan dapat menghasilkan pesan yang merujuk pada percakapan sah sebelumnya, proyek yang sedang berlangsung, peran pekerjaan tertentu, atau acara perusahaan terbaru (terutama jika dipadukan dengan pengintaian yang dibantu AI). Permintaan penipuan menjadi jauh lebih dapat dipercaya ketika dipasangkan dengan konteks yang ada. Misalnya, permintaan pembayaran mendesak yang menyebutkan vendor dunia nyata atau kesepakatan tertentu yang sedang berlangsung dapat dengan mudah menipu seorang karyawan untuk menurunkan kewaspadaan mereka dan menyetujui pembayaran yang menipu.

Kenaikan serangan multi-saluran

Para penyerang juga semakin menggunakan AI untuk membantu merancang kampanye rekayasa sosial yang lebih kompleks dan multi-saluran yang tidak bergantung hanya pada email. AI dapat digunakan untuk menyusun narasi dan pesan yang konsisten di berbagai platform untuk membangun kredibilitas atau menerapkan tekanan. Misalnya, email yang sangat meyakinkan yang dihasilkan oleh AI mungkin diikuti dengan pesan LinkedIn yang ditargetkan dari profil yang tampaknya sah yang merujuk pada konten email tersebut, atau bahkan panggilan vishing yang didukung oleh AI yang menguatkan permintaan penipuan. Pendekatan berlapis ini, yang menggunakan banyak titik sentuh, membuat setiap komponen individu terlihat lebih sah dan meningkatkan kesulitan secara keseluruhan dalam mendeteksi upaya phishing yang berniat jahat.

Menyesuaikan pertahanan Anda: Melawan ancaman yang didorong oleh AI

Sementara AI secara signifikan meningkatkan kemampuan penyerang, itu tidak berarti organisasi tidak memiliki pertahanan. Mengadaptasi posisi keamanan Anda memerlukan strategi yang detail yang memperkuat kontrol teknis, meningkatkan kesadaran karyawan, dan secara proaktif memantau upaya peniruan. Pertimbangkan strategi berikut untuk mengatasi meningkatnya serangan phishing dan BEC yang didukung AI.

Meningkatkan kewaspadaan manusia: Kesadaran keamanan generasi berikutnya

AI semakin pintar, jadi elemen manusia dalam pertahanan Anda juga harus berkembang. Kesadaran keamanan generasi berikutnya perlu fokus pada nuansa serangan yang dihasilkan oleh AI, bergerak melampaui sekadar menemukan kesalahan ketik. Ini berarti mendidik karyawan untuk secara kritis menilai konteks permintaan, mengenali taktik urgensi yang canggih, dan mengembangkan kesadaran awal terhadap indikator deepfake yang mungkin. Tujuan Anda adalah untuk menumbuhkan tenaga kerja yang lebih teliti dan berhati-hati. Saat membangun program pelatihan keamanan Anda, pikirkan tentang menyertakan strategi berikut:

Latih pada subtleties AI-phishing & deepfake menggunakan contoh yang realistis
Jalankan simulasi phishing yang meniru kecanggihan dan relevansi konteks AI.
Mandat verifikasi di luar saluran untuk permintaan mendesak atau sensitif
Kembangkan budaya yang kuat untuk melaporkan pesan mencurigakan tanpa rasa takut

Keamanan email teknis tingkat lanjut

Mengembangkan pertahanan manusia Anda sangat penting, tetapi meningkatkan pertahanan teknis Anda untuk email juga demikian. Meskipun tidak ada satu alat pun yang menjadi solusi ampuh, kombinasi dari protokol dasar dan teknik deteksi modern adalah kunci untuk melawan kecanggihan AI. Teknik-teknik ini melibatkan tidak hanya memverifikasi keabsahan pengirim tetapi juga mengidentifikasi pola anomalus yang mungkin masih ditunjukkan oleh serangan yang dihasilkan AI meskipun penampilannya sudah halus. Tingkatkan langkah-langkah keamanan email Anda dengan menerapkan yang berikut ini:

Terapkan DMARC (p=tolak/karantina), SPF & DKIM di semua domain
Gunakan keamanan email dengan deteksi anomali perilaku/AI dan sandboxing
Atur gerbang untuk menandai peniruan identitas (nama tampilan, pengirim baru, dll.)
Secara teratur tinjau & sesuaikan kebijakan keamanan email untuk mengatasi ancaman yang berkembang

Perlindungan merek dan domain yang proaktif

Penyerang sering menggunakan domain yang mirip atau domain yang salah ketik yang meniru domain sah organisasi Anda untuk menipu penerima dalam serangan phishing dan BEC. Domain yang salah ketik dapat menipu karyawan saat pandangan pertama, sehingga sangat penting untuk mengidentifikasi dan menangani upaya peniruan ini sebelum digunakan secara luas. Lindungi domain dan merek Anda dengan:

Secara terus menerus memantau untuk domain yang baru terdaftar atau yang memiliki kesalahan ketik.
Melacak penggunaan tidak sah terhadap merek Anda, nama eksekutif, dan kekayaan intelektual secara online
Menetapkan proses yang jelas untuk menyelidiki dan memulai penghapusan domain.
Melatih staf untuk selalu secara teliti memeriksa alamat pengirim & URL

AI generatif secara tak terbantahkan telah meningkatkan ancaman untuk phishing dan BEC, menciptakan serangan yang sangat realistis, sangat dapat diskalakan, dan secara signifikan lebih sulit bagi orang-orang dan sistem tradisional untuk mendeteksi. Mengatasi lanskap ancaman yang berkembang ini secara efektif memerlukan strategi pertahanan yang lebih canggih dan berlapis—satu yang secara cerdas menggabungkan teknologi maju, kesadaran pengguna yang berkelanjutan, dan kewaspadaan organisasi.

UpGuard Breach Risk memainkan peran penting dalam pertahanan berlapis ini, memberikan organisasi dengan visibilitas eksternal dan kemampuan deteksi proaktif untuk mengurangi risiko yang terkait dengan serangan canggih ini. Fitur-fitur yang dirancang untuk membantu mengurangi ancaman yang didorong oleh AI meliputi:

Pemantauan permukaan serangan: Memantau secara terus-menerus permukaan serangan eksternal Anda untuk kerentanan atau eksposur yang dapat dimanfaatkan oleh penyerang.
Deteksi kebocoran data: Deteksi kredensial yang bocor yang beredar di internet, yang merupakan bahan utama untuk upaya BEC dan pengambilalihan akun.
Identifikasi typosquatting: Identifikasi domain typosquatting dan situs web yang mirip yang secara khusus dibuat untuk menyamar sebagai merek Anda dalam kampanye phishing yang canggih.

Dalam era di mana ancaman siber berkembang secepat AI itu sendiri, tetap unggul memerlukan adaptasi yang terus-menerus dan memanfaatkan alat-alat canggih yang memberikan wawasan jelas tentang risiko eksternal Anda.