Tekoälyn keksimä verkko-osoite voi viedä huijaussivulle – "phantom squatting" tekee valesivusta uskottavan
Kielimallit keksivät itsevarmasti verkko-osoitteita, joita ei ole olemassa. Rikolliset rekisteröivät ne ensin ja pystyttävät valesivun, jonka tekoäly sitten suosittelee sinulle luotettavana.
Tiivistelmä
Palo Alto Networksin tutkimusyksikkö Unit 42 nimesi ilmiön phantom squattingiksi. Rikolliset rekisteröivät verkkotunnuksia, joita tekoäly keksii vastauksiinsa, ja koska tuoreella osoitteella ei ole mainehistoriaa, suodattimet päästävät sen läpi. Kuljetusväline on tekoälyn oma auktoriteetti, ei epäilyttävä sähköposti.
Kysyt tekoälyavustajalta pankkisi verkko-osoitteen, ja se vastaa itsevarmasti. Osoite näyttää ihan uskottavalta, mutta sitä ei ole koskaan ollut olemassa – ennen kuin rikollinen ehti rekisteröidä sen.
Ilmiölle on nyt nimi. Palo Alto Networksin tutkimusyksikkö Unit 42 kutsuu sitä nimellä phantom squatting. Kun kielimalliltä kysytään tunnettua brändiä, se keksii toisinaan olemattoman osoitteen, ja rikolliset rekisteröivät sen ennen muita.
Phantom squatting: tekoälyn keksimät verkkotunnukset
Kielimalli keksii vastauksessaan olemattoman verkko-osoitteen. Rikollinen rekisteröi sen ensimmäisenä ja pystyttää sinne huijaussivun. Aivan tuoreella verkkotunnuksella ei ole mainehistoriaa, joten mainepohjaiset suodattimet päästävät sen läpi.
Juuri se historiattomuus tekee tempusta niin toimivan. Uudella verkkotunnuksella ei ole estolistamerkintää eikä uhkatietoa taustallaan, joten mainepohjainen suojaus ei löydä siitä mitään moitittavaa. Kuljetusväline ei ole epäilyttävä kalasteluviesti tai mainos vaan tekoälymalli itse, jota käyttäjä pitää luotettavana.
Ero vanhaan verkkotunnushuijaukseen on juuri tässä. Aiemmin rikollinen rekisteröi kirjoitusvirheen varaan rakennetun osoitteen ja toivoi, että joku näppäilee sen väärin. Nyt tekoäly tarjoilee väärän osoitteen valmiiksi, eikä käyttäjän tarvitse erehtyä missään.
Numerot kertovat mittakaavan
Unit 42 syötti kahdelle tekoälymallille 685 339 hyökkäävää kehotetta, jotka koskivat 913 tunnettua brändiä. Vastauksista poimittiin 2,1 miljoonaa yksilöllistä verkko-osoitetta. Näistä 809 455 eli 37,28 prosenttia osoitti verkkotunnukseen, jota ei ollut olemassa.
Noin 250 000 keksittyä verkkotunnusta on yhä rekisteröimättä ja siis kenen tahansa vietävissä. Osa on jo valjastettu.
Haitalliseksi vahvistettiin 13 229 osoitetta (0,61 prosenttia) ja korkean riskin osoitteeksi 41 313 (1,9 prosenttia). Haitallisista hyötykuormista 67,2 prosenttia oli haittaohjelmia ja 16,2 prosenttia kalastelua.
Miten yksittäinen keksitty osoite muuttuu toimivaksi ansaksi? Unit 42 kertoo nelivaiheisesta kaaresta. Ensin kartoitetaan brändin harha-alttius, sitten verkkotunnus rekisteröidään tunneissa tai päivissä, seuraavaksi tekoäly suosittelee sitä käyttäjälle auktoriteetin äänellä, ja lopuksi historiaton osoite livahtaa suodattimien ohi.
Kaksi tapausta kentältä
Yhdessä tapauksessa Montana Empire -niminen kalastelupaketti iski erään maan postipalvelun verkkokauppa-asiakkaisiin. Sivu ehti toimia 23 päivää, se sieppasi tunnukset PHP:llä, käytti Telegramia komentokanavana ja nappasi kortti- ja tilisiirtotiedot matkalla. Itse kalastelupaketti oli rakennettu tekoälyn koodausavustajalla.
Toinen kampanja levitti saman postipalvelun nimissä Android-sovellusta väärennettynä. Se pyöri 51 päivää ja esitteli tekaistun 4,8 tähden arvion sekä kahden miljoonan käyttäjän luvun uskottavuuden takeeksi.
– Kun uhkatieto ehtii päivittyä, ihmiset on jo ohjattu sivustolle tekoälyn toimesta, jota he pitävät luotettavana, tutkijat toteavat.
Kyberturvallisuuskeskus ei ole toistaiseksi kommentoinut phantom squattingia nimeltä. Se on kuitenkin varoittanut aggressiivisista verkkotunnusten myyntikirjeistä .fi-haltijoille ja julkaissut Ole valppaana tekoälyn kanssa -ohjeen, jossa muistutetaan, että tekoälyä voi manipuloida ja että sen viimeistelemä kalastelu on yhä vaikeampi tunnistaa.
Uhka ei katso kieltä. Suomenkielinen chatbotin käyttäjä on ihan yhtä altis, kun malli keksii uskottavalta näyttävän .fi- tai .com-osoitteen.
Tunnistusmerkit
- Tekoälyavustaja tarjoaa suoran linkin tai valmiin asennuskomennon vastauksessaan.
- Verkko-osoite on aivan tuore eikä sillä ole hakuhistoriaa tai mainintoja muualla.
- Sivu jäljittelee tunnettua brändiä, kuten postiyhtiötä, ja näyttää tekaistuja arvosteluja tai käyttäjämääriä.
- Osoitteessa on ylimääräisiä väliviivoja tai outo pääte.
Mitä tehdä
- Älä luota sokeasti osoitteeseen, latauslinkkiin tai asennuskomentoon, jonka chatbot antaa. Kirjoita tuntemasi osoite itse, käytä kirjanmerkkiä tai lataa sovellus virallisesta kaupasta.
- Tarkista verkkotunnus ennen kuin syötät tunnuksia tai maksutietoja. Aivan tuore sivu ilman historiaa on varoitusmerkki.
- Ole varovainen tekoälyagenttien kanssa, jotka toimivat itsenäisesti sisäänkirjautuneilla tileilläsi.
- Ilmoita epäilemästäsi huijauksesta Kyberturvallisuuskeskukselle osoitteessa ilmoita.kyberturvallisuuskeskus.fi ja poliisille osoitteessa poliisi.fi.
Keksityt verkkotunnukset ja selainagenttien manipulointi ovat saman kehityskulun kaksi puolta: tekoälystä on tullut uusi hyökkäyspinta. Kuinka moni noista 250 000 vapaasta osoitteesta päätyy rikollisen käsiin, jää nähtäväksi.