Patronunuz Bu E-postayı Göndermedi. Onun Son Üç Yanıtı Üzerine Eğitilen Bir Yapay Zeka Göndermişti.

Sahte patronluk e-postasının eski belirtisi kötü gramer ve tuhaf bir selamlamadır. O belirtı artık yoktur. Üretken araçlar artık kazınmış e-posta dizilerini içine alıyor ve bir meslektaşın tam sedasını, noktalamayı ve imzasını taklit ediyor; bu yüzden işletme e-postası uzlaşması hala şirketleri boşaltıyor — FBI'ın İnternet Suç Şikâyet Merkezi, 2023'te tek başına $2.9 milyar bildirilen BEC kaybını kaydetti. Geriye kalan tek güvenilir savunma, harekete geçmeden önce konuşmayı farklı bir kanala taşımaktır.

Müdürümüz gibi ses veren bir e-postaya nasıl güvenemem?

Çünkü "onun gibi sesliyor" artık taklit etmesi en kolay parça. BEC, ele geçirilmiş veya benzer bir adres ile hantal metni birleştirmeye bağlıydı; garip ifade belirtiydi. Büyük bir dil modeline birinin gerçek üç yanıtını besleyin ve o model onların ritimini eşleştirecektir — "Hey" ile nasıl açtıklarını, acele ettiğinde noktalamayı nasıl atlattıklarını, imzaları nasıl ilk harf ile bitirdiklerini. Saldırganlar bu yanıtları ele geçirilmiş bir posta kutusundan, iletilen bir diziden veya şirket dışına sızanmış bir reply-all zincirinden alırlar.

Verizon'un 2024 Veri İhlali Soruşturmaları Raporu, ihlallerin kabaca %68'inde insan unsurunu buldu; sosyal mühendislik ve kimlik taklidi baskın bir modeldir. Stil artık delil değildir. CFO'nuz gibi yazabilecek kişi, CFO'nuzun giden kutusunun on beş dakikalık bir örneğinde eğitilmiş bir model olabilir.

Bu yükseltilmiş taklit etmelerin biri gerçekte neye benziyor?

Zaten devam eden gerçek bir konuşmaya uyan, kısa, makul, biraz acele eden bir isteme benzer. Klasik hamle: bir satıcı ödeme hakkında varolan bir diziye atılan bir yanıt; yeni tel talimatları ve "banka eski hesabı işaretledi, bunu kullan" gibi bir satır. Yazım hatası yok, doğru proje adları, müdürünüzün gerçek konuşma alışkanlıkları.

Teknik sorun şudur: görüntü adı mükemmel okunabilir iken gönderen etki alanı bir karakterle farklı olabilir — @company-invoices.com yerine @company.com — veya Yanıtla başka bir yere sessizce işaret edebilir. Kimlik doğrulama burada yardımcı olur: SPF, DKIM veya DMARC hizalanmasında başarısız olan bir ileti, ne kadar insanca okunsa da şüpheli değildir. xmail dahil olmak üzere yapay zeka posta araçları, dolandırıcılık ve fatura sahtekarlığını işaretleme gibi dolandırıcılık işaretlemesi ile yapay zeka e-postası, bu başlıkları otomatik olarak kontrol eder; çünkü bir telefonda taraması yapan kişi hiçbir zaman yapmayacak.

Peki gerçekten yüzüne bakmadan güvenemediğim bir isteği nasıl doğrulayabilirim?

Kanalları değiştirin ve zaten bildiğiniz birine, e-postanın size verdiği kanala değil, onlar aracılığıyla onaylayın. E-posta para veya kimlik bilgileri istiyorsa, kişilere imzanızdan aldığınız numaradan değil, kişilerin rehberinden veya şirket rehberinden bir numaradan çağırın — asla imza numarası değil. Masalarına yürüyün. İç sohbet aracında onlara mesaj gönderin. Bütün dolandırıcılık, saldırganın her iki tarafı da kontrol ettiği e-postanın içinde kalmanıza bağlıdır.

Bunu bir yargı çağrısı değil, bir kural haline getirin. Herhangi bir ödeme değişikliği, herhangi bir tel, herhangi bir yeni bankacilik detayı ikinci bir kanal onayı alır, noktasız virgülsüz — IC3 BEC için tam olarak bu sözlü doğrulamayı tutarlı bir şekilde önerir. Kurallar meşgul bir Salı öğleden sonrasında hayatta kalır; içgüdüler değil. Ve ikna edici bir yazı stilini herhangi bir şeyin kanıtı olarak muamele etmeyi bırakın. Kazınmış yanıtlar üzerinde eğitilmiş bir modelin taklit edemeyeceği tek şey, müdürünüzün telefonu açması ve onu hiç göndermediğini söylemesidir.

@@END@@