Tag: menyebabkan sakit kepala bagi para pembela HAM

Kecerdasan buatan telah meningkatkan sejumlah teknologi secara signifikan dalam waktu singkat. Sayangnya, teknologi ini juga dimanfaatkan oleh berbagai pelaku jahat.

Salah satu contoh bagaimana hal ini menjadi masalah yang signifikan dapat ditemukan dalam bidang phishing suara yang sedang berkembang, penipuan berbasis telepon atau video dimana penyerang menyamar sebagai manusia yang dipercaya. Perangkat lunak pengubah suara AI real-time tersedia secara gratis di repositori sumber terbuka di GitHub, dan peneliti keamanan terkejut melihat betapa efektifnya alat ini.

Tom Cross dari GetReal Security berbicara tentang pengaturan ulang kredensial selama Cyphercon.

Ada anggapan bahwa biometrik suara akan membantu mengidentifikasi mana yang palsu dan mana yang asli. Namun, hal tersebut belum tentu terjadi, menurut Tom Cross, kepala penelitian ancaman di GetReal Security Inc., yang secara pribadi telah menguji alat pengubah suara AI terbaru.

“Tidak hanya terdengar seperti saya, tetapi juga terdengar seperti saya pada biometrik suara tercanggih yang pernah kami coba,” kata Cross. “Orang-orang tidak memahami apa yang mungkin terjadi saat ini.”

Penargetan pengaturan ulang kredensial

Cross mempresentasikan hasil penelitiannya di Cyphercon, sebuah pertemuan minggu ini di Milwaukee yang terdiri dari para peneliti keamanan siber dan kepala petugas keamanan informasi. Acara ini memberikan pandangan masyarakat mengenai apa yang dilihat oleh beberapa pakar keamanan terkemuka di negara ini dalam lanskap ancaman yang terus berkembang.

Ini bukan gambaran yang bagus. Cross merinci hasil karyanya baru-baru ini untuk menilai serangan baru-baru ini terhadap siklus hidup kredensial, dan mencatat bahwa AI telah memicu peningkatan nyata dalam alat suara dan wajah yang menipu.

Penyetelan ulang kredensial saat ini merupakan metode utama yang digunakan oleh pelaku kejahatan, sebuah tren yang diperburuk oleh kenyataan kerja jarak jauh yang disebabkan oleh pandemi Covid pada tahun 2020. Jika sebelumnya karyawan diharuskan hadir sendiri di kantor untuk membuktikan identitas mereka untuk proses kredensial ulang, era pascapandemi telah menyebabkan lebih banyak karyawan yang tidak pernah menginjakkan kaki di kantor sama sekali.

“Jumlah orang yang bekerja secara jarak jauh meningkat lebih dari dua kali lipat,” kata Cross. “Kami mengubah manusia menjadi kunci pribadi.”

Salah satu peretasan paling signifikan yang melibatkan pengaturan ulang kredensial terjadi pada tahun 2023 ketika MGM Resorts Inc. dan Caesars Entertainment Inc. terkena serangan ransomware. Eksploitasi tersebut, dilakukan oleh kelompok penjahat dunia maya yang dikenal sebagai Scattered Spider, menargetkan vendor teknologi informasi pihak ketiga melalui serangan rekayasa sosial yang membujuk teknisi meja layanan untuk mengatur ulang faktor otentikasi untuk pengguna dengan hak istimewa tinggi.

Cross memperingatkan bahwa alat berbasis AI memudahkan penjahat dunia maya untuk menghasilkan serangan rekayasa sosial yang meyakinkan, serupa dengan eksploitasi yang menghancurkan mesin slot dan sistem reservasi di Las Vegas tiga tahun lalu. Dia merekomendasikan sejumlah teknik pengendalian agar organisasi dapat menerapkannya sesegera mungkin. Hal ini termasuk mengharuskan persetujuan dari dua karyawan pusat bantuan untuk mengatur ulang kredensial, melakukan panggilan konferensi video dengan pemohon yang melarang latar belakang virtual atau pemburaman, dan memiliki manajer di bagan organisasi yang dapat bergabung dalam panggilan atau menjamin mereka.

“Mereka memilih karyawan yang bekerja di bidang IT, orang tersebut memiliki hak admin super,” kata Cross. “Tidak diperlukan banyak informasi dibandingkan informasi yang tersedia untuk umum untuk menargetkan proses ini.”

Memanfaatkan alat video deepfake

Persenjataan alat deepfake AI yang semakin berkembang juga meluas ke video. Gelombang penipuan “penangkapan digital” saat ini sedang melanda India, menurut James McQuiggan, kepala teknologi informasi di Quilligence dan direktur pendidikan di Florida Cyber ​​Alliance.

James McQuiggan dari Quilligence menjelaskan munculnya alat deepfake video AI kepada peserta di Cyphercon.

Dia menggambarkan bagaimana pelaku kejahatan sering menggunakan nomor telepon palsu untuk memberikan surat perintah palsu melalui saluran video WhatsApp. Video yang dihasilkan AI, dengan orang-orang yang dibuat secara digital meniru hakim sungguhan dalam beberapa kasus, muncul di layar pengguna dalam suasana ruang sidang yang dapat dipercaya dan mengancam penangkapan atas berbagai kejahatan kecuali jika pembayaran dilakukan.

“Mereka menyimpannya secara online sehingga mereka harus membayar atau mereka akan ditangkap,” kata McQuiggan. “Kami melihat penipuan penangkapan palsu terjadi di India dan negara-negara Asia lainnya. Saya tidak akan terkejut jika kita mulai melihat hal ini [in the U.S.] dalam enam bulan ke depan atau bahkan lebih cepat.”

Kemajuan pesat dalam alat video AI tidak diragukan lagi akan mempermudah pelaku ancaman. McQuiggan mendemonstrasikan video deepfake realistis berdurasi 30 detik yang dia buat dari pembicara sebelumnya di konferensi hari itu yang hanya membutuhkan waktu empat menit untuk diproduksi. Mungkin yang lebih mengejutkan adalah alat yang ia tunjukkan di atas panggung bernama Decart Video AI yang menggunakan kamera ponselnya untuk mengirimkan gerakan seluruh tubuh dalam aksi langsung. Itu adalah wajah dan tubuh orang lain dalam video tersebut.

“Membuat deepfake ini tidak membutuhkan banyak usaha, terutama jika Anda sudah memiliki layanannya,” kata McQuiggan kepada audiens Cyphercon. “Beberapa harganya hanya beberapa dolar.”

Malware yang mengkode sendiri muncul

Meskipun deepfake adalah manifestasi nyata dari bagaimana aktor jahat menggunakan AI untuk meningkatkan permainan mereka, para peneliti ancaman juga memperingatkan adanya perangkat lunak baru yang beroperasi secara diam-diam dalam bayang-bayang digital.

Malware AI polimorfik mulai muncul dalam serangan otonom dan adaptif, menurut laporan ancaman terbaru dari Google Mandiant. Malware ini menggunakan antarmuka pemrograman aplikasi model AI untuk menghasilkan kode berbahaya sesuai permintaan selama eksekusi, dengan kemampuan untuk mengubah tanda tangan dan perilakunya untuk menghindari sistem deteksi tradisional berbasis tanda tangan.

Peneliti Google Mandiant telah menemukan versi malware dalam serangan yang didukung pemerintah Rusia terhadap Ukraina. Dalam presentasi tentang AI polimorfik, peneliti keamanan Stephen Sam mengatakan bahwa meskipun malware ini memiliki kemampuan yang tidak biasa untuk memodifikasi dirinya sendiri “tepat pada waktunya”, malware tersebut tetap harus mengikuti aturan dasar pemrograman yang pada akhirnya memungkinkan penemuan.

“Baca-tulis yang persisten dalam memori yang tidak didukung oleh file adalah sebuah senjata api,” kata Sam. “Bahkan malware yang menulis sendiri pada akhirnya harus menyentuh disk. Kita berada dalam perlombaan senjata, namun hal ini bukan berarti tidak ada harapan. Para pengubah bentuk itu cepat dan cerdas, namun mereka tetap harus mengikuti aturan yang tidak dapat diubah.”

Tantangan yang dihadapi para profesional keamanan siber saat ini adalah bahwa meskipun protokol pengkodean mungkin memaksa beberapa pelaku ancaman untuk bertindak sesuai aturan, mereka kemungkinan besar tidak akan melakukan hal tersebut dalam jangka panjang, dan mereka kini memiliki akses ke serangkaian alat AI yang canggih untuk membuat hidup para pembela HAM menjadi lebih sulit. Hal ini pada akhirnya dapat menyebabkan perubahan dalam cara pandang keamanan, di mana para praktisi tidak lagi berpikir seperti pembela HAM dan lebih berpikir seperti peretas.

“Hacker CISO” Mishaal Khan menyampaikan keynote tentang intelijen sumber terbuka di Cyphercon di Milwaukee.

Contoh dari pola pikir ini dapat dilihat dalam karier Mishaal Khan, yang menyebut dirinya sebagai “Hacker CISO” yang telah membangun reputasi sebagai peretas etis untuk membantu orang lain dengan menggunakan informasi yang tersedia secara online. Pendekatan Khan, yang dikenal sebagai OSINT atau Open-Source Intelligence, telah berperan dalam penyelesaian peretasan seperti pelanggaran aplikasi parkir tanpa uang tunai ParkMobile, dan penyelidikan yang lebih kecil telah mengungkap kedok penguntit, pemerkosa seks, dan orang-orang di balik ancaman bom online.

Dalam pidato utamanya di Cyphercon minggu ini, Khan menggambarkan sebuah filosofi yang mungkin terbukti menjadi jalan ke depan bagi banyak orang yang berupaya memerangi musuh bersenjata AI yang mengepung jaringan dan warga negara saat ini.

“Banyak remah roti di internet yang membuat profil tentang Anda,” kata Khan. “Saya merasa saya memberdayakan dan mempersenjatai orang untuk menggunakan keterampilan mereka untuk berbuat baik. Kita memikul banyak tanggung jawab untuk melakukan sesuatu dengan benar. Ini adalah tugas besar. Segala sesuatunya berubah dengan cepat dan kita perlu bergerak sesuai dengan itu.”

Gambar: SiliconANGLE/ObrolanGPT