AI ułatwia oszustwa mailowe. Co zrobić w małej firmie

7 listopada The Verge opublikował rozmowę z Alexem Stamosem, szefem bezpieczeństwa w firmie Cognition i od lat jednym z najbardziej znanych ludzi w branży cyberbezpieczeństwa. Tytuł odcinka mówi wprost, że AI rozbiło świat cyberbezpieczeństwa, a Stamos opisuje obecną sytuację jako bałagan. To pierwsza część serii o tym, jak AI działa w prawdziwym życiu, poza prezentacjami producentów.

Dlaczego to ma znaczenie

Znam tylko zapowiedź odcinka, a nie całą rozmowę, więc nie będę przypisywał Stamosowi tez, których nie słyszałem. Sam kierunek jest jednak czytelny. Tę opinię wygłasza praktyk, a nie dziennikarz szukający sensacji, i zgadza się ona z tym, co od dłuższego czasu widać w skrzynkach firmowych.

Mechanizm jest prosty. Kiedyś przygotowanie przekonującego oszustwa wymagało czasu i znajomości języka. Fałszywy mail od „dostawcy” zdradzały literówki, dziwny szyk zdania i ogólnikowe powitanie. Dziś model językowy napisze poprawnym polskim wiadomość w tonie, w jakim pisze Twoja księgowa, i zrobi sto wersji w minutę. Przestępca pracuje szybciej i taniej. Ty nie dostajesz za to niczego.

Jedna uwaga na marginesie. Stamos pracuje dziś w firmie, która sama buduje narzędzia AI. Jego diagnoza przez to nie traci wartości, ale dobrze wiedzieć, z jakiej pozycji mówi.

Co to znaczy dla polskiej firmy

To nie jest news o produkcie, więc nie ma tu pytania o dostępność w Polsce czy cenę w złotówkach. Jest za to pytanie, czy Twoja firma nadal polega na starych sygnałach ostrzegawczych. Jeśli zasada brzmi „podejrzany mail poznamy po błędach”, to ta zasada już nie działa.

W małej firmie usługowej B2B zagrożenie wygląda zwyczajnie. Mail od stałego kontrahenta z informacją o zmianie numeru konta. Faktura w PDF, która wygląda dokładnie jak poprzednie. Wiadomość od „prezesa” z prośbą o pilny przelew przed końcem dnia. Wszystkie trzy da się dziś przygotować bez jednego błędu. Twój tydzień pracy wygląda tak samo jak wcześniej, tyle że oszustwo trudniej odróżnić od zwykłej korespondencji.

Jest też druga strona, o której właściciele rzadko myślą. Jeśli podpiąłeś asystenta AI do poczty, kalendarza, dysku albo CRM, każde takie połączenie ma dostęp do danych klientów. Pojedyncze narzędzia, które ze sobą nie gadają, mają zwykle osobne logowania, osobne uprawnienia i nikt nie pamięta, co ma dostęp do czego. To nie jest powód, żeby rezygnować z AI. To powód, żeby wiedzieć, co jest podłączone.

Co z tym zrobić

1. Zmiana numeru konta zawsze przez telefon. Ustal w firmie jedną zasadę: każdą prośbę o zmianę rachunku albo pilny przelew potwierdzacie telefonicznie, na numer, który już macie w kontaktach. Nigdy na numer podany w tym samym mailu. To nic nie kosztuje i zamyka najczęstszy scenariusz strat.

2. Logowanie dwuskładnikowe na poczcie, w banku i w programie do faktur. W Google Workspace i Microsoft 365 jest w cenie licencji. Przejęta skrzynka firmowa to najgorszy możliwy scenariusz, bo wtedy oszustwo wychodzi od Ciebie do Twoich klientów.

3. Przegląd podłączonych aplikacji. W ustawieniach konta Google albo Microsoft sprawdź listę aplikacji z dostępem do poczty i dysku. Odłącz to, czego nie używasz. Zajmie to kwadrans.

Na sam podcast nie musisz poświęcać godziny, jeśli nie zajmujesz się bezpieczeństwem zawodowo. Wystarczy wdrożyć te trzy rzeczy.

Źródło: The Verge AI