AI ha reso definitivamente inutili le liste di blocco per il phishing
L’uso dell’AI nel phishing ha reso obsolete le liste di blocco. Nuove tecniche di attacco superano i sistemi tradizionali.
Il phishing, una delle minacce più diffuse nella cybersecurity, ha visto un’evoluzione drastica grazie all’adozione dell’intelligenza artificiale. Le liste di blocco, una volta considerate un pilastro del rilevamento delle minacce, sono ora inutili per il tipo di attacchi che si osserva oggi. L’AI permette agli attaccanti di generare pagine di phishing in pochi minuti, di creare infrastrutture di supporto in modo rapido e di adattare le loro tecniche in modo tale che i sistemi basati su indicatori non riescano a seguirli. Questo ha reso obsolete le liste di blocco, che non riescono più a tenere il passo con l’evoluzione degli attacchi.
Le liste di blocco non bastano più
Le liste di blocco, che una volta erano un’arma efficace per bloccare domini sospetti, non riescono più a tenere il passo con l’evoluzione del phishing. Gli attaccanti utilizzano l’AI per generare pagine di phishing in base a screenshot di pagine legittime, creando contenuti che sembrano autentici ma sono completamente diversi da quelli originali. Questo rende impossibile rilevare tali pagine attraverso indicatori statici, come codici o firme. Inoltre, l’infrastruttura utilizzata dagli attaccanti è progettata per essere temporanea, con infrastrutture che vengono create e distrutte in modo rapido, al di fuori della capacità di tracciamento delle liste di blocco.
Le infrastrutture degli attaccanti sono progettate per essere utilizzate una sola volta, rendendo impossibile il loro rilevamento. Gli attaccanti non attendono di essere scoperti, ma agiscono attivamente, distruggendo le pagine e creando nuove infrastrutture per rimanere al di sopra delle difese. Questo modello di attacco rende i sistemi basati su indicatori estremamente inefficienti, poiché non riescono a seguire l’evoluzione rapida delle minacce.
Le tecniche di attacco si evolvono rapidamente
La velocità con cui gli attaccanti adattano le loro tecniche ha reso i sistemi tradizionali inadeguati. L’AI ha ridotto i costi di creazione delle pagine di phishing, permettendo a chiunque di generare contenuti malevoli in modo rapido e efficiente. Inoltre, gli attaccanti utilizzano servizi legittimi, come chatbot o piattaforme di pubblicità, per sfruttare la reputazione di tali servizi e evitare di essere bloccati. Questo ha reso il rilevamento basato su indicatori estremamente inefficiente, poiché le pagine malevole non sono più riconoscibili attraverso i metodi tradizionali. Il phishing moderno sfrutta la reputazione di servizi legittimi per evadere i sistemi di rilevamento. Gli attaccanti utilizzano funzionalità come il condivisione di chatbot o la pubblicità per creare pagine che sembrano autentiche, ma che in realtà sono progettate per bypassare i blocchi. Questo tipo di attacco non può essere rilevato attraverso indicatori statici, poiché le pagine non sono mai state precedentemente registrate come malevole.
Un esempio concreto è il caso di un attacco che ha sfruttato un redirect OAuth, un meccanismo standardizzato per la gestione delle credenziali. L’attacco ha sfruttato il comportamento predefinito di un sistema legittimo per indirizzare gli utenti a pagine controllate dagli attaccanti. Nonostante il dominio fosse reputato sicuro, l’attacco è riuscito a evadere i sistemi tradizionali grazie alla sua natura dinamica e alla sua capacità di adattarsi rapidamente. Solo un sistema che rileva le tecniche di attacco, e non solo i loro indicatori, è in grado di bloccare tali minacce.
La risposta al problema non si trova nel rafforzamento delle liste di blocco, ma nel rilevamento basato sul comportamento. I sistemi che analizzano le tecniche di attacco, come l’intercettazione di sessioni o la manipolazione del clipboard, sono in grado di rilevare minacce anche quando i loro indicatori non sono riconoscibili. Questo tipo di rilevamento richiede una visione diretta delle sessioni web e una capacità di analisi rapida, che solo un sistema avanzato, come quello utilizzato da Push Security, può offrire. Il rilevamento basato sul comportamento è la sola soluzione efficace contro il phishing moderno. Solo analizzando le tecniche di attacco, e non solo i loro indicatori, è possibile bloccare minacce che evadono i sistemi tradizionali. Questo approccio richiede una capacità di ricerca e analisi in grado di seguire l’evoluzione rapida degli attacchi, un’abilità che solo i sistemi avanzati possono offrire.