Restare al passo con l'impersonificazione del brand potenziata dall'IA

Sintesi esecutiva: l'IA ha potenziato notevolmente l'impersonificazione del brand: nel secondo trimestre del 2024 quasi la metà di tutte le email elaborate conteneva tentativi di spoofing o phishing, il 40% dei quali generati dall'IA. La portata, la velocità e la sofisticazione di questi attacchi stanno sopraffacendo i team di sicurezza, prosciugando le risorse su falsi positivi e lasciando minacce critiche non rilevate. I consumatori sono spietati quando la fiducia viene tradita — la maggior parte ritiene responsabile il brand, non l'attaccante. Difendersi da questa ondata richiede una protezione altrettanto avanzata basata sull'IA, capace di individuare ogni uso improprio degli asset del brand, valutare le minacce a velocità di macchina e adattarsi continuamente all'evoluzione dei metodi di attacco.

3 punti chiave

• L'IA è ormai un'arma fondamentale per gli attaccanti – Lo spoofing dei brand è aumentato del 20% su base annua, con kit di phishing come Morphing Meerkat che offrono modelli già pronti per centinaia di brand noti.
• Il costo della fiducia persa è enorme – Il 75% dei consumatori interromperà i rapporti con un brand dopo un incidente informatico, e la maggior parte incolperà l'azienda per non aver protetto i propri dati, non l'attaccante.
• Combattere l'IA con l'IA è essenziale – Una difesa efficace richiede strumenti di IA in grado di scansionare l'intera superficie di attacco, rilevare deepfake e domini simili, dare priorità alle minacce più pericolose e ridurre drasticamente il carico di lavoro di triage manuale.

I brand sono sotto attacco. Come per il resto di noi, l'intelligenza artificiale (IA) ha fornito ai malintenzionati gli strumenti per svolgere il proprio lavoro in modo più efficiente ed economico. Nel secondo trimestre del 2024 sono state elaborate circa 1,8 miliardi di email. Di queste, il 49% (un aumento del 20% su base annua) è risultato contenere spoofing di brand e altre tecniche di phishing, con il 40% generato da strumenti di IA.

Per chi lavora nel settore della difesa, un aumento del 20% degli attacchi basati sull'IA in meno di 12 mesi non è una sorpresa. Né lo è la notizia che il kit di phishing Morphing Meerkat conteneva 114 modelli di design di brand, tra cui Bank of America, Amazon, PayPal, Google Workspace e Apple iCloud. No, ciò che è difficile da credere è la raffica di soluzioni apparse dal nulla per risolvere davvero questo problema, che è costato alle aziende oltre 12 miliardi di dollari in mancati ricavi e in interventi di ripristino del brand.

Nell'ultimo anno ho ascoltato CISO, analisti della sicurezza e responsabili marketing che gestiscono alcuni dei brand più riconoscibili al mondo. Le loro storie sono sorprendentemente simili:

• Troppo rumore, troppo poca chiarezza: i feed di minacce generano migliaia di avvisi, eppure gli incidenti che finiscono sulle prime pagine spesso passano inosservati.
• Il triage manuale sta esaurendo i team: gli analisti passano ore a dimostrare che il 99% di ciò che esaminano è innocuo, lasciando pochissimo tempo per quell'1% che può danneggiare i clienti.
• I punti ciechi continuano a moltiplicarsi: nuovi domini web, account che impersonano dirigenti, deepfake generati dall'IA ed ecosistemi di partner in espansione creano una superficie di attacco che cambia più rapidamente di quanto qualsiasi foglio di calcolo possa tracciare.

I responsabili della sicurezza sono disperatamente alla ricerca della capacità di gestire gli asset del proprio brand e identificare rapidamente le minacce (soprattutto con i continui progressi dell'IA), senza dover fare affidamento su strumenti e soluzioni complicati che non soddisfano le loro esigenze. La necessità di una visibilità completa sull'intera superficie di attacco è urgente, non un semplice optional.

La velocità, come per la maggior parte degli attacchi informatici, è fondamentale. Le aziende spendono miliardi (e spesso decenni) per costruire un brand, solo per vedere la fiducia erosa nel giro di una notte. Secondo una recente ricerca di settore, il 75% dei consumatori è pronto a interrompere i rapporti con un brand dopo qualsiasi problema di sicurezza informatica, con la responsabilità che rimane sulla porta del brand. Negli Stati Uniti, il 64% degli americani incolperebbe l'azienda — non l'hacker — per la perdita di dati personali. Allo stesso modo, il 44% dei consumatori attribuisce gli incidenti informatici alla mancanza di misure di sicurezza di un'azienda.

Per i CISO che si preparano per la prossima riunione del consiglio, investire negli strumenti di sicurezza giusti per garantire una visibilità completa dovrebbe essere una priorità assoluta. Stiamo osservando alcuni progressi nel settore e accolgo con favore il recente annuncio di Microsoft sul lancio del proprio Eutheropean Security Program, per contrastare l'ascesa dell'IA come attore di minaccia in evoluzione. L'azienda rimane a oggi la più esposta ai tentativi di phishing sui brand, con una quota del 61% nel 2024.

Per contrastare la velocità, la portata e la crescente sofisticazione dell'IA, bisogna usare l'IA. Con lo strumento giusto, come Red Sift Brand Trust, è ora possibile scansionare milioni di domini e sottodomini in tutta Internet, elaborando più dati in un minuto di quanti un team umano potrebbe esaminarne in un mese. Il segreto sta nel cercare modelli appositamente addestrati in grado di rilevare campagne di spoofing del brand come domini simili, loghi contraffatti, foto deepfake di dirigenti e pattern testuali che sono diventati più efficaci delle truffe di phishing tradizionali.

E oltre al rilevamento di tali contenuti armati, l'IA appositamente addestrata impone chiarezza al caos. Raggruppa migliaia di artefatti correlati in un'unica narrazione, trasformando un flusso quotidiano di indicatori grezzi in una narrazione concisa su cui l'analista IA può agire senza dover scorrere infiniti avvisi. Inoltre, punteggi di rischio che si riaddestrano continuamente da soli pongono le minacce più rilevanti in cima alla coda. Gli analisti non devono più sprecare cicli inseguendo qualsiasi cosa sia comparsa più di recente; dovrebbero invece concentrarsi su ciò che può fare danni reali proprio ora. Infine, automatizzando la scoperta, l'arricchimento e il triage di primo livello, si possono recuperare ore preziose. Quelle ore recuperate diventano indagini, rimozioni e formazione dei clienti, restituendo risorse e tempo vitali alle organizzazioni.

Piuttosto che confrontare cataloghi di funzionalità, le mie conversazioni con i responsabili della sicurezza si sono concentrate su quattro domande pratiche. Condivido questo consiglio per tutti coloro che vanno avanti:

Se un fornitore riesce a dimostrare progressi su questi quattro fronti, le matrici delle funzionalità diventano rapidamente secondarie. Ma al di là del semplice spuntare caselle, la cosa più importante che un fornitore dovrebbe avere è la visione. Lo strumento giusto dota il tuo brand di una mappa olistica in tempo reale della superficie di attacco del brand, con le vulnerabilità più critiche che ti avvisano di agire prima che si verifichi un danno reputazionale.

Per chi pensa di poter aspettare a investire in una soluzione adeguata di rilevamento del brand, sia chiaro: l'impennata del phishing assistito dall'IA non rallenterà; l'aumento del 20% su base annua nel secondo trimestre 2024 è già una notizia vecchia.

Se sei pronto a iniziare, noi di Red Sift siamo pronti a supportarti. Inviaci un messaggio e inizia subito.