Brazíliától az Egyesült Államokig, az Egyesült Királyságtól az Európai Unióig a zsarolóvírusok az évtized közepén jelentek meg a digitális bűnözés egyfajta „párhuzamos gazdaságaként”: szolgáltatásként szerveződik, kiszervezi a folyamatokat, és kihasználja a vállalatok és kormányok összekapcsolt rendszerektől való függőségét. Az újdonság nem magában a titkosításban rejlik, hanem abban, hogy a zsarolás hogyan ötvöződik a gyorsabb műveletekkel, a több ellopott adattal és a mesterséges intelligencia egyre növekvő használatával a költségek csökkentése és az elérés növelése érdekében.
Az ENISA – az EU kiberbiztonsági ügynöksége – által közzétett Threat Landscape 2025 jelentés a mesterséges intelligenciát a jelenlegi fenyegetettségi környezet egyik meghatározó elemeként minősítette. A jelentés kiemeli, hogy a mesterséges intelligencia által vezérelt adathalász kampányok a tavaly megfigyelt társadalmi manipulációs kezdeményezések jelentős részét tették ki. A gyakorlati hatás közvetlen: meggyőzőbb szövegek, a nyelvnek az áldozat profiljához való igazítása, a megközelítési tesztelés automatizálása és a támadás működési költségeinek csökkentése.
A mesterséges intelligencia nem helyettesíti teljesen az emberi operátort a zsarolóvírus-támadásokban, de csökkenti az erőfeszítést azokban a lépésekben, amelyek korábban időt és kézi szakértelmet igényeltek. A nyelvi modelleket arra használják, hogy személyre szabott e-maileket hozzanak létre, elemezzék a kiszivárgott adatokat a legnagyobb kihasználási potenciállal rendelkező érzékeny információk azonosítása érdekében, és támogassák a sebezhetőségi kutatásokat. Az Egyesült Királyság Nemzeti Kiberbiztonsági Központja már figyelmeztetett, hogy a mesterséges intelligencia növeli a meglévő taktikák hatékonyságát, gyakoriságát és mértékét, különösen a felderítés és a támogatott kihasználás terén.
A mesterséges intelligencia ágenseinek szerepe
A legjelentősebb előrelépés azonban az ágensalapú architektúrák használatában rejlik. A pusztán szöveget generáló modellel ellentétben az ágensek olyan rendszerek, amelyek képesek feladatok tervezésére, külső eszközök hívásának végrehajtására, API-kkal való interakcióra és kontextus fenntartására több szakaszban. Legitim vállalati környezetekben alkalmazva ezek az ágensek automatizálják a belső folyamatokat, integrálják a rendszereket és csökkentik a működési súrlódásokat. Offenzív szempontból ugyanez a logika használható az elosztott műveletek koordinálására.
Egy strukturált támadás magában foglalhat egy ügynököt, aki nyilvános és belső információk gyűjtésére specializálódott, egy másikat, aki a hitelesítő adatok ellenőrzésére és a túlzott engedélyek kihasználására összpontosított, és egy harmadikat, aki a felhőszolgáltatási API-k működtetéséért felelős az erőforrások, tokenek és hozzáférési kulcsok leképezéséhez. A kezdeti behatolástól kezdve az automatizálás felgyorsítja az oldalirányú mozgást és a kiszivárgást. Az eredmény a kompromittálás és a zsarolás közötti ciklus lerövidülése.
Brazíliában a CTIR Gov riasztásai 2022 óta a BlackCat/ALPHV-hoz hasonló csoportok fejlődését írják le, amelyek oldalirányú mozgási technikákkal és testreszabott titkosítással működnek. Ami most változik, az az intelligens automatizálás további rétege, párosulva az API-alapú integrációk, szolgáltatásfiókok és automatizált munkafolyamatok növekvő vállalati elterjedésével.
Ez a konvergencia kiterjeszti a kockázati felületet. Minden integráció hitelesítő adatokat, tokeneket és engedélyeket ad hozzá. Minden működési autonómiával rendelkező vállalati ügynök egy új gépi identitást képvisel. Ha ezek az elemek veszélybe kerülnek, látszólagos legitimitással cselekedhetnek a környezetben. A vizsgálat az egyszerű „ki fért hozzá” kérdésről a „melyik rendszer hajtotta végre az adott műveletet, és milyen döntési láncolat alatt” kérdésre változik.
Technikai szempontból ezekre az új fenyegetésekre való reagálás architektúrális átalakítást igényel. A zéró bizalom modellek, a részletes szegmentálás és a gépi identitások szigorú ellenőrzése prioritássá válik. A jogosultságkezelésnek tartalmaznia kell a szolgáltatásfiókokat és az automatizált integrációkat. A naplókat központosítani kell és védeni kell a manipulációtól, lehetővé téve a viselkedéselemzést eseménysorozatok alapján, és nem csak elszigetelt riasztások alapján.
A megváltoztathatatlan biztonsági mentések továbbra is alapvető intézkedést jelentenek a titkosítás ellen, de nem oldják meg az adatvédelmi incidensek révén történő zsarolás reputációs dimenzióját. Az adatszivárgás folyamatos monitorozása és az incidensekre adott egyértelmű válaszlépések ma már a stratégiai tervezés részét képezik.
A mesterséges intelligencia vállalatoknál való alkalmazása önmagában nem jelent problémát. Épp ellenkezőleg, strukturált módon alkalmazva erősítheti az észlelést és a reagálást. A kockázat akkor merül fel, ha az ügynökök túlzott jogosultságokkal működnek, az integrációkat megfelelő leltár nélkül valósítják meg, és az automatizált döntéseknek nincs auditálható nyomvonaluk.
A zsarolóvírusok egy technikai támadásból strukturált gazdasági modellé fejlődtek. A mesterséges intelligencia és az autonóm ügynökök beépítése felgyorsítja ezt a logikát, csökkenti a bűnözők költségeit, és növeli a bonyolultságot a vállalatok számára, amelyeknek naprakészen kell tartaniuk védelmi stratégiáikat. A stratégiai prioritás az identitások, API-k és algoritmusok szabályozása ugyanolyan szigorúsággal, mint a fizikai és pénzügyi eszközök esetében.
Azok a vállalatok, amelyek az ügynököket és az automatizálást kockázati architektúrájuk központi részének tekintik, jobb helyzetben lesznek a következő hullámmal szembenézni. Azok, akik a mesterséges intelligenciát csak termelékenységi eszközként tekintik, túl későn fedezhetik fel, hogy az irányítás nélküli autonómia csendben, mégis határozottan növeli a kitettséget.
