Umelá inteligencia mení pravidlá kybernetickej bezpečnosti. Menšie firmy už nemôžu spoliehať na šťastie

Generatívne nástroje dnes píšu e-maily, sumarizujú zmluvy, pomáhajú programátorom aj zákazníckej podpore. Pre mnohé firmy sa umelá inteligencia za pomerne krátky čas stala bežným pracovným nástrojom. Druhá strana tejto mince je menej príjemná: tie isté technológie mali k dispozícii aj kyberzločinci a tie ich útoky sú vďaka nim lacnejšie, rýchlejšie a presvedčivejšie. Práve tento dvojaký vplyv bol jednou z hlavných tém jesenného podujatia ESET Security Days, ktoré slovenská bezpečnostná spoločnosť organizuje pre firemných klientov a odbornú verejnosť.

Útočníci získali lacného pomocníka

Ešte pred pár rokmi sa podvodné e-maily dali často rozoznať podľa krkolomnej slovenčiny, preklepov či nezmyselného oslovenia. Jazykové modely tieto chyby vo veľkej miere odstránili. Útočník dokáže v priebehu chvíle vytvoriť správu, ktorá znie ako komunikácia od dodávateľa, banky alebo vlastného nadriadeného, a prispôsobiť ju konkrétnej osobe na základe verejne dostupných informácií.

K tomu pribúdajú ďalšie techniky, o ktorých sa v bezpečnostnej komunite hovorí čoraz častejšie:

• falošné hlasové nahrávky a videá napodobňujúce manažérov, ktoré majú presvedčiť zamestnancov k platbe,
• automatizované vyhľadávanie zraniteľností v softvéri a webových aplikáciách,
• rýchle generovanie variantov škodlivého kódu, ktoré sa snažia obísť tradičnú detekciu,
• únik citlivých dát cez nekontrolované používanie verejných AI nástrojov samotnými zamestnancami.

Prečo sú v hľadáčiku aj menšie firmy

Medzi malými a strednými podnikmi stále pretrváva presvedčenie, že nie sú dostatočne zaujímavým cieľom. Realita je opačná. Automatizácia umožňuje útočníkom zasiahnuť obrovské množstvo cieľov naraz a menšie firmy bývajú zraniteľnejšie, pretože nemajú vlastné bezpečnostné oddelenie, IT spravuje jeden človek alebo externý dodávateľ a aktualizácie či zálohovanie sa riešia skôr náhodne než systematicky.

Menšia firma navyše často funguje ako vstupná brána k väčším partnerom. Ak útočník ovládne e-mailovú schránku subdodávateľa, môže ju zneužiť na podvodné faktúry alebo na prienik do systémov jeho odberateľov. Odborníci preto zdôrazňujú, že profesionálna ochrana dnes nie je otázkou veľkosti podniku, ale jeho prepojenia s okolím.

Bezpečnosť ako ekonomické rozhodnutie

Pre vedenie firiem sa kybernetická bezpečnosť postupne presúva z oblasti technických detailov do oblasti riadenia rizík. Výpadok systémov, zašifrované dáta po útoku ransomvéru alebo odcudzené údaje klientov znamenajú priame finančné straty, prerušenie prevádzky aj poškodenú reputáciu. Tlak zvyšuje aj regulácia: európska smernica NIS2 rozšírila okruh organizácií, ktoré musia riadenie kybernetických rizík preukázateľne zabezpečiť.

Umelá inteligencia pritom nestojí len na strane útočníkov. Bezpečnostné riešenia ju využívajú na rozpoznávanie nezvyčajného správania v sieti, rýchlejšiu analýzu incidentov a odhaľovanie hrozieb, ktoré by človek prehliadol. Technológia však nenahradí základnú hygienu: pravidelné aktualizácie, viacfaktorové overovanie, zálohy a predovšetkým zamestnancov, ktorí vedia, že aj veľmi dôveryhodne vyzerajúcu žiadosť o platbu treba overiť iným kanálom.

Hlavné posolstvo podujatia je teda pomerne jednoduché. Rovnaká technológia, ktorá firmám šetrí čas a peniaze, môže pri nedostatočnej príprave spôsobiť škody, ktoré tieto úspory ďaleko prevýšia.