社交工程攻击长期以来一直是一种有效的策略，因为它专注于利用人类的弱点。它不需要暴力破解密码，也不需要寻找未修补的软件漏洞。相反，它只是通过操纵信任、恐惧和对权威的尊重等情感，来获取敏感信息或访问受保护的系统。
传统上，这意味着攻击者需要手动研究和接触目标，这耗费了大量的时间和资源。然而，随着人工智能（AI）的出现，现在可以大规模地发起社交工程攻击，甚至不需要心理学专业知识。本文将介绍AI如何推动新一轮社交工程攻击的五种方式。
1. 音频深度伪造可能影响了斯洛伐克选举
在2023年斯洛伐克议会选举前夕，一段录音浮出水面，内容似乎是候选人Michal Simecka与知名记者Monika Todova的对话。这段两分钟的音频讨论了购买选票和提高啤酒价格的问题。
这段录音在网上传播后，被揭露是伪造的，声音是由AI生成的，且基于说话者的声音进行了训练。
然而，这段深度伪造的音频在选举前几天才被发布。这让许多人怀疑AI是否影响了选举结果，并导致Michal Simecka所在的进步斯洛伐克党最终屈居第二。
2. 2500万美元的视频会议骗局
2024年2月，有报道称，跨国企业Arup的一名财务员工遭遇了一起AI驱动的社交工程攻击。这名员工参加了一个在线会议，与会者包括他认为是公司首席财务官（CFO）和其他同事的人。
在视频会议期间，这名财务员工被要求转账2500万美元。由于相信请求来自真正的CFO，员工按照指示完成了交易。
最初，他们通过电子邮件收到了会议邀请，这让他们怀疑自己可能成为钓鱼攻击的目标。然而，在看到似乎是CFO和同事的真人后，信任得以恢复。
唯一的问题是，这名员工是会议中唯一真实的人。其他与会者都是通过深度伪造技术生成的数字人物，而资金则流入了诈骗者的账户。
3. 母亲接到100万美元的赎金电话
很多人都收到过类似“嗨，妈妈/爸爸，这是我的新号码。你能转一些钱到我的新账户吗？”的随机短信。当以文字形式收到时，人们更容易停下来思考：“这条信息是真的吗？”然而，如果你接到一个电话，听到对方的声音并认出是自己的孩子呢？而且，如果听起来他们被绑架了呢？
这正是2023年在美国参议院作证的一位母亲的经历。她接到一个电话，听起来像是她15岁的女儿打来的。接听后，她听到：“妈妈，这些坏人抓住了我。”随后，一个男声威胁说，除非支付100万美元赎金，否则将采取一系列可怕的行动。
在恐慌、震惊和紧迫感的驱使下，这位母亲相信了她所听到的一切，直到后来发现这通电话是使用AI克隆的声音制作的。
4. 窃取用户名和密码的虚假Facebook聊天机器人
Facebook曾表示：“如果你收到声称来自Facebook的可疑电子邮件或消息，请不要点击任何链接或附件。”然而，社交工程攻击者仍然通过这种策略取得了成功。
他们可能会利用人们对失去账户访问权限的恐惧，要求他们点击恶意链接并申诉虚假的封禁。他们还可能发送一个链接，并附上问题“这是你在视频中吗？”，从而触发人们的好奇心、担忧和点击欲望。
如今，攻击者在这种社交工程攻击中加入了AI驱动的聊天机器人。用户会收到一封假装来自Facebook的电子邮件，威胁要关闭他们的账户。点击“申诉”按钮后，会弹出一个聊天机器人，要求用户输入用户名和密码。支持窗口带有Facebook的品牌标识，实时互动中还包含“立即行动”的请求，进一步增加了攻击的紧迫感。
5. 深度伪造的泽连斯基总统呼吁“放下武器”
俗话说，战争中的第一个牺牲品是真相。只是有了AI，真相现在也可以被数字化重塑。2022年，一段伪造的视频似乎显示乌克兰总统泽连斯基敦促乌克兰人投降并停止与俄罗斯的战争。这段录音通过被黑客入侵的乌克兰24电视台播出，随后在网上传播。
泽连斯基总统深度伪造视频的截图，面部和颈部肤色存在差异
许多媒体报道指出，这段视频存在太多错误，难以被广泛相信。例如，总统的头部与身体比例不协调，且角度不自然。
尽管AI在社交工程中的应用还处于相对早期阶段，但这类视频往往足以让人们停下来思考：“如果这是真的呢？”有时，只需在对手的真实性中引入一丝怀疑，就足以赢得胜利。
AI将社交工程推向新高度：如何应对？
对于组织来说，最大的挑战在于社交工程攻击针对的是情感，并唤起了我们作为人类的本能反应。毕竟，我们习惯于相信自己的眼睛和耳朵，并愿意相信被告知的内容。这些都是无法简单地关闭、降级或置于防火墙之后的自然本能。
再加上AI的崛起，这些攻击显然将继续在数量、种类和速度上不断涌现、演变和扩展。
因此，我们需要通过教育员工来控制和应对他们在收到异常或意外请求时的反应。鼓励人们在完成被要求的事情之前停下来思考。向他们展示基于AI的社交工程攻击是什么样子，最重要的是，让他们感受到实际攻击中的情感操纵。这样，无论AI发展得多快，我们都可以将员工转变为第一道防线。
以下是一个三点行动计划，供你参考：
- 与员工和同事讨论这些案例，并针对深度伪造威胁进行专门培训——提高他们的意识，并探讨他们应该如何应对。
- 为员工设置一些社交工程模拟场景——让他们体验常见的情感操纵技巧，并识别他们在真实攻击中的自然反应。
- 审查组织的防御措施、账户权限和角色特权——了解潜在攻击者在获得初始访问权限后的行动路径。
