Jakub Jirsák - stock.adobe.com
KI steigert die Gefahr des synthetischen Identitätsbetrugs
KI-Technologien wie ChatGPT revolutionieren viele Bereiche. Auch Angreifer nutzen diese Möglichkeiten. Der KI-basierte Identitätsdiebstahl stellt dabei eine große Gefahr dar.
Der synthetische Identitätsbetrug ist eine wachsende Bedrohung und der Einsatz von KI wird die Risiken noch deutlich erhöhen. Cyberangreifer können KI-Lösungen wie die ChatGPT AI Engine nutzen, um realistische synthetische Identitäten zu kreieren. Informationen zu Personen finden sich heute im digitalen Leben online in verschiedensten Bereichen und Datenbanken. Die verfügbare Datenmenge steigt dabei unaufhaltsam. Jedes Mal, wenn man eine neue App zu seinem Mobilgerät hinzufügt, bittet eine Software um die Erlaubnis, tiefer in das Privatleben einzudringen. Die individuelle Angriffsfläche erhöht sich damit kontinuierlich.
Allerdings ist es prinzipiell sehr aufwendig, alle frei verfügbaren Daten miteinander in Beziehung zu setzen. Neue KI-Lösungen bieten aber nun die entsprechende Verarbeitungsleistung, um die unterschiedlichen Datenpunkte sofort zusammenzuführen. So ist es denkbar, dass Hacker alle ungeschützten, gesammelten Daten in ChatGPT als Basis für Doxing-Angriffe einspeisen. Die durch KI ermöglichten Datenkorrelationen erleichtern es Angreifern beispielsweise, die Passwörter potenzieller Ziele abzuleiten. Im Handumdrehen kann KI den Mädchennamen der Mutter oder die Straße, in der eine Person aufgewachsen ist, extrahieren oder erschließen – oder auch fast jede typische Standardfrage und -antwort für Self-Service-Recovery-Portale zum Zurücksetzen von Passwörtern.
KI-basierter synthetischer Identitätsbetrug
Der KI-Einsatz durch Kriminelle erhöht aber vor allem auch die Gefahr des synthetischen Identitätsbetrugs. So steigen die Spoofing- und Phishing-Risiken, indem Angreifer realistischere menschliche Sprach- und Textmuster erzeugen und damit Personen überzeugen können, etwas zu teilen oder zu tun, was sie nicht tun sollten.
„Weder Unternehmen noch Privatpersonen sollten die Bedrohung durch synthetische Identitäten ignorieren, gerade in einer Zeit, in der der KI-Einsatz Hackern neue Möglichkeiten eröffnet.“
Len Noe, CyberArk
Eine synthetische Identität kann auch dazu verwendet werden, ein Unternehmensnetzwerk über das Heimnetzwerk mit Hilfe von Daten zu unterwandern, die durch KI korreliert wurden. Die synthetische Identität könnte Personen zum Beispiel dazu verleiten, Passwörter für persönliche Konten herauszugeben, die denen für Unternehmensanwendungen ähneln oder sogar mit ihnen identisch sind.
Maßnahmen zur Sicherung der digitalen Identität
Was können Unternehmen und Privatpersonen aber nun tun, um die Bedrohungen durch KI-gestützte synthetische Identitäten einzudämmen? Sie sollten vor allem vier elementare Maßnahmen zum Schutz digitaler Identitäten ergreifen:
1. Beschränkung des Informationsaustauschs im Internet
Privatpersonen sollten sich immer Fragen stellen wie „Benötigt ein Unternehmen wirklich die angefragten Informationen?“. Die Preisgabe personenbezogener Daten ist immer auf ein Minimum zu beschränken.
2. Limitierung der App-Zugriffe
Prinzipiell sollten bei jedem Download einer App die Berechtigungen überprüft werden, die sie anfordert: Braucht die App zum Beispiel wirklich Zugriff auf Kamera, Mikrofon oder die Kontaktliste?
3. Sicherung des Heimnetzwerkes
Für den Router muss ein starkes, komplexes Passwort genutzt werden, das auch regelmäßig geändert wird. Firmware und Software Patches sind zudem immer up to date zu halten. Gerade bei der Nutzung von Endgeräten in Home-Office-Netzwerken sollten Unternehmen Mindeststandards festlegen, etwa hinsichtlich der Verwendung sicherer WLAN-Passwörter.
4. Vermeidung von direkten Log-ins
Privatpersonen verwenden bei Online-Anwendungen nach Möglichkeit immer eine Multifaktor-Authentifizierung (MFA). Im Unternehmenskontext ist die Nutzung eines SSO-Verfahrens (Single Sign-On) mit einer adaptiven MFA am Frontend empfehlenswert.
Die beste Option, die ein Unternehmen hat, ist eine echte adaptive MFA, um zu überprüfen, ob eine Person diejenige ist, die sie vorgibt zu sein. Multi-Faktor bedeutet dabei nicht automatisch Zwei-Faktor, denn eine solche Authentifizierung ist das Minimum. Prinzipiell spricht viel für die Nutzung von Phishing-resistenten Multifaktor-Authentifizierungs-Verfahren wie FIDO2-Token oder Smartphone-Apps, die auf biometrische Daten zugreifen.
Weder Unternehmen noch Privatpersonen sollten die Bedrohung durch synthetische Identitäten ignorieren, gerade in einer Zeit, in der der KI-Einsatz Hackern neue Möglichkeiten eröffnet. Die Sicherung der Identitäten und persönlichen Daten muss bei der Arbeit und zu Hause oberste Priorität besitzen. Damit wird auch eine wichtige Voraussetzung geschaffen, um einem KI-basierten synthetischen Identitätsbetrug vorzubeugen.
Über den Autor:
Len Noe ist Technical Evangelist und White Hat Hacker bei CyberArk.
Die Autoren sind für den Inhalt und die Richtigkeit ihrer Beiträge selbst verantwortlich. Die dargelegten Meinungen geben die Ansichten der Autoren wieder.
