AI kan hjælpe angribere med at producere klare og målrettede beskeder i stort antal. Derfor er stavning, tone og et tilsyneladende personligt kendskab blevet dårligere pejlemærker for, om en anmodning er ægte. Økonomi og IT har brug for en proces, der også virker, når en mail, chatbesked eller samtale lyder overbevisende.
Det britiske National Cyber Security Centre vurderer, at trusselsaktører allerede bruger AI til at forbedre eksisterende metoder, blandt andet research af ofre og adgang gennem social engineering. Centrets tidligere vurdering af AI og cybertruslen forklarer, at generativ AI kan skabe overbevisende lokkemidler uden de sproglige fejl, der tidligere ofte afslørede phishing.
Den praktiske løsning er at kontrollere anmodninger med store konsekvenser gennem en anden og pålidelig kanal. Processen her giver økonomi og IT de samme seks trin, men fastholder en klar ansvarsfordeling.
Lad handlingen udløse kontrollen
Bed ikke medarbejderne vurdere, om en besked “ligner noget, AI har skrevet”. Den vurdering er usikker og unødvendig. Start i stedet kontrollen, når den ønskede handling kan gøre væsentlig skade.
Økonomiafdelingen bør stoppe op og kontrollere anmodninger om:
- en ny leverandør eller betalingsmodtager
- ændrede bank- eller betalingsoplysninger
- en hastende eller usædvanlig overførsel
- at springe en godkendelse over
- løn-, skatte- eller andre følsomme økonomidata
IT-afdelingen bør gøre det samme ved:
- nulstilling af adgangskode eller multifaktorgodkendelse
- gendannelse af en konto eller ny administratoradgang
- anmodninger om at dele fortrolige oplysninger
- ændringer i sikkerhedskontroller eller adgangsregler
- installation af software, integrationer eller fjernadgangsværktøjer
Tilføj udløserne til den relevante arbejdsgang og brugerflade. En advarsel, der er gemt i en generel sikkerhedsvejledning, er svær at huske, når nogen tilsyneladende venter på en hastende betaling.
Brug den samme proces i seks trin
1. Sæt handlingen på pause
Undlad at betale, nulstille, udlevere eller godkende, mens anmodningen bliver kontrolleret. Gem den oprindelige besked og eventuelle bilag. Kom anmodningen via telefon eller video, skal medarbejderen notere tidspunktet, nummeret eller kontoen og det, personen bad om.
Pausen skal være en accepteret kontrol, ikke en personlig konfrontation. Medarbejderne skal have mandat til at forsinke en vigtig anmodning, selv om den ser ud til at komme fra en direktør eller en vigtig leverandør.
2. Klassificer anmodningen
Identificer handlingen, det berørte aktiv og den værste troværdige konsekvens. Det afgør, hvor grundig kontrollen skal være.
En almindelig faktura, der allerede matcher en godkendt indkøbsordre, kan følge den normale betalingsproces. En ændret bankkonto eller nulstilling af en administratorkonto kræver stærkere kontrol. Se hast, hemmeligholdelse og pres for at omgå processen som grunde til at sænke tempoet, ikke som bevis på svindel.
3. Kontrollér gennem en pålidelig kanal
Kontakt afsenderen via oplysninger, der eksisterede, før anmodningen kom. Brug leverandørregistret, medarbejderoversigten, det godkendte supportsystem eller en kendt intern kontakt. Brug ikke et telefonnummer, et link eller en mødeinvitation fra den besked, I er ved at undersøge.
Spørg til den konkrete handling: “Har du bedt os ændre kontoen, der slutter på 1234?” Et svar i den samme mailtråd er ikke en uafhængig kontrol. Selve kontoen kan være kompromitteret.
4. Indhent den krævede godkendelse
Brug en anden person ved handlinger med stor konsekvens. Godkenderen skal se anmodningen, dokumentationen for kontrollen og den planlagte handling. Afsenderen må ikke selv vælge godkenderen eller flytte processen til en person uden for den normale kæde.
I økonomi kan det være den eksisterende regel for betalingsgodkendelse. I IT kan det være en godkendelse i supportfunktionen ved privilegeret adgang eller gendannelse af en konto. Genbrug kontroller, som medarbejderne allerede kender, frem for at opfinde en særlig proces kun til AI.
5. Udfør handlingen i det godkendte system
Gennemfør handlingen i det godkendte økonomi-, identitets- eller supportsystem. Giv kun den adgang, eller foretag kun den ændring, der er nødvendig. Registrer, hvem der kontrollerede anmodningen, hvilken pålidelig kanal der blev brugt, og hvem der godkendte den.
Send ikke følsom dokumentation tilbage gennem den mistænkelige samtale. Hvis en legitim afsender har mistet adgang til det normale system, skal I følge den dokumenterede gendannelsesproces i stedet for at improvisere i en chat.
6. Indberet og begræns mistænkelig aktivitet
Hvis kontrollen fejler, skal beskeden indberettes gennem organisationens sikkerhedskanal. NCSC's vejledning om phishing dækker genkendelse og indberetning af mistænkelige mails, sms'er, hjemmesider, annoncer og opkald.
Økonomi kan hurtigt skulle kontakte banken eller betalingsudbyderen, hvis pengene allerede er flyttet. IT kan skulle sikre en konto, tilbagekalde sessioner, bevare logge eller starte beredskabsprocessen. Medarbejderne skal vide, hvor deres ansvar slutter, og hvem der tager over.
Gør de pålidelige kontaktveje klar på forhånd
Kontrollen bryder sammen, hvis de rigtige kontaktoplysninger er svære at finde. Økonomi bør vedligeholde leverandørkontakter adskilt fra fakturamails og kræve en kontrolleret godkendelse af ændringer. IT bør holde medarbejderoversigten, supportfunktionen og kontaktvejene til kontogendannelse opdaterede.
Aftal også, hvordan hastende kontroller foregår, når den sædvanlige godkender ikke er tilgængelig. Udpeg en afløser frem for at lade afsenderen vælge en. Gør indberetningsvejen synlig i mail, chat og supportsystemet.
Den samme forberedelse skal omfatte den øverste ledelse. En direktørs anmodning skal gennem den samme kontrol som alle andres. Det beskytter både medarbejderen, der sætter den på pause, og den direktør, som nogen udgiver sig for at være.
Test processen frem for evnen til at genkende AI
Brug en kort øvelse, der begynder med en troværdig anmodning om at ændre betalingsoplysninger, nulstille en konto eller dele en fil. Undersøg, om medarbejderen stopper op, finder en uafhængig kontakt, dokumenterer kontrollen og eskalerer tvivl.
Mål de enkelte procestrin hver for sig. En mislykket simulation kan afsløre et uklart leverandørregister, en utilgængelig godkender eller en indberetningsvej, der er for langsom. Det er kontrolproblemer, som organisationen kan løse.
Vores guide til AI-genereret phishing forklarer, hvordan angribere bruger generativ AI. Kontrolprocessen er det næste lag: Kvaliteten af efterligningen får mindre betydning, fordi den ønskede handling stadig skal igennem en pålidelig kontrol.
Begynd med at vælge de tre handlinger i økonomi og IT, som kan gøre størst skade. Skriv den pålidelige kontaktkilde og godkendelsesregel ved siden af hver handling, og gennemfør derefter en skrivebordsøvelse. En proces, der virker under pres, beskytter bedre end en opfordring til at vurdere, om en velformuleret besked lyder menneskelig.
