Birkaç yıl önce, orta ölçekli bir finansal hizmetler firmasının CEO'su için dijital risk incelemesi yapmak üzere görevlendirildim. Standart bir işti: yönetici hakkında kamuya açık bilgileri değerlendirmek, maruziyetleri belirlemek ve düzeltme önerileri sunmak. Kullandığım yapay zeka araçları, anlamlı keşif çalışmasını on dakikadan kısa sürede tamamladı.
Ortaya çıkan, sentezlenmiş bir profildi: yönetim kurulu üyelikleri ve başlangıç tarihleri, kamuya yaptığı açıklamalardan hangi politika pozisyonlarını güçlü bir şekilde savunduğunu ve baskı altında hangi konularda esneyebileceğini gösteren bir örüntü, bir hayırseverlik ilgisi ve bu ilgi etrafında bir talep formüle edilirse nasıl yanıt vereceğini açıklayan veriler. Bu bilgilerin hiçbiri tek başına hassas değildi. Ancak sorgulanabilir, birleşik bir anlatı haline getirildiğinde, bir saldırganın hemen kullanabileceği bir şey haline geliyordu.
Elimdeki şey, genel amaçlı bir yapay zeka aracına yapılan halka açık bir sorgulamaydı. İşte çoğu yönetici koruma programının henüz yüzleşmediği sorun bu: hedefli bir sosyal mühendislik saldırısı için keşif aşaması artık günler değil dakikalar sürüyor ve gereken girdiler önemsiz.
Detaylar ve Etkileri
Bu durum, yapay zekanın 'bilgi parçacıklarını' bir araya getirme yeteneğinden kaynaklanıyor. Her biri masum görünen LinkedIn güncellemeleri, basın açıklamaları, hayır kurumu bağışları ve konferans konuşmaları, bir CEO'nun psikolojik profilini, zayıflıklarını ve karar verme kalıplarını ortaya çıkaran bir yapbozun parçaları haline geliyor. Saldırganlar bu profili kullanarak ikna edici kimlik avı e-postaları, telefon dolandırıcılıkları veya hatta fiziksel güvenlik ihlalleri planlayabilir.
Nasıl Önlem Alınmalı?
Geleneksel güvenlik önlemleri, çalışanların e-posta eklerine tıklamasını veya kimlik bilgilerini paylaşmasını engellemeye odaklanır. Ancak yeni tehdit, verilerin kendisinde değil, yapay zekanın bu verileri nasıl yorumladığı ve birleştirdiğidir. Yöneticilerin kamuya açık her bilgiyi kaldırması mümkün değil. Bunun yerine, şirketlerin bu profillerin oluşturulmasını engellemek için proaktif bir yaklaşım benimsemesi gerekiyor.
Sonuç ve Değerlendirme
Çözüm, yöneticilerin dijital ayak izlerinin düzenli olarak taranması ve yapay zeka modellerine karşı test edilmesidir. Örneğin, bir yöneticinin adı ve şirketi kullanılarak yapılan bir sorgunun hangi profili oluşturduğunu görmek, hangi bilgilerin tehlikeli olduğunu ortaya çıkarabilir. Ayrıca, yöneticilerin sosyal medya paylaşımlarını gecikmeli yapmaları, hassas konularda yorum yapmaktan kaçınmaları veya hayırseverlik faaliyetlerini belirli bir süre gizli tutmaları gibi stratejiler uygulanabilir.
Sonuç olarak, yapay zeka çağında yönetici koruması, yalnızca siber güvenlik araçlarına değil, aynı zamanda dijital itibar yönetimi ve davranışsal analize de yatırım yapmayı gerektiriyor. Saldırganların kullanabileceği bu yeni keşif yöntemi, her seviyedeki yönetici için ciddi bir tehdit oluşturuyor. Güvenlik ekiplerinin, yönetici profillerini savunmak için bu yeni gerçekliği kabul etmesi ve buna göre strateji geliştirmesi şart.
Kaynak: csoonline.com
