ChatGPT verbessert HR-Angriffsvektor Bewerbung als Einfallstor: So nutzen Hacker KI, um Unternehmen zu infiltrieren

Vor etwa einem Jahr machte KnowBe4 einen Angriff nordkoreanischer Cyberkrimineller öffentlich, die versucht hatten, in seine Systeme einzudringen. Ihr Ansatz: sie hatten eine KnowBe4-Stellenausschreibung genutzt, um einen Fake-Kandidaten durch das Bewerbungsverfahren zu schleusen und ihm so einen KnowBe4-Mitarbeiteraccount zu verschaffen. Der Angriff scheiterte. KnowBe4 entdeckte den Infiltrationsversuch frühzeitig, wehrte ihn erfolgreich ab – und machte ihn öffentlich. Zahlreiche Medien griffen die Meldung auf – weltweit. Nicht lange und weitere Unternehmen machten ähnliche Erlebnisse publik, zeigten auf, dass es sich bei KnowBe4 nicht um einen Einzelfall, sondern um einen Teil einer groß angelegten Kampagne gehandelt hatte. Anfang Juni diesen Jahres nun hat OpenAI einen Bericht zu Missbrauchsfällen seines KI-Tools ChatGPT vorgestellt, der belegt: die Kampagne der nordkoreanischen Cyberkriminellen ist auch ein Jahr nach ihrer Entdeckung noch längst nicht ausgestanden.

Das Ziel ist immer noch dasselbe: die Angreifer versuchen, sich Zugang zu regulären Mitarbeiteraccounts der anvisierten Unternehmen zu verschaffen. Hierzu versenden sie Fake-Bewerbungen auf offene Remote-Arbeitsplätze an die HR-Abteilungen ausschreibender Unternehmen. Erhalten sie die Stelle, lassen sie das Unternehmen die Mitarbeiterhardware an eine lokal ansässige Kontaktperson schicken, die sie dann von ihrem Home-Office aus startet und ein Remote-Access-Tool aktiviert, über das sich der Angreifer dann einwählen und auf das Unternehmensnetzwerk zugreifen kann.

OpenAi reduziert Aufwands des Angriffsprozesses

Bislang mussten die Angreifer, um einen solchen Angriff erfolgreich umzusetzen, eine erhebliche Menge an Zeit – und damit auch an Geld – investieren. Unter Zuhilfenahme von ChatGPT lässt sich der manuelle Teil des Aufwands nun aber drastisch reduzieren. Die Zahl der angepeilten Ziele und der versandten individualisierten Bewerbungen lässt sich so deutlich erhöhen – und damit auch die Chance, dass der eigene Fake-Kandidat die offene Remote-Arbeitsstelle erhält, dass der Angriff also für den Angreifer erfolgreich verläuft.

In den von OpenAI untersuchten – und mittlerweile stillgelegten – ChatGPT-Nutzerkonten kam KI zum Einsatz, um automatisiert:

• auf Grundlage der spezifischen Stellenbeschreibungen der anvisierten Unternehmen in großem Umfang realistisch wirkende Lebensläufe und Bewerbungsschreiben zu erstellen,

• den Mitarbeitern der HR-Abteilung der anvisierten Unternehmen in Echtzeit und realistisch Fragen zur Bewerbung zu beantworten und gestellte Aufgaben, zum Beispiel eine Codierungsaufgabe, zu lösen,

• real wirkende Stellenausschreibungen zur Rekrutierung lokaler Akteure zu erstellen,

• nach Informationen zur Entwicklung von Verwaltungs- und Nachverfolgung-Tools für Massenbewerbungskampagnen zu recherchieren,

• nach Informationen zur Einrichtung und Manipulation der Konfiguration von Fernarbeitsplätzen zu recherchieren,

• nach Informationen zum optimalen Einsatz von Remote-Tools, wie Tailscale peer-to-peer VPN, OBS Studio, vdo.ninja live-feed injection und HDMI capture loops, zu recherchieren. Richtig eingesetzt, können mit ihnen zahlreiche Sicherheitsmaßnahmen umgangen werden.

Mitarbeitern gezielt Wissen vermitteln

Das Vorgehen der Angreifer zeigt, trotz des großen medialen Echos vom vergangenen Jahr haben die Angreifer nicht aufgegeben, ihre Versuche sogar noch intensiviert. Dass die Angriffe in den kommenden Monaten und Jahren weiter zunehmen werden, davon ist auszugehen. Unternehmen kann deshalb nur geraten werden, das Sicherheits- und Risikobewusstsein ihrer Belegschaft – ganz besonders ihrer HR-Mitarbeiter – weiter zu schärfen. Nur wenn diese rechtzeitig Verdächtiges melden, sich aktiv in die Sicherheit des Unternehmens einbringen, wird es gelingen, das wachsende Risiko KI-gestützter Angriffe unter Kontrolle zu bekommen.

Hierzu müssen aber sämtliche Mitarbeiter in die Lage versetzt werden, noch die subtilsten Anzeichen von Phishing, Spear Phishing und Social Engineering, zu erkennen – bevor es zu spät ist. Moderne Phishing-Trainings, -Schulungen und -Tests lassen sich, KI sei Dank, mittlerweile personalisieren und automatisiert – kontinuierlich – zum Einsatz bringen. Moderne Anti-Phishing-E-Mail-Technologien kombinieren KI mit Crowdsourcing, um neueste Zero Day-Bedrohungen frühzeitig aufzuspüren und rechtzeitig abzuwehren. Im Gegensatz zu herkömmlichen Systemen, können sie potenzielle Phishing-E-Mails ganzheitlich analysieren – einschließlich der Absenderdomain, dem Inhalt und möglicher Social Engineering-Taktiken. Mit solchen und ähnlichen Systemen ist es Unternehmen möglich, ihre Human Risks zurückzufahren und ihre Mitarbeiter zu ihrer besten Verteidigungslinie im Kampf gegen Cyberbedrohungen zu machen.