Keine Spam, sondern ein für viele Leser vielleicht interessanter Link zu Golem: Chatbot für Cyberkriminelle – WormGPT generiert äußerst überzeugende Phishing-Mails [Archivversion].

Ich bin nicht überrascht. Weder vom dümmlichen Cybergequatsche¹ einer IT-Newswebsite „für Profis“, die leider nicht von Profis gemacht wird, noch davon, dass Kriminelle Computer benutzen können². 😐️

Das Ergebnis ist Kelly zufolge „beunruhigend“. Er testete WormGPT selbst, indem er das Tool, das im Gegensatz zu ChatGPT keine ethischen Grenzen oder Einschränkungen kennt, eine böswillige Phishing-Mail generieren ließ. Diese sollte „einen ahnungslosen Kundenbetreuer dazu bringen, eine betrügerische Rechnung zu bezahlen.“ Und tatsächlich sei das Ergebnis nicht nur „bemerkenswert überzeugend, sondern auch strategisch gerissen“ gewesen. Selbst in den Händen von unerfahrenen Akteuren gehe von WormGPT eine „erhebliche Bedrohung“ aus, so das Fazit des Phishing-Experten

Ich werde auch dann nicht überrascht sein, wenn der primitive Betrug des Phishings wieder zu einer kriminellen Schattenwirtschaft mit Milliardenumsätzen wird, aber weiterhin alle die Nutzung digitaler Signaturen für E-Mail ablehnen, weil das viel zu kompliziert ist. Dafür muss man ja klicken können. 🖱️

Von daher: Bitte auch weiterhin E-Mail nur mit der Kneifzange anfassen! Es ist ein praktisches Medium, aber leider eben auch für Kriminelle. Vor Phishing gibt es einen ganz einfachen und hundertprozentig wirksamen Schutz: Niemals in eine E-Mail klicken, niemals einen Anhang einer E-Mail öffnen, der nicht über einen anderen Kanal als E-Mail abgesprochen wurde! So kann einem kein Krimineller einen giftigen Link oder eine fiese Schadsoftware mit der Mail unterschieben. Die einzige Ausnahme von dieser strikten Vorsicht ist, wenn der Absender vertrauenswürdig ist und er die Mail digital signiert hat (die Absenderadresse einer Mail kann beliebig und kinderleicht gefälscht werden) und man diese digitale Signatur auch überprüft hat. Selbst dann weiß man genau genommen nur, dass der Absender im Besitz eines bestimmten privaten Schlüssels ist. Aber das ist im Alltag hinreichend. Es ist viel mehr als das Nichts, das die meisten Menschen jetzt haben. Übrigens schützt es auch vor Schadsoftware im Anhang einer Mail. 🛡️

Irgendwelche „Schulungen“ der Mitarbeiter…

Als eine der wichtigsten Präventivmaßnahmen empfiehlt Kelly Unternehmern mehr denn je, ihr Personal im Hinblick auf mögliche Phishing-Angriffe schulen zu lassen

…werden hingegen so gut wie gar nicht helfen, wenn sie den Menschen nicht in der Hauptsache ein unbeirrbares Grundmisstrauen gegen das Medium E-Mail einbläuen. Auch, wenn die Mail vom Chef zu kommen scheint. Oder vom Partner, von den Eltern oder den eigenen Kindern. Oder von einem Unternehmen, mit dem man geschäftlich zu tun hat. Die Absenderadresse ist ja beliebig und leicht fälschbar. Dieses vermittelte Grundmisstrauen muss von einer häufigen Kontrolle und einer Belohnung aktiven Misstrauens unterstützt werden. Was man einmal in einer Schulung gehört hat, ist nämlich schon nach einigen Wochen, spätestens nach einigen Monaten ohne Vorfälle wieder vergessen. Es scheint ja keine alltags- und lebensrelevante Wichtigkeit zu haben, bis dann doch einmal etwas passiert und auf Digital first der Hochdruck second, das Bedauern third und schließlich der Fatalismus fourth folgt. Irgendwelche Spamfilter…

Darüber hinaus könne aber auch die Implementierung strengerer E-Mail-Prüfsysteme dabei helfen, böswillige Nachrichten frühzeitig anhand wiederkehrender Merkmale und Sprachmuster zu erkennen

…werden auch immer nur vorübergehend Abhilfe schaffen, denn die Kriminellen sind darauf angewiesen, dass ihre asozialen „Mitteilungen“ ankommen und die Nutzer nicht gewarnt werden. Sie leben davon. Also werden sie vieles dafür tun, solche Mechanismen auszutricksen. Weil sie dann noch (oder: wieder) besser von ihrer Kriminalität leben können. Generell ist die „Sicherheit durch Schlangenöl“ trügerisch und gefährlich. Ganz im Gegensatz zur Sicherheit durch Intelligenz, Einsicht, Wissen und Vorsicht. Nichts anderes kann Spam so sicher und zuverlässig erkennen wie das menschliche Gehirn. 🧠️

Nutzt das Gehirn! Trainiert es! Es ist eure einzige gute Chance. 😉️

¹Die mit der dummen Cyber-Vorsilbe bezeichneten, meist destruktiven oder kriminellen Tätigkeiten haben nicht einmal in einem skurillen und fernliegenden Sinn etwas mit Kybernetik zu tun. Aber woher soll ein Journalist, Politiker oder sonstiger Ahnungsloser das wissen? Wenn sie das wüssten, könnten sie ja etwas Erfreulicheres tun.

²Wer hier regelmäßig mitliest, weiß, dass ich schon seit vielen Monaten immer wieder die Vermutung anmerke, dass neue Formulierungen in ansonsten typischen Spams wohl aus einem angelernten neuronalen Netzwerk – von Politikern, Journalisten und anderen Ahnungslosen meist als „künstliche Intelligenz“ bezeichnet – stammen werden. Zurzeit kann man das noch oft an einer gewissen Weitschweifigkeit und an kleinen sprachlichen Artefakten bemerken, aber das wird sich in der kommenden Zeit ändern. Übrigens finde ich eine Welt, in der Menschen für einen immer weiter an die Armutsgrenze gepressten Elendslohn und die darauf folgende Altersarmut die schwere, lebenszeitverzehrende Arbeit machen, während Maschinen unter obszön hohem Verbrauch von Energie und Ressourcen die Lieder, Gedichte und Texte schreiben und die Bilder malen, nicht besonders erstrebenswert, sondern wünsche es mir ganz genau umgekehrt. Aber wenn die Menschen das in ihrer grenzenlosen Dummheit so wollen, werde ich es wohl nicht aufhalten können. Wohl dem, der sein Leben längst hinter sich hat! Nicht erst nach uns kommt die Sintflut, wir sind die Sintflut.