ChatGPT 4: una vía para crear malware sin conocimientos previos

En los últimos años, el sector de la ciberseguridad ha visto grandes cambios que han modificado la forma en la que se lanzan ciberataques contra empresas. Uno de estos grandes cambios ha sido la Inteligencia Artificial. 

La Inteligencia Artificial, aunque a veces nos ayude con algunas tareas tediosas de nuestro día a día, también ha servido para que ciberdelincuentes sin demasiados conocimientos técnicos, puedan lanzar ciberataques complejos de  detectar.

¿Cómo se usa el ChatGPT para lanzar ciberataques?

ChatGPT 4 es una versión avanzada del modelo de lenguaje desarrollado por OpenAI, tiene una mejor capacidad de entendimiento y generación de lenguaje natural, también posee una base de datos mayor con conocimientos más recientes. En resumen, esta herramienta es mucho más útil para todos los ámbitos en los que puede ser aplicada, tanto para hacer el “bien”, como para hacer el “mal”, es decir, llevar a cabo acciones lícitas o ilícitas.

Generación de malware

Una de las herramientas más utilizadas por los ciberdelincuentes para poder crear malware es el ChatGPT 4, esta potente IA es capaz de generar códigos maliciosos. Aunque la herramienta está diseñada para no generar texto que pueda ser peligroso para el propio usuario, puede permitir a alguien sin conocimientos técnicos desarrollar scripts de todo tipo, eludiendo las restricciones existentes.

Por lo tanto, si un ciberdelincuente no sabe cómo crear el código malicioso para su ciberataques, con que sepa qué pedirle y cómo hacerlo, la herramienta se encarga de hacer el resto. 

Evasión de detección

La herramienta puede ayudar a la generación de texto para que una vez sea lanzado el ataque, pueda ser eludido por los filtros de spam y seguridad del sistema atacado, aumentando así la eficacia del ciberataque lanzado.

Explotación de vulnerabilidades

Un reciente estudio en la Universidad de Illinois de Estados Unidos ha demostrado que, ChatGPT 4 es capaz de explotar vulnerabilidades de tipo zero-day con un 87% de precisión, es decir, fallos de seguridad en el sistema para los que no hay una solución o parche que lo solvente. El resultado es especialmente alarmante si lo comparamos con su versión anterior, el ChatGPT 3.5, que no era capaz de hacerlo con las mismas pruebas.

Técnicas de phishing

Aparte de la generación de malware, el ChatGPT también se puede utilizar para los ataques de phishing y sus derivados. La herramienta es muy eficaz a la hora de generar textos que pueden ser utilizados para hacer envíos de correo masivo e intentar robar las credenciales y contraseñas de los trabajadores de una empresa para posteriormente lanzar otro ciberataque más dañino. 

Además, ChatGPT tiene una API que permite a otras inteligencias artificiales alimentarse de la amplia base de datos que tiene. Esto puede ser muy beneficioso si se usa de forma correcta, pero también puede ser utilizado para engañar a sus usuarios y persuadirlos de realizar alguna acción que sea dañina para ellos mismos.

Ejemplos de ciberataques lanzados con Inteligencia Artificial

A continuación veremos ejemplos reales de ciberataques lanzados gracias a la intervención de la IA. Generalmente se tratan de ataques de phishing, ya que es una de las técnicas de lanzamiento donde la IA tiene más impacto por su capacidad de generar textos persuasivos rápidamente. 

Estafa de phishing a un empleado de Revolut

Revolut, una empresa fintech conocida por sus servicios financieros innovadores, fue víctima de un ataque de phishing mediante Ingeniería Social. Un empleado fue víctima de una estafa que dió al ciberdelincuente acceso al sistema de la empresa británica. Según la propia empresa, esta intrusión afectó a más de 50.000 usuarios filtrando su dirección, números de teléfonos, nombres completos y también tuvo acceso a datos parciales de las tarjetas de pago.

Ofertas de empleo falsas en LinkedIn

Gracias a la generación de texto por una Inteligencia Artificial como ChatGPT, se crearon ofertas de trabajo fraudulentas para robar credenciales o claves de acceso a sistemas de empresas reconocidas. 

Los ciberdelincuentes se hicieron pasar por grandes empresas para atraer la atención de sus víctimas y, a través de enlaces maliciosos, los ciberdelincuentes dirigían a los usuarios a portales fraudulentos para robarles información privada.

Medidas para evitar ciberataques lanzados con ChatGPT 4

Los ciberataques lanzados con ChatGPT no son infalibles y se pueden prevenir. Una de las principales formas de prevenir este tipo de ciberataques es a través de la formación de todos los trabajadores de una empresa para que aprendan a identificar y reportar los mensajes que son susceptibles de ser fraudulentos. Aparte de la formación a los trabajadores, también es esencial implementar herramientas específicas de ciberseguridad para la prevención de brechas de seguridad o ciberataques.

En ESED, te ayudamos a implementar todas las medidas necesarias para hacer frente a cualquier ciberataque. Contamos con ESED Training, formaciones específicas para empresas, donde enseñamos buenas prácticas informáticas, para no comprometer la información y seguridad del negocio. 

También hemos desarrollado nuestras propias herramientas en ciberseguridad. La primera, Petam.io, un escáner online automático para buscar, detectar y analizar brechas de seguridad y puntos débiles en websites. Y nuestra última novedad, WWatcher, la herramienta que previene la filtración y fuga de datos limitando las descargas de archivos en tu empresa.