Vos publications sur les réseaux sociaux pourraient alimenter la prochaine arnaque à l'IA
La rédaction ·
Une étude de l'UTA révèle comment l'IA utilise les données personnelles pour créer des courriels d'hameçonnage ciblés. Crédit : Université du Texas à Arlington
Imaginez la scène : vous publiez des photos de votre voyage au Brésil. Le lendemain, vous recevez un courriel de l’hôtel où vous avez séjourné, vous remerciant de votre visite et vous offrant une réduction spéciale sur votre prochain séjour. Le courriel fait référence à votre récent voyage, le nom de l’hôtel semble correct et le lien paraît légitime.
Mais l'hôtel ne l'a jamais envoyé. Un modèle d'IA a généré ce courriel après avoir analysé les informations de vos publications de vacances.
Des chercheurs de l'Université du Texas à Arlington ont démontré que des outils d'intelligence artificielle largement disponibles peuvent collecter des informations à partir des publications publiques des internautes sur les réseaux sociaux et les utiliser pour générer rapidement des courriels frauduleux hautement personnalisés, ciblant un grand nombre de personnes. Cette tactique est connue sous le nom d'hameçonnage ciblé contextuel. Ces courriels sont conçus pour inciter les destinataires à cliquer sur des liens malveillants et à divulguer des informations sensibles, telles que des mots de passe ou des numéros de carte bancaire.
« N'importe qui peut être l'attaquant, et c'est ce qui rend la chose encore plus effrayante », a déclaré Shirin Nilizadeh, professeure agrégée au département d'informatique et d'ingénierie de l'UTA, qui a dirigé l'étude. « Avec ces modèles d'IA, les attaquants n'ont pas besoin d'en faire autant. Il leur suffit de leur indiquer ce qu'ils veulent qu'ils fassent. »
Des titres professionnels à la vie quotidienne
Le spear phishing n'est pas un phénomène nouveau. Selon Nilizadeh, la plupart des escroqueries ciblées exploitent des informations statiques sur une personne, comme son poste ou son employeur. Cette étude examine un type d'attaque plus sophistiqué, qui s'appuie sur des détails de la vie quotidienne partagés en ligne.
« Désormais, les escrocs peuvent exploiter les interactions sociales et le quotidien des gens dans leurs courriels », a-t-elle déclaré. « C’est plus personnalisé et cela peut rendre les gens plus vulnérables. »
Elham Pourabbas Vafa, doctorante en informatique et co-auteure de l'étude, explique que les outils d'IA ont extrait des informations des publications récentes des utilisateurs sur les réseaux sociaux, notamment des photos, afin de créer des courriels personnalisés. Les chercheurs ont testé des courriels basés sur les voyages, les événements qui intéressaient les destinataires (comme des concerts) et même leurs préoccupations exprimées en ligne. Ils ont également adapté l'objet, le nom de l'expéditeur et les liens à chaque destinataire.
« La personne qui reçoit ce type de courriel d'hameçonnage ciblé le trouvera très crédible car il fait référence à des détails spécifiques à ses expériences récentes », a déclaré Pourabbas Vafa.
Dans une étude auprès des utilisateurs, les participants ont attribué des notes élevées à la qualité des courriels générés par l'IA, ce qui souligne ce qui, selon les chercheurs, rend ces attaques si dangereuses.
Tester les dispositifs de sécurité
Les entreprises spécialisées en IA utilisent déjà des filtres de sécurité conçus pour bloquer les requêtes malveillantes. Or, les chercheurs ont constaté que ces filtres étaient largement inefficaces pour détecter les requêtes visant à créer des courriels frauduleux personnalisés.
L'équipe a testé plusieurs outils de sécurité largement utilisés, notamment Llama Guard, ShieldGemma et WildGuard. Avec leurs paramètres par défaut, ces outils n'ont détecté que 0 % à 19 % des requêtes d'attaque.
Les chercheurs ont ensuite proposé des solutions pour empêcher la génération de ces courriels. Lorsque les outils de sécurité ont reçu des instructions précises pour reconnaître ces attaques, leur taux de détection a atteint 99 %.
« Nous exhortons les entreprises spécialisées en IA à prendre ces types d'attaques au sérieux », a déclaré Nilizadeh. « Elles doivent mettre en place des mesures de protection pour empêcher que leurs outils ne soient utilisés à mauvais escient pour créer des attaques d'ingénierie sociale très ciblées. »
Les chercheurs ont omis, dans la version publique de leur article, les instructions exactes utilisées pour produire les courriels frauduleux afin d'empêcher toute utilisation abusive.
L'étude a été acceptée pour être présentée au Symposium sur la sécurité des réseaux et des systèmes distribués à Séoul, en Corée du Sud, en mars 2027. Pourabbas Vafa a également présenté la recherche lors de l'atelier sur la sécurité du Texas à l'Université du Texas à Dallas.
Source : uta.edu