KI-Betrug: Einsatz künstlicher Intelligenz macht Phishing-Mails noch gefährlicher

Beim sogenannten „Spear Phishing“ handelt es sich um eine der gefährlichsten Arten des Online-Betrugs. Anders als bei herkömmlichem Phishing versenden die Betrüger nicht wahllos E-Mails. Stattdessen verwenden sie gezielt persönliche Informationen über ein Opfer, um ihre Masche speziell diesem gegenüber glaubwürdiger erscheinen zu lassen. So geben sich die Kriminellen etwa als Bekannte, Kollegen oder Geschäftspartner aus. So bringen sie die Betroffenen dazu, beispielsweise weitere Informationen von sich preiszugeben oder Überweisungen zu tätigen. So merken die Opfer den Betrug oft erst deutlich später – etwa dann, wenn merkwürdige Rechnungen auftauchen. Ein Forscherteam des Bifold (Berlin Institute for the Foundations of Learning and Data) der TU Berlin in Zusammenarbeit mit dem französischen Institut Inria und der Ruhr-Universität Bochum haben in einer Studie nun die Auswirkungen von KI beim automatisierten Spear Phishing untersucht. Die Ergebnisse zeigen: Künstliche Intelligenz verschärft die Bedrohung durch Spear Phishing deutlich.

Mehr rund um KI und Sicherheitsthemen findest du am Ende dieses Beitrags.

Dreimal mehr Klicks auf KI-gestütztes Spear Phishing

Am Experiment des Forscherteams nahmen insgesamt 7.741 Beschäftigte der TU Braunschweig teil. Um personalisierte, großflächige Angriffe zu simulieren, nutzten die Forscher ausschließlich die E-Mail-Adressen der Zielpersonen als Suchanfrage in Suchmaschinen. So konnten sie öffentlich zugängliche Informationen wie berufliche Hintergründe, persönliche Aktivitäten, Interessen und Zugehörigkeiten sammeln. Anschließend fütterten sie lokal gehostete KI-Modelle mit den gesammelten Daten und erstellten aus diesen detaillierte Nutzerprofile und darauf abgestimmte E-Mails.

Die Auswertung der Forscher belegt: Während generische E-Mails gerade einmal eine Klickrate von bloß 3,9 Prozent erreichten, stieg die Erfolgsquote bei den automatisiert personalisierten Mails auf 10,0 Prozent. Die KI-Unterstützung beim Phishing sorgte somit für eine dreifache Steigerung der Klickrate im Vergleich zur herkömmlichen Praxis. Dabei blieb der Effekt gleich, egal, ob die herkömmlichen Phishing-Mails von Menschen oder von einer KI erstellt wurden.

Verfassen der Phishing-Mails dauerte nur 45 Sekunden

Manuell verfasste Spear-Phishing-Mails erzielten laut den Ergebnissen der Forscher mit 24,2 Prozent noch immer die höchste Klickrate – doch diese kosten Zeit und Aufwand. Etwa sieben Minuten werden benötigt, um die Mails zu schreiben. Währenddessen benötigt eine KI-gestützte Mail gerade einmal 45 Sekunden pro Nachricht und kostet die Angreifer nur etwa 0,03 US-Dollar pro Adresse.

Interessant: Die Menge der vorliegenden Daten scheint eine gewisse Rolle beim Erfolg der Mails zu spielen. Personen, deren Profile sehr hohe Datenmengen umfassten, klickten seltener auf Links als Personen, deren Profile nur aus geringen bis mittleren Datenmengen bestanden. Die Auswertung ergab, dass die Sprachmodelle bei besonders großen Ansammlungen an Informationen seltener spezifische Details verwendeten.

Filter können nur wenige KI-Phishing-Mails erkennen

Die Ergebnisse zeigen: Unter Umständen könnte von KI-Modellen eine neue Phishing-Bedrohung ausgehen, gegen die viele Nutzer noch nicht entsprechend gewappnet sind. Für Technische Filter sind die Mails nur schwer zu erkennen – so konnte das Sicherheitssystem der Universität nur eine von 3.949 Mails abfangen. Die Forscher empfehlen nun, die persönlichen Daten im Netz möglichst zu reduzieren und Schulungen zu IT-Sicherheit um das Thema der KI-gestützten Personalisierung zu ergänzen. Technische Schutzkonzepte wie die Multi-Faktor-Authentifizierung sollen zudem gestärkt werden.

Hier finden Sie mehr Beiträge rund um künstliche Intelligenz und Cybersicherheit:

• KI-Agent Jadepuffer startet einen Ransomware-Angriff – und verliert prompt den Schlüssel
• Release der Anthropic „Mythos“-KI: Unbefugte hatten direkt Zugriff
• Deutsche Manager misstrauen KI-Agenten – vertrauliche Daten bleiben tabu
• Cybersecurity: 6 Geheimnisse, die du der KI besser nicht verrätst
• Digitale Abhängigkeit: US-Konzerne beherrschen KI-Markt in Deutschland