この脆弱性は何年も、つまり 10 年以上も存在していましたが、研究者は、ハッカーが AI の助けを借りてどのように脆弱性を悪用するかを理解することしかできませんでした。
P2PShell と呼ばれるこの脆弱性は、世界の Web サイトの 70% で使用されているコーディング言語に影響を与え、ハッカーがリモートでコードを実行したり、サーバーに保存されている情報にアクセスしたりすることを可能にします。この影響でウェブサイトはシステム更新に追われ、先週ヨーロッパの一部の政府ウェブサイトが修正プログラムをインストールできるまで一時的にオフラインになった。
この発見は、インターネットのインフラストラクチャが脆弱であることを改めて思い出させます。そして、AI によって研究者と犯罪者の欠陥を発見する能力が大幅に向上しているため、このような発見が行われるのはおそらくこれが最後ではないでしょう。
IBMの敵対者シミュレーションのグローバル責任者、パトリック・ファッセル氏は、「インターネットや世界のITインフラの多くは、かなり古いテクノロジー、あるいはコンピューターという点では非常に古いものに基づいて稼働しており、同様の脆弱性を抱えている可能性が高い」と述べた。
P2PShell のような脆弱性がある場合、ユーザーが自分自身を守るためにできることはあまりありません。最新のセキュリティ パッチでサービスを更新するかどうかは、組織、企業、政府の責任です。
しかし、このことは、デジタル習慣を賢く扱うことの重要性を強調しています。ハッカーがより洗練されたツールを入手し、AI を使用してインターネットの弱点をさらに見つけるようになっているため、パスワードを安全に保ち、不審な電子メールに注意するという長年のアドバイスがこれまで以上に重要になっています。
ラップトップや携帯電話に表示されるソフトウェア アップデートの通知を無視しないでください。これらのアップデートの多くには重要なセキュリティ修正が含まれており、それらをできるだけ早くインストールすることで、ハッカーがバグを利用する時間を短縮できます。
イリノイ大学コンピューターサイエンス准教授のガン・ワン氏は、「ユーザーは、こうしたアップデートをインストールし、セキュリティ衛生を維持して、少しでも良い立場を保つという点で、自分の役割を果たさなければならない。」と述べた。
現在、ほとんどのスマートフォンは、リリース後約 7 年間のソフトウェア アップデートをサポートしています。古い携帯電話をお持ちの場合は、新しいソフトウェア バージョンとの互換性があるかどうかを確認する必要があります。ソフトウェアの互換性に関する情報は、Apple、Google、Samsung の Web サイトで見つけることができます。
アクセスしている Web サイトの URL とクリックしているリンクに注意してください。特に、銀行やクレジット カード会社を名乗る電子メールやテキストでリンクを受け取った場合は注意してください。 Web サイトが安全であると確信できる場合を除き、個人データ、電子メール アドレス、パスワード、銀行情報、クレジット カード番号を決して共有しないでください。 正当な。
AI により、攻撃者は、発見がより困難であり、詐欺の重要な危険信号が欠けている可能性がある高度なフィッシング攻撃を作成できるようになりました。
サイバー保険会社レジリエンスのリスクオペレーションセンター責任者ジャド・ドレスラー氏は以前、「フィッシング攻撃を判断する従来の方法は、『正しく聞こえなかった。間違った言葉遣いが使われていた。スペルミスや文法ミスがあった』というものだった」と以前CNNに語った。 「そういったことはすべて、AI が処理してくれるでしょう。」
AI は、攻撃者が潜在的なターゲットについてより深い調査を行って、よりパーソナライズされた説得力のあるメッセージを作成するのにも役立ちます、とドレスラー氏は付け加えました。
フィッシング詐欺を回避する最善の方法は、リンクをクリックするのではなく、アカウントにログインするか、不審なメッセージを受け取った会社や人物に電話することです。
また、中小企業は、大企業に比べて、攻撃やデータ侵害が発生した場合にシステムにパッチを適用するのが遅れる可能性があることにも注意してください。
パスワードは決して再利用しないでください。代わりに、すべてのオンライン アカウントに長くて一意のパスワードを作成するパスワード マネージャーを試してください。
簡単に言うと、コンピューターは人間よりも推測の難しいパスワードを作成するのが得意です。
「私たちは、人間が意思決定をするとき、他の人と同じ決断を下す傾向があることを知っています」とサイバーセキュリティおよびトレーニング会社の CEO、レイチェル・トバック氏は述べています。 SocialProof Security は、2024 年にクレア・ダフィーとともに CNN の利用規約ポッドキャストで語った。 その中に名前が入っています。大文字の使用要件を満たすために、最初の位置に大文字が入っています。」
Tobac は、Bitwarden、1Password、Dashlane などのパスワード マネージャーを推奨しました。探すべき最も重要なことは、パスワードを安全に保ち、ハッカーが読み取れないようにする暗号化をパスワード マネージャーが提供しているかどうかです。
パスワードの代わりにパスキーを使用します。 パスキーは、入力したパスワードの代わりに指紋、顔スキャン、または PIN を使用してオンライン サービスにサインインできるデジタル資格情報です。パスキーはデバイスに保存されている生体認証データに関連付けられており、簡単に盗まれたりなりすましができないため、一般にパスワードよりも安全であると考えられています。 Apple、Google、Microsoft のオペレーティング システムはすべてパスキーをサポートしています。
2 要素認証を使用します。 2 要素認証を提供するサービスで 2 要素認証を有効にします。 2 要素認証では、パスワードに加えて追加の保護層として、テキスト、電子メール、または電話でログイン コードが送信されます。専門家の中には、テキスト メッセージがハッカーに対して脆弱になる可能性があるため、Google Authenticator などのアプリベースのコード ジェネレーターを好む人もいます。
すべての重要なアカウントを監視します。 すべての重要なアカウントに不審な変更がないか監視してください。多くの場合、自動電子メールまたはテキスト アラートが提供されます。
信用報告書を凍結します。 Experian、Transunion、Equifax の 3 つの主要な機関の信用ファイルを凍結することは、悪意のある行為者があなたの名前で新しい口座を開設しようとするのを防ぐ簡単な方法です。
ファミリコードワードを作成します。 愛する人のように見える人から情報を求める不審な電話やメッセージを受信した場合は、自分から電話をかけ直すか、連絡が取れない場合は近くの人に電話してください。あなたとあなたの愛する人の間で共有された暗号言葉は、彼らの身元を確認することができます。
AI により、初心者のハッカーでもより高度なキャンペーンを簡単に実行できるようになりましたが、悪者は依然として最終的には人間を利用しようとしています。
「これは今でもよく知られた攻撃方法のようなものです」とドレスラー氏は語った。 「本質的には、AI をより信頼性と効果を高めるために使用しているだけです。」
