Far abbassare il livello di guardia agli utenti, aggirando i sistemi anti phishing, può diventare facile con l’impiego dei dialetti locali, che generano empatia verso gli interlocutori.
Autore: Alessio Agnello
Gli esseri umani sono creature sociali e il linguaggio è alla base della socializzazione, della comunicazione, della comprensione e, quindi, della co-esistenza. La maggior parte delle persone parla due "lingue": quella ufficiale, burocratica e del business, del Paese dove risiede e il dialetto parlato nella regione in cui si cresce. Il dialetto, se ascoltato o letto, genera empatia verso l’interlocutore e di conseguenza può far abbassare il livello di guardia.
In questo contesto l'IA generativa (GenAI) offre ai cybercriminali che non conoscono bene le sottigliezze linguistiche locali, la possibilità di far abbassare le difese a un bersaglio. Ciò potrebbe dare più forza ai tentativi di ingegneria sociale e permettere la creazione di campagne di frode e disinformazione ancora più convincenti.
Leggere il dialetto del luogo di nascita o dell’infanzia può avere uno strano effetto psicologico su molte persone perché crea empatia con il mittente. E anche quando viene ricreato artificialmente con GenAI, può sortire lo stesso effetto. Purtroppo è un’opportunità per i cybercriminali. Si pensi al phishing, per esempio, che è ancora uno dei principali vettori di minaccia per gli attacchi informatici e rappresenta quasi un quarto di tutte le compromissioni ransomware. Il phishing si basa sull'ingegneria sociale, sull'abilità di un truffatore di manipolare una vittima portandola a compiere un’azione.
Il linguaggio nel phishing è molto importante e la GenAI potrebbe dare un vantaggio ai cybercriminali. Scrivere messaggi di phishing in un dialetto immediatamente comprensibile dal destinatario, potrebbe aumentare il livello di fiducia e indurre la vittima a credere a ciò che viene detto. È poco probabile che funzioni in un contesto aziendale ma potrebbe essere utilizzato nelle truffe ai danni dei consumatori. La GenAI è già in grado di potenziare il phishing generando contenuti grammaticalmente perfetti in più lingue. Perché non anche nei dialetti?
Secondo questa logica, i truffatori potrebbero utilizzare la GenAI per conquistare la fiducia delle vittime nelle truffe di tipo sentimentale o di altra natura e l'uso dei dialetti potrebbe giocare un ruolo fondamentale nel superare l’atteggiamento sempre più scettico verso persone incontrate online. Secondo l’FBI questo tipo di crimine informatico è costato alle vittime 734 milioni di dollari nel 2022.
All’orizzonte si profilano altre due minacce: la misinformazione e la disinformazione. Insieme sono state classificate dal World Economic Forum (WEF) come rischio globale numero 1 dei prossimi due anni. Con circa un quarto della popolazione mondiale che si recherà alle urne nel 2024, cresce il timore che malintenzionati possano orientare i risultati verso determinati candidati e minare la fiducia nel processo democratico. Mentre gli utenti di Internet più esperti sono sempre più critici rispetto alle notizie che leggono online, il dialetto potrebbe essere la carta vincente dei cybercriminali.
Si potrebbe prestare maggiore attenzione ai contenuti scritti in un dialetto specifico, essendo meno diffuso. Si potrebbe leggere un post sui social media scritto in dialetto, anche solo per il gusto di riuscire a decifrarne il significato e, se si tratta del nostro stesso dialetto, ci si potrebbe sentire immediatamente più vicini alla persona (o alla macchina) che lo ha scritto e pubblicato. I politici e gli esperti di sicurezza informatica possono mettere in guardia dalle interferenze elettorali ma un account che pubblica in un dialetto locale o regionale sarebbe molto difficile da riconoscere come falso.
L’utilizzo dei dialetti può consentire ai cybercriminali di "effettuare il jailbreak " dei sistemi GenAI. I ricercatori della Brown University negli Stati Uniti hanno provato a usare lingue poco parlate, tra cui il gaelico, con ChatGPT. Il chatbot OpenAI è dotato di specifiche protezioni di sicurezza, come il rifiuto di fornire all'utente istruzioni su come costruire una bomba. Tuttavia, quando i ricercatori hanno chiesto in lingue rare a ChatGPT di compiere azioni non etiche, hanno potuto accedere a informazioni proibite. Secondo quanto riportato, Open AI è consapevole del rischio e sta già adottando misure per mitigarlo. Ma è meglio ricordare che, sebbene la GenAI sembri "intelligente", a volte può avere l'ingenuità di un bambino.
Come difendersi? Gi sviluppatori di IA devono migliorare le protezioni contro l'abuso delle capacità della GenAI di scrivere in dialetto. Ma gli utenti devono aumentare conoscenza e comprensione delle potenziali minacce e scetticismo nei confronti di ciò che si legge e guarda online. Le aziende dovrebbero includere il dialetto nei programmi di formazione anti-phishing/frode mentre i governi e le associazioni industriali dovrebbero organizzare campagne di sensibilizzazione più ampie. Poiché la GenAI è sempre più utilizzata per scopi malevoli, le scarse competenze linguistiche potrebbero diventare con il tempo un segno di credibilità nella comunicazione scritta. Non è questo il punto in cui ci troviamo ora. Ma come professionisti della sicurezza informatica dobbiamo riconoscere che potrebbe accadere presto.
Alessio Agnello è Technical Director Trend Micro Italia