Cyberbezpieczeństwo to dziś pilna sprawa dla firm. „Kiedyś cyberprzestępca musiał być specjalistą. Dziś wystarczy myszka i karta kredytowa”

Bartosz Zbyszewski, dyrektor ds. ryzyka i bezpieczeństwa IT, oraz Tomasz Żelski, dyrektor zarządzający ds. IT i digitalizacji w Grupie PZU, dzielą się wiedzą w zakresie wykorzystania sztucznej inteligencji w cyberbezpieczeństwie, a także wyjaśniają, jak bardzo zmienia się ten sektor i dlaczego obecnie każdy z nas powinien mieć odpowiednią świadomość zagrożeń. Eksperci są zgodni: narzędzia do przeprowadzania ataków stają się powszechne i łatwo dostępne, a to rodzi ryzyko wzrostu liczby ataków, zarówno tych znanych, jak i całkowicie nowych.

• PZU zmaga się głównie z próbami kradzieży danych, atakami DDoS oraz oszustwami związanymi z rozpoznawalnością marek i phishingiem
• Grupa jest jednak dobrze zabezpieczona, wykorzystując m.in. sztuczną inteligencję do analizy zagrożeń  
• Eksperci PZU dzielą się wiedzą na temat obecnych i nadchodzących zagrożeń, które coraz częściej wykorzystują techniki cyfrowe, takie jak deepfake
• Wyścig technologiczny między przestępcami a obrońcami wciąż przyspiesza. Wymaga to stałego podnoszenia kwalifikacji i wdrażania nowych technologii. Co warto wiedzieć już dzisiaj?

Business Insider Polska: Z jakimi zagrożeniami mierzy się obecnie Grupa PZU?

Bartosz Zbyszewski, dyrektor ds. ryzyka i bezpieczeństwa IT w PZU: Jeśli chodzi o zagrożenia cybernetyczne, to ich natura pozostaje niezmienna — zmienia się tylko otoczenie. Przestępcy dostosowują techniki ataku i narzędzia, ale głównym motywem ich działań jest zysk. Główne zagrożenia związane z cyberprzestępczością to kradzież pieniędzy, przejmowanie chronionych danych, które można zmonetyzować, oraz zaszyfrowanie danych w celu wymuszenia okupu. Firmy ubezpieczeniowe, takie jak PZU, są w tym kontekście bardziej narażone na wyciek danych niż na bezpośrednie straty finansowe, co różni je od banków.

Kolejnym zagrożeniem jest atak DDoS (ang. distributed denial of service, rozproszona odmowa usługi), który powoduje przerwy w dostępie do usług, co może prowadzić do utraty zaufania klientów. Ostatnio obserwujemy też wzrost oszustw związanych z rozpoznawalnością marek, zwłaszcza w mediach społecznościowych. Pojawiają się tam fałszywe reklamy, które zachęcają do inwestycji w nieistniejące fundusze emerytalne lub podszywają się pod znane marki czy osoby, w celu wyłudzenia danych osobowych lub zainstalowania złośliwego oprogramowania.

Tomasz Żelski, dyrektor zarządzający ds. IT i digitalizacji w PZU: Dodam, że cyberprzestępcy potrafią wykorzystać nawet wizerunki członków zarządu, aby uwiarygodnić swoje oszustwa. Fałszywe strony czy posty są bardzo podobne do naszych oficjalnych materiałów, co może zmylić osoby mniej doświadczone. Przestępcy coraz częściej wykorzystują technologie cyfrowe do popełniania różnych fraudów, a PZU ma szereg rozwiązań, które pozwalają ograniczać te zagrożenia. Najbardziej powszechne ataki dotyczą natomiast wyłudzania danych przez phishing i fałszywe SMS-y.

Bartosz Zbyszewski: Warto wspomnieć, że PZU prowadzi obecnie kampanię „Nie daj się podszyć”, której celem jest uświadamianie klientów o zagrożeniach, takich jak phishing czy fałszywi konsultanci. Kampania ma na celu zwiększenie świadomości i ochronę przed powszechnymi oszustwami.

Czy w momencie wykrycia fałszywych reklam w social mediach, np. na Facebooku, zgłaszacie Państwo takie przypadki do Mety?

Tomasz Żelski: Jest to nasza wewnętrzna procedura postępowania, więc nie mogę podać szczegółów. Natomiast każde wykryte lub zgłoszone do nas zdarzenie nie pozostaje bez odpowiedzi. Reagujemy szybko, wykorzystując dostępne technologie oraz współprace, które mamy nawiązane, aby jak najszybciej ukrócić takie działania. Mamy też szerokie wsparcie z Komisji Nadzoru Finansowego, co pozwala nam sprawniej działać w przypadku największych platform społecznościowych.

Czy można zauważyć, że obecnie jest więcej ataków na PZU niż, na przykład, dwa lata temu? Czy jest wyraźny wzrost ich liczby?

Bartosz Zbyszewski: To zależy oczywiście od tego, o jakie ataki dokładnie chodzi. Jeśli mówimy o skali ogólnej, to po inwazji Rosji na Ukrainę rzeczywiście nastąpił znaczący wzrost ataków, szczególnie typu DDoS, które mają na celu wyłączenie naszych systemów i zakłócenie działalności. Te ataki są często prowadzone z terytorium Rosji lub wspierających ją państw. Obecnie obserwujemy bardzo dużą liczbę zróżnicowanych ataków.

Radzicie sobie Państwo z takimi atakami?

Tomasz Żelski: PZU korzysta z najnowszych rozwiązań technologicznych i organizacyjnych, aby zabezpieczyć swoje systemy. Choć nie jesteśmy bankiem i działamy w nieco innych warunkach, to monitorujemy zagrożenia 24/7 i reagujemy natychmiast po ich wykryciu. Każde zagrożenie jest klasyfikowane, bo choć nie wszystkie są krytyczne, to każde wymaga naszej uwagi.

Bartosz Zbyszewski: Dodam, że nasze cyberbezpieczeństwo opiera się na wielowarstwowej ochronie, która obejmuje wiele systemów działających w różnych miejscach. Głównym celem tych rozwiązań jest zniechęcenie atakujących do pogłębiania penetracji naszych systemów. Od momentu wybuchu konfliktu na Ukrainie znacznie poprawiła się współpraca nie tylko w branży ubezpieczeniowej, , ale również na poziomie całego rynku finansowego. KNF stworzył platformę do wymiany wiedzy na temat cyberataków, co pozwala firmom lepiej się chronić. Współpracujemy nie tylko z KNF, ale również z innymi podmiotami, tworząc kolektywną obronę. Ataki często powtarzają się w różnych miejscach, dlatego dzielenie się informacjami daje nam większy potencjał obronny. Trzeba jednak podkreślić, że nasze systemy i osoby nimi zarządzające muszą stale podnosić kwalifikacje, ponieważ cyberzagrożenia zmieniają się bardzo dynamicznie — praktycznie każdego dnia.

Macie Państwo w ofercie ubezpieczenie PZU Cyber, które chroni przed ryzykami cybernetycznymi oraz naruszeniami związanymi z RODO. Czy klienci chętnie wybierają takie rozwiązania?

Tomasz Żelski: Nasze ubezpieczenie PZU Cyber zapewnia firmie kompleksową ochronę. Po pierwsze, oferujemy pokrycie kosztów związanych z naprawieniem szkód spowodowanych naruszeniem danych lub zagrożeniem bezpieczeństwa sieci, w tym np. odzyskiwania danych usuniętych, uszkodzonych, zniszczonych lub zaszyfrowane przez wirusa lub oprogramowanie ransomware, wynajęcia informatyków śledczych, obsługi prawnej, zawiadomienia odpowiednich organów, a nawet koszty ochrony wizerunku (PR), naruszonego przez cyberprzestępców. Po drugie, ubezpieczenie obejmuje też ryzyka związane z roszczeniami wobec firmy, jakie mogą być następstwem cyberataku, którego padła ofiarą, czyli np. dotyczące naruszenia prywatności, w tym danych osobowych, naruszenia praw autorskich, prawa własności przemysłowej czy wynikające z przekazania dalej wirusa lub innego złośliwego oprogramowania. W grę wchodzi również zrekompensowanie utraconych w wyniku cyberataku zysków firmy oraz wydatków niezbędnych, by po takim ataku podtrzymać jej funkcjonowanie. Pomoc rozpoczyna się wraz ze zgłoszeniem incydentu i może trwać aż do zakończenia postępowania włącznie, więc nawet długo po zakończeniu okresu ubezpieczenia w polisie.

Zakładam, że świadomość zagrożeń polskich firm ciągle jednak nie jest na tyle wysoka, aby produkty takie jak PZU Cyber cieszyły się bardzo dużą popularnością, zbliżoną do zwykłych polis ubezpieczeniowych.

Tomasz Żelski: Widzimy rosnącą świadomość wśród klientów, choć nadal jest ona na niższym poziomie niż na przykład w Stanach Zjednoczonych, gdzie polisy chroniące przed ryzykami cybernetycznymi są bardzo popularne — nawet wśród klientów indywidualnych, a nie tylko firm.

Czyli ta świadomość w Polsce nadal nie jest wystarczająca?

Tomasz Żelski: Tak, ale zdecydowanie rośnie. Widać to chociażby po reklamach różnych firm świadczących usługi finansowe i dostawców usług technologicznych, które pojawiają się w mediach. My również zaczynamy szeroko komunikować te kwestie, bo budowanie świadomości to proces, który trwa.

Wróćmy teraz jeszcze do samych trendów w cyberbezpieczeństwie. Co z rolą sztucznej inteligencji w tym sektorze? Czy PZU stosuje już AI w walce z atakami?

Tomasz Żelski: Sztuczna inteligencja odgrywa coraz większą rolę, szczególnie w radzeniu sobie z ogromną liczbą ataków, jak choćby phishing czy malware. Tradycyjne technologie zabezpieczeń czasami nie wystarczają, dlatego AI jest konieczna, by wspierać analizę i weryfikację ogromnych ilości danych, np. e-maili, które trzeba sprawdzić pod kątem zagrożeń. Człowiek nie jest w stanie samodzielnie sprostać tej skali zagrożeń.

Bartosz Zbyszewski: AI pomaga w trzech głównych obszarach: wykrywaniu złośliwego oprogramowania, analizie e-maili phishingowych oraz w zabezpieczaniu aplikacji, szukając w nich podatności. To są kluczowe obszary, w których sztuczna inteligencja wspiera nasze działania. Automatyzacja i wsparcie AI są dziś niezbędne, ponieważ liczba ataków jest zbyt duża, aby można było na nie skutecznie reagować bez nowoczesnych technologii. Dodam natomiast, że tak jak w przypadku każdego systemu opartego na AI, efektywność zależy od jakości danych, na których jest trenowany, oraz od tego, w jakim stopniu można pozwolić mu podejmować samodzielnie decyzje. Nie zawsze możemy w pełni delegować decyzyjność na AI, dlatego człowiek wciąż odgrywa istotną rolę w procesie.

A jakie nowe zagrożenia w cyberbezpieczeństwie mogą pojawić się w najbliższych latach?

Tomasz Żelski: W świecie cyfrowym coraz trudniej będzie oddzielić rzeczywistość od fikcji generowanej przez sztuczną inteligencję. To już teraz staje się wyzwaniem i prowadzi do stałego „wyścigu zbrojeń” między obrońcami a przestępcami. Jeszcze niedawno generowane przez AI obrazy miały łatwe do rozpoznania błędy, takie jak dłonie z sześcioma palcami. Obecnie coraz trudniej odróżnić wytwory sztucznej inteligencji od rzeczywistości. Dotyczy to zarówno osób, jak i wszelkiego rodzaju obiektów. Kiedyś trzeba było wynająć grafika, żeby stworzył skomplikowane obrazy, a teraz wystarczy mieć minimalną wiedzę i dostęp do narzędzi AI, które pozwalają na wygenerowanie takich treści w kilka chwil.

Co więcej, technologie oparte na sztucznej inteligencji i narzędzia dostępne w tzw. darknecie stają się coraz bardziej dostępne dla osób bez specjalistycznej wiedzy. Granica między osobą technicznie biegłą a zwykłym użytkownikiem coraz bardziej się zaciera. Narzędzia do przeprowadzania ataków stają się powszechne i łatwo dostępne, co rodzi ryzyko wzrostu liczby ataków, zarówno tych znanych, jak i całkowicie nowych.

Bartosz Zbyszewski: Jeszcze kilka lat temu przygotowanie cyberataku wymagało sporych nakładów finansowych, ale teraz te koszty maleją, co zwiększa ryzyko. Wiele zagrożeń, z którymi mamy do czynienia dzisiaj, zalicza się do kategorii tzw. offensive AI — sztucznej inteligencji wykorzystywanej do ofensywnych działań. Z perspektywy użytkownika AI staje się wszechobecna, dostępna w każdym telefonie i gotowa do realizacji szerokiej gamy zadań. Podobnie będzie w świecie cyberprzestępczości — sztuczna inteligencja zostanie w pełni zaangażowana w ten nieustający wyścig technologiczny. Kiedyś, aby przeprowadzić atak, trzeba było mieć dużą wiedzę. Teraz wystarczy zapytać AI o potrzebne informacje, a reszta staje się możliwa.

Czyli sytuacja będzie podobna do tej, którą znamy z kreatorów stron internetowych: kiedyś potrzebny był programista, teraz można samemu wyklikać stronę internetową w kilka minut. Czy z cyberatakami będzie tak samo? Czy ktoś, kto nie ma wiedzy technicznej, będzie mógł np. zlecić atak ransomware, wpisując tylko adres strony, którą chce zaatakować?

Bartosz Zbyszewski: To już się dzieje. Można zlecić atak, a dostępność tych narzędzi stale rośnie. Dla niektórych to może być po prostu „zabawa”, ale konsekwencje mogą być poważne.

Tomasz Żelski: Kiedyś osoby korzystające z narzędzi cyberprzestępczych musiały mieć zaawansowaną wiedzę techniczną. Teraz jednak wystarczy mieć myszkę, kartę kredytową i dostęp do odpowiednich zasobów, by osiągnąć podobne efekty. To prowadzi do sytuacji, w której sztuczna inteligencja, działająca w tle, może generować zupełnie nowe wektory ataku, które wcześniej nie były wykorzystywane lub były znane jedynie w małej grupie. Mając niemal nieskończony dostęp do informacji, możliwość połączenia różnych elementów i stworzenia nowego, skutecznego narzędzia ataku znacznie wzrasta.

Skanowanie podatności opisywanych na forach czy w innych miejscach w sieci również przyczynia się do odkrywania nowych metod ataków. Dodatkowo musimy zwrócić uwagę na zagrożenie związane z deepfake’ami — podrabianiem wizerunków i głosu, co już teraz jest wykorzystywane w zaawansowanych atakach. To będzie poważne wyzwanie, szczególnie dla sektora finansowego, który będzie musiał znaleźć sposoby na obronę przed tymi technologiami, co z pewnością nie będzie łatwe.

Przykładem obecnego rozwiązania, które działa dobrze dziś, ale może nie działać w przyszłości, jest proces zakładania konta bankowego na podstawie selfie. Choć obecnie systemy te nie polegają jedynie na zrobieniu zdjęcia, ponieważ takie zabezpieczenie byłoby zbyt łatwe do obejścia, można sobie wyobrazić, że w przyszłości selfie wygenerowane przez sztuczną inteligencję i fałszywe dokumenty mogą oszukać te systemy. Jeśli dodatkowo odpowiednio dopasowane zostaną dane, jak numery identyfikacyjne, możliwe będzie przełamywanie dzisiejszych zabezpieczeń.

Czyli AI pomaga, ale też przyczynia się do powstawania wielu nowych ataków. Miecz obosieczny?

Bartosz Zbyszewski: Dokładnie tak. Wyścig technologiczny w zakresie bezpieczeństwa będzie trwał, a cyberbezpieczeństwo będzie coraz bardziej przyszłościowym obszarem.

Dziękujemy, że przeczytałaś/eś nasz artykuł do końca. Bądź na bieżąco! Obserwuj nas w Wiadomościach Google.

Źródło