noticias

한어Русский языкEnglishFrançaisIndonesianSanskrit日本語DeutschPortuguêsΕλληνικάespañolItalianoSuomalainenLatina

IT House informó el 11 de agosto que, según Futurism, los investigadores de seguridad revelaron recientemente que la IA Copilot de Microsoft integrada en los sistemas Windows puede manipularse fácilmente para filtrar datos empresariales confidenciales e incluso convertirse en una poderosa herramienta de ataque de phishing.

IT House señaló que el cofundador y director de tecnología de la empresa de seguridad Zenity, Michael Bargury, reveló este sorprendente descubrimiento en la conferencia de seguridad Black Hat en Las Vegas. Dijo: "Puedo usar esto para obtener toda su información de contacto y enviarle cientos de correos electrónicos". " Señaló que los piratas informáticos tradicionales necesitan pasar días para elaborar cuidadosamente los correos electrónicos de phishing, pero con Copilot, se puede generar una gran cantidad de correos electrónicos engañosos en unos pocos minutos.

Los investigadores demostraron mediante una demostración que los atacantes pueden engañar a Copilot para que modifique la información del beneficiario de la transferencia bancaria sin obtener una cuenta corporativa. Solo necesitan enviar un correo electrónico malicioso y el empleado objetivo ni siquiera necesita abrirlo para llevar a cabo el ataque.

Otro vídeo de demostración revela cómo los piratas informáticos pueden utilizar Copilot para causar estragos después de obtener acceso a las cuentas de los empleados.. Al hacer preguntas sencillas, Bargury pudo obtener datos confidenciales que podía utilizar para lanzar ataques de phishing haciéndose pasar por empleados. Bargury primero obtiene la dirección de correo electrónico de su colega Jane, descubre el contenido de la conversación más reciente con Jane e induce a Copilot a filtrar la dirección de correo electrónico de la persona copiada en la conversación. Luego le indicó a Copilot que redactara un correo electrónico para Jane al estilo del empleado atacado y extrajera el asunto exacto del correo electrónico más reciente entre los dos. En sólo unos minutos, creó un correo electrónico de phishing altamente creíble que podía enviar un archivo adjunto malicioso a cualquier usuario de la red, todo gracias a la cooperación activa de Copilot.

Microsoft Copilot AI, específicamente Copilot Studio, permite a las empresas personalizar los chatbots para satisfacer necesidades específicas. Sin embargo, esto también significa que la IA necesita acceder a datos corporativos, lo que aumenta los riesgos de seguridad. Una gran cantidad de chatbots se pueden buscar en línea de forma predeterminada, lo que los convierte en objetivos para los piratas informáticos.

Un atacante también puede eludir las medidas de protección de Copilot mediante la inyección de pistas indirectas. En pocas palabras, se pueden utilizar datos maliciosos de fuentes externas, como hacer que un chatbot visite un sitio web que contiene mensajes, para provocar que realice acciones prohibidas. "Aquí hay un problema fundamental", subraya Bargury. "Cuando le das acceso a los datos a una IA, esos datos se convierten en una superficie de ataque para una rápida inyección. En algún momento, si un bot es útil, es vulnerable; si no es frágil, es frágil. inútil."