ИИ-ассистенты в почте стали новой мишенью для сложных фишинговых атак
По данным Malwarebytes, фишинговые письма нацеливаются не только на получателя, но и на ИИ-ассистентов, которые читают и суммируют почту. Вредоносные инструкции могут быть скрыты в HTML или невидимом тексте и повлиять на обработку сообщения.
Для почтовой инфраструктуры это новый участок контроля: фильтры и правила работы ассистента должны учитывать содержимое, которое пользователь не видит.
Письмо атакует через ассистента
В описанном Malwarebytes примере письмо содержит защищённое паролем вложение, а пароль указан в самом сообщении. Одновременно скрытая инструкция рассчитана на ИИ: она может подтолкнуть его представить письмо как срочное или заслуживающее доверия.
Другой пример из материала касается фиктивного поручения изменить платёжные реквизиты поставщика. Если ассистент добавит его в сводку как приоритетное действие, риск возникает даже без клика по ссылке или открытия вложения. Модель превращает запрос атакующего в рекомендацию для сотрудника.
Инструкции могут находиться в комментариях HTML, невидимом оформлении, закодированном содержимом или символах нулевой ширины. Дойдёт ли такой текст до модели, зависит от того, как конкретный инструмент извлекает и подготавливает письмо.
Что проверить в почтовом контуре
Проверьте, какие данные MTA, почтовый клиент и ИИ-ассистент передают друг другу. Особое внимание уделите обработке HTML и скрытого текста: обычный просмотр сообщения не гарантирует, что те же данные получит модель.
Настройте ассистент так, чтобы инструкции из письма считались недоверенным содержимым, а не командами. Для операций с высокой ценой ошибки, включая смену платёжных реквизитов и передачу чувствительных данных, оставьте обязательное подтверждение человеком. Не предоставляйте инструменту полномочия, которые не нужны для его задачи.
Материал Malwarebytes пересказывает исследование Barracuda и отмечает, что одной проверки письма человеком недостаточно: защита должна быть встроена и в инструменты обработки почты. Это не означает, что ИИ-ассистенты следует отключить. Требуется ограничить их доступ и запретить самостоятельное выполнение финансовых и иных критичных действий.
Отдельный риск: доверенные платформы
В заголовке KnowBe4 заявлено, что одно из десяти фишинговых писем приходит с платформы, которой пользователи доверяют. Однако доступные данные содержат только заголовок, без подробностей методики и контекста. Используйте это как сигнал проверять саму просьбу, даже если письмо пришло через знакомый сервис, но не переносите число на собственную почтовую инфраструктуру без подтверждения.
Для первичной проверки зафиксируйте источник письма, способ извлечения содержимого ассистентом и действия, которые тот предлагает. Затем протестируйте обработку скрытого HTML и настройте ручное подтверждение чувствительных операций. Сводка ИИ не является доказательством подлинности письма. Для перерыва между проверками оставьте коллегам подборку новых гастрономических мест Ванкувера.