דוח דרום-קוריאני: קבוצת התקיפה הצפון-קוריאנית קימסוקי בונה סביבות בינה מלאכותית לצורך מתקפות על חברות קריפטו

חברת האבטחה הדרום-קוריאנית ג'ניאנס (Genians) פרסמה ביום שני דוח שלפיו קבוצת התקיפה קימסוקי, המזוהה עם צפון קוריאה, הקימה ובחנה סביבות בינה מלאכותית מקומיות. לפי הדיווח ב-crypto.news מדובר בשלוש סביבות כאלה. לפי BeInCrypto מדובר בשלב של מחקר והכנה — בדיקה כיצד לשלב את הטכנולוגיה בפיתוח נוזקות ובשיטות התקיפה עצמן; לפי crypto.news, היעדים המרכזיים הם חברות קריפטו וגופים פיננסיים.

הפרט הטכני החשוב בדוח הוא המילה "מקומיות". מודל שפה שרץ על שרת פרטי, ולא דרך שירות ענן מסחרי, אינו כפוף למגבלות השימוש של ספק השירות ואינו מותיר אחריו יומני פעילות אצל גורם חיצוני. במילים אחרות: ההפעלה המקומית אינה מוסיפה יכולת חדשה בפני עצמה, אבל היא מסירה את מנגנוני הבקרה והניטור שמלווים את השימוש הרגיל בכלים האלה.

מה בדיוק נמצא, ומה עדיין לא

לפי Bitcoin.com News, מעקב של חודשים אחר תשתיות המשויכות לקבוצה העלה ראיות לשימוש במודלי שפה גדולים מקומיים, והחוקרים מעריכים כי הכלים האלה עשויים בהמשך לסייע באוטומציה של פישינג, בניתוח מידע גנוב ובשיפור פיתוח הנוזקות. BeInCrypto מוסיף כי ככל הנראה כבר נעשה שימוש בבינה מלאכותית יוצרת לצורך הפקת מסמכי הסוואה — אותם קבצים תמימים למראה שנשלחים לקורבן כדי לשכנע אותו לפתוח קובץ או ללחוץ על קישור.

כאן ראוי לשים לב לפער בין הדיווחים. Crypto Briefing מציג תמונה נחרצת יותר, ולפיו התוצאות של שילוב הבינה המלאכותית בידי קבוצות תקיפה צפון-קוריאניות כבר נראות בשטח, ואילו הדיווחים הנשענים ישירות על ג'ניאנס מדגישים דווקא את אופיו הניסיוני של השלב הנוכחי — בחינה, פיתוח יכולות והכנה. ההבחנה הזו אינה סמנטית בלבד: היא ההבדל בין איום שמתממש כעת לבין איום שנמצא על שולחן השרטוטים.

למה דווקא חברות קריפטו

לפי crypto.news, היעדים שאליהם מכוונת הפעילות המתוארת בדוח הם חברות קריפטו וגופים פיננסיים. העברה בבלוקצ'יין היא סופית — אין בנק מרכזי שמבטל אותה בדיעבד, ואין מוקד שירות שמקפיא את הכסף למחרת בבוקר. בין השימושים שהדיווחים מציינים: אוטומציה של פישינג, שלפי Bitcoin.com News הכלים עשויים בהמשך לסייע בה, והפקת מסמכי הסוואה, שלפי BeInCrypto ככל הנראה כבר נעשה בה שימוש. הבינה המלאכותית אינה משנה את מהות הפנייה לקורבן — היא מוזילה ומזרזת אותה, ומאפשרת לייצר עשרות גרסאות משכנעות של אותה פנייה במקום אחת.

לקורא הישראלי יש כאן נקודה מעשית. במשך שנים סימן ההיכר של ניסיון הונאה היה עברית עילגת או תרגום מכונה מגושם. מודל שפה טוב מייתר את הסימן הזה. הכלל הישן — "אם העברית שבורה, זו הונאה" — כבר אינו מספיק, וצריך להחליפו בבדיקה של הדבר עצמו: מי שולח, לאן מוביל הקישור, ומה בדיוק מבקשים ממני לאשר.

מה עושים בפועל

ההגנות שעובדות מול תקיפה מסוג זה הן דווקא הבסיסיות. ביטוי השחזור של הארנק (seed) אינו מוקלד לעולם באתר, בטופס או בקובץ — שום שירות לגיטימי אינו מבקש אותו. סכומים משמעותיים ראוי שיישמרו בארנק חומרה, שבו אישור העסקה נעשה במכשיר נפרד. אימות דו-שלבי עדיף שיסתמך על אמצעי ייעודי ולא על מסרון. וכשמגיעה פנייה בלתי צפויה בענייני כסף — אימות בערוץ אחר, שיחת טלפון למספר מוכר, שווה יותר מכל תוכנת אבטחה.

עוד נקודה מעשית: אם נגרם אובדן נכסים בעקבות תקיפה, כדאי לשמור תיעוד מסודר — צילומי מסך, כתובות ארנק ומועדי העסקאות — מול הבנק והזירה שדרכם בוצעו ההעברות, וכן לכל בירור שעשוי להידרש בהמשך. תיעוד שנעשה בזמן אמת שווה הרבה יותר משחזור מהזיכרון חודשים לאחר מכן.

מקורות: Crypto Briefing · crypto.news · BeInCrypto · Bitcoin.com News

המידע בכתבה נועד להרחבת הדעת בלבד ואינו מהווה ייעוץ השקעות או תחליף לייעוץ מקצועי.