Veiligheidsdiensten: cybercriminelen vallen vaker en slimmer aan met AI

Cybercriminelen maken steeds meer gebruik van kunstmatige intelligentie (AI) om aanvallen uit te voeren op bedrijven en organisaties. Bovendien maakt AI het gemakkelijker voor een „bredere groep kwaadwillenden” om aanvallen uit te voeren. Daarvoor waarschuwen veiligheidsdiensten AIVD en MIVD in een brief, samen met het cyberveiligheidscentrum NCSC, terrorismebestrijder NCTV, de politie, het Openbaar Ministerie en CIO Rijk, de ict-organisatie van de Rijksoverheid.

„De aanvallen worden door AI groter, complexer en zullen toenemen”, schrijven zij. Criminelen zouden volgens de diensten en organisaties dankzij AI onder meer sneller kwetsbaarheden in digitale systemen opsporen en misbruiken. Ze „automatiseren” hun „aanvalstechnieken”, die bovendien geavanceerder worden en daardoor „langer onder de radar” blijven. Zo wordt AI gebruikt om sneller aan te vallen, malware te ontwikkelen, realistischere phishingmails te schrijven en desinformatie „op grote schaal te personaliseren”.

Bekende voorbeelden, die overigens niet in de brief genoemd worden, zijn onder meer nepmails van ceo’s, waarbij een oplichter zich voordoet als leidinggevende, en telefonische oplichting waarbij stemmen worden nagebootst. Ook kan met ChatGPT eenvoudig malware gecodeerd worden, software die gebruikt wordt om in te breken in systemen en vervolgens data te stelen.

Criminelen maken bij zulke aanvallen niet eens gebruik van geavanceerde modellen, schrijven de diensten. „Bestaande en makkelijk toegankelijke AI-modellen” blijken daar bruikbaar genoeg voor. Namen daarvan worden niet genoemd, maar het zal gaan om bijvoorbeeld ChatGPT, Gemini en Claude.

Investeren in cyberveiligheid

In de brief roepen de organisaties bestuurders van bedrijven en organisaties op om „verantwoordelijkheid te nemen en prioriteit te geven aan cybersecurity”. Dat betekent bijvoorbeeld dat systemen altijd up-to-date moeten zijn en bedrijven moeten investeren in cyberveiligheid. Tegelijkertijd schrijven de diensten dat de „belangrijkste stap” niet „technisch” is, „maar cultureel en in de bewustwording”. Cybersecurity, schrijven ze, „is geen IT-probleem dat ergens in een kelder of datacenter opgelost wordt”, maar vraagt om bewustwording binnen organisaties over het risico van cyberdreigingen.