Όταν χάκερ παρέλυσαν το ηλεκτρονικό δίκτυο μιας καναδικής αλυσίδας λιανικής, οι ιδιοκτήτες της απευθύνθηκαν στην εταιρεία Surefire Cyber Inc. για να διαπραγματευτεί εκ μέρους τους με τους κυβερνοεγκληματίες.
Ο διαπραγματευτής Joe Tarraf γνώριζε ορισμένα πράγματα για τους αντιπάλους του: οι ρωσόφωνοι χάκερ αντιδρούν άσχημα σε προσφορές που υπολείπονται κατά πολύ των απαιτήσεών τους. Αν τους αφήσεις να περιμένουν υπερβολικά, κινδυνεύεις να εξοργιστούν. Και όταν προτείνουν να «μοιραστούν τη διαφορά», ενδέχεται να υπάρχει ακόμη περιθώριο για περαιτέρω διαπραγμάτευση.
Τεχνητή νοημοσύνη, ο διαπραγματευτής
Ωστόσο, ο 41χρονος Tarraf είχε στη διάθεσή του και ένα επιπλέον πλεονέκτημα. Οι χάκερ, όπως όλοι οι άνθρωποι, έχουν τις δικές τους συνήθειες και λίγα εργαλεία είναι καλύτερα εξοπλισμένα για να τις εντοπίσουν από την τεχνητή νοημοσύνη, η οποία μπορεί να αναλύσει εκατοντάδες διαπραγματεύσεις ταυτόχρονα.
Στις αρχές της χρονιάς, η Surefire παρουσίασε ένα εργαλείο τεχνητής νοημοσύνης ακριβώς για αυτόν τον σκοπό, το οποίο χρησιμοποιεί εσωτερικά, προκειμένου να βοηθά το προσωπικό της να προσαρμόζει τις τακτικές του, αξιοποιώντας τα διδάγματα από προηγούμενες διαπραγματεύσεις με διάφορες ομάδες κυβερνοεγκληματιών.
Η τεχνητή νοημοσύνη έχει εξελιχθεί σε πολλαπλασιαστή ισχύος για τις κυβερνοεπιθέσεις, βοηθώντας χάκερ να υποκλέπτουν ευαίσθητα κρατικά δεδομένα χωρίς να αντιμετωπίζουν συνέπειες και τροφοδοτώντας ένα κύμα διαδικτυακού εγκλήματος.
Έχει επίσης συνδεθεί με την αύξηση των επιθέσεων ransomware, καθώς μειώνει τα εμπόδια για τις εγκληματικές ομάδες που θέλουν να δοκιμάσουν τις δυνάμεις τους σε αυτή την πρακτική, η οποία απέφερε πέρυσι πληρωμές ύψους 820 εκατομμυρίων δολαρίων σε κρυπτονομίσματα σύμφωνα με έρευνα της Chainalysis Inc.
Παράλληλα, όπως αναφέρει το Bloomberg, εμπορικά προϊόντα τεχνητής νοημοσύνης έχουν ξεφύγει από τα περιβάλλοντα δοκιμών, καταλήγοντας ανεξέλεγκτα στο διαδίκτυο και διαπερνώντας τις εταιρικές άμυνες, με τρόπο που έχει προκαλέσει ανησυχία σε αξιωματούχους εθνικής ασφάλειας και κορυφαίους παράγοντες της Wall Street.
Η συμμορία
Όπως και άλλες εταιρείες του κλάδου, η Surefire δείχνει πώς οι αμυνόμενοι αξιοποιούν εργαλεία τεχνητής νοημοσύνης για να συμβαδίζουν με τις εξελίξεις και να αντιμετωπίζουν τις απειλές.
Κατά τη διαχείριση της υπόθεσης της καναδικής εταιρείας, ο Tarraf είχε απέναντί του την Qilin, μια ομάδα γνωστή για την καταστροφική κυβερνοεπίθεση που εξαπέλυσε το 2024 εναντίον εταιρείας ιατρικών διαγνωστικών εξετάσεων, η οποία εξυπηρετεί νοσοκομεία στο Ηνωμένο Βασίλειο.
Στην επίθεση εκείνη, η συμμορία απαίτησε λύτρα ύψους 50 εκατομμυρίων δολαρίων, αρνήθηκε να αναλάβει την ευθύνη για τον θάνατο ασθενούς και δημοσιοποίησε στο διαδίκτυο τεράστιο όγκο εμπιστευτικών δεδομένων υγειονομικής περίθαλψης.
Σύμφωνα με την Chainalysis, η οποία παρακολουθεί τις ροές κεφαλαίων προς πορτοφόλια κρυπτονομισμάτων που χρησιμοποιούν χάκερ, πέρυσι τα μέσα λύτρα που καταβλήθηκαν στην Qilin ανήλθαν σε περίπου 360.000 δολάρια.
Από τις δύο οθόνες του γραφείου του, ψηλά σε ένα κτίριο στο Μπρούκλιν, ο Tarraf διαπραγματευόταν επί περισσότερες από δύο εβδομάδες με την ομάδα, εκ μέρους της εταιρείας λιανικής από το Μόντρεαλ, τα διαθέσιμα κεφάλαια της οποίας επρόκειτο να εξαντληθούν σε λιγότερο από έναν μήνα, όπως ο ίδιος θυμάται.
Η διαπραγμάτευση
Σε όλη τη διάρκεια των διαπραγματεύσεων, το εργαλείο τεχνητής νοημοσύνης της Surefire τον βοηθούσε να διαμορφώνει τον τόνο, τον χρόνο και τις διατυπώσεις των μηνυμάτων του.
Με προσεκτικά διατυπωμένα μηνύματα, ο Tarraf παρουσιάστηκε ως υπάλληλος του τμήματος πληροφορικής της εταιρείας, κερδίζοντας χρόνο για τους συναδέλφους του ώστε να αναλύσουν πώς είχαν εισβάλει οι χάκερ στο δίκτυο και ποια δεδομένα είχαν υποκλέψει, όπως ανέφερε.
Κατάφερε επίσης να πείσει τους δράστες να του δώσουν έναν κατάλογο με τα κλεμμένα αρχεία και να αποδείξουν ότι μπορούσαν να τα αποκρυπτογραφήσουν.
Σε όλη τη διάρκεια της διαδικασίας, προσπαθούσε να τους πείσει να δεχθούν μικρότερο ποσό, σύμφωνα με απομαγνητοφωνημένο κείμενο της διαπραγμάτευσης, στο οποίο έχουν απαλειφθεί ορισμένα στοιχεία.
Γνωρίζοντας ότι το βασικό κίνητρο της Qilin ήταν αποκλειστικά το οικονομικό όφελος, ο Tarraf εστίασε την επικοινωνία του σε συγκεκριμένα οικονομικά μεγέθη και προέτρεψε τη συμμορία να εξετάσει τα επιχειρηματικά αρχεία που είχε υποκλέψει.
«Είμαστε μια μικρή εταιρεία και απλώς δεν διαθέτουμε τόσα μετρητά», είπε στους χάκερ, αναφερόμενος στο ποσό των λύτρων που ζητούσαν. «Αν εξετάσετε τα οικονομικά μας στοιχεία, θα δείτε ότι δεν έχουμε καν καταγράψει κέρδη τα τελευταία δύο χρόνια και ότι τα έσοδά μας είναι περιορισμένα».
Η Surefire αρνήθηκε να αποκαλύψει την ταυτότητα των πελατών της και να συζητήσει πολλές από τις λεπτομέρειες της δραστηριότητάς της, επικαλούμενη νομικές συμφωνίες και τον κίνδυνο να προσφέρει πλεονέκτημα στους επιτιθέμενους.
Ειδικότερα, αρνήθηκε να γνωστοποιήσει τη διαφορά ανάμεσα στις αρχικές απαιτήσεις για λύτρα και στα ποσά που τελικά καταβάλλονται, υποστηρίζοντας ότι η δημοσιοποίηση αυτών των «ποσοστών έκπτωσης» θα βοηθούσε τους χάκερ να αποσπούν περισσότερα χρήματα από τα θύματά τους.
Η εταιρεία αντιμετώπισης περιστατικών κυβερνοασφάλειας εκπαίδευσε το εργαλείο τεχνητής νοημοσύνης αξιοποιώντας την εμπειρία των διαπραγματευτών της από εκατοντάδες μεμονωμένες παραβιάσεις συστημάτων.
Συγκεκριμένα, τροφοδότησε το εργαλείο με 15.000 μηνύματα από ανωνυμοποιημένα απομαγνητοφωνημένα κείμενα σχεδόν 1.000 διαπραγματεύσεων, σύμφωνα με την Karla Reffold, επικεφαλής της ομάδας που ανέπτυξε το εργαλείο.
Τα μηνύματα συσχετίστηκαν με δεδομένα σχετικά με τις λεπτομέρειες των διαπραγματεύσεων, όπως η έκβασή τους, η διάρκειά τους, οι αρχικές απαιτήσεις για λύτρα και τα ποσά που κατέβαλαν τελικά τα θύματα.
Λεπτή ισορροπία
Το προσωπικό της Surefire γενικά αποτρέπει τους πελάτες της από το να καταβάλλουν λύτρα στους χάκερ, οι οποίοι συχνά αποδεικνύονται αναξιόπιστοι.
Ωστόσο, οι πελάτες που επέλεξαν να πληρώσουν από τον Ιανουάριο έως τον Σεπτέμβριο κατέβαλαν κατά μέσο όρο 15% λιγότερα σε σύγκριση με όσους πλήρωσαν την ίδια περίοδο το 2025, ανέφερε η Reffold, διευκρινίζοντας ότι τα στοιχεία αυτά ενδέχεται να επηρεάστηκαν και από παράγοντες πέραν της τεχνητής νοημοσύνης.
Η εταιρεία κυβερνοασφάλειας Splunk χρησιμοποιεί τη γενετική τεχνητή νοημοσύνη για να παραπλανεί τους χάκερ, δημιουργώντας ρεαλιστικά πλαστά υπολογιστικά συστήματα, τα οποία ανταποκρίνονται στις προσπάθειες εισβολής και αναλύουν τη συμπεριφορά των εισβολέων.
Ερευνητές έχουν επίσης δείξει πώς μπορούν να χρησιμοποιηθούν μεγάλα γλωσσικά μοντέλα για τον εντοπισμό ανησυχητικών συζητήσεων σε φόρουμ χάκερ, δίνοντας ενδεχομένως στις ομάδες κυβερνοασφάλειας ένα προβάδισμα στην αποτροπή επιθέσεων που βρίσκονται ακόμη στο στάδιο του σχεδιασμού.
Η πλατφόρμα τεχνητής νοημοσύνης της Surefire έχει επίσης συμβάλει στη μείωση κατά 30% του χρόνου που απαιτείται για την επίτευξη συμφωνίας, δήλωσε η Reffold. Κατά το πρώτο εξάμηνο της φετινής χρονιάς, οι διαπραγματευτές έστελναν κατά μέσο όρο εννέα μηνύματα ανά υπόθεση, έναντι 19 την αντίστοιχη περίοδο του 2025.
«Η τεχνητή νοημοσύνη εντοπίζει τις γλωσσικές τάσεις καλύτερα από έναν άνθρωπο. Έτσι, αναγνωρίζουμε αυτά τα μοτίβα πολύ ταχύτερα και προσαρμόζουμε ανάλογα τις απαντήσεις μας», είπε.
Η επιτάχυνση αυτή μπορεί να αποδειχθεί καθοριστικής σημασίας για τους οργανισμούς που έχουν δεχθεί κυβερνοεπίθεση, καθώς συχνά δυσκολεύονται να επιβιώσουν όταν οι δράστες παραλύουν τις επιχειρηματικές τους λειτουργίες και κλειδώνουν κρίσιμα δεδομένα.
Αντιμέτωποι ακριβώς με αυτή την κατάσταση, οι ιδιοκτήτες της εταιρείας από το Μόντρεαλ καταράστηκαν τους επιτιθέμενους στα γαλλικά και τα αγγλικά, αλλά αποφάσισαν χωρίς καθυστέρηση να πληρώσουν, θυμάται ο Tarraf.
Με διαθέσιμα μετρητά που μόλις επαρκούσαν για να διατηρήσουν ένα προσωπικό ασφαλείας για τρεις εβδομάδες, η εταιρεία χρειαζόταν τον Tarraf για να μειώσει τις απαιτήσεις των χάκερ, χωρίς όμως να τους προκαλέσει.
«Υπάρχει μια λεπτή ισορροπία ανάμεσα στο πόσο μπορείς να τους κρατήσεις σε αναμονή και στο σημείο στο οποίο, για να το πω όσο πιο κομψά γίνεται, τους εξοργίζεις», είπε ο Tarraf. «Αυτό που κάνει πολύ καλά η μηχανή γνώσης μας είναι ότι μας δίνει αρκετά σαφείς κατευθυντήριες γραμμές για τον ρυθμό της επικοινωνίας, ώστε να μπορούμε να κινούμαστε σε αυτή τη λεπτή ισορροπία».
Προσποίηση
Τελικά, η εταιρεία από το Μόντρεαλ κατέβαλε στους χάκερ 175.000 δολάρια, ποσό που ήταν εντός του προϋπολογισμού της, αλλά κάλυπτε μόνο ένα μέρος του συνολικού κόστους που υπέστη από την παραβίαση, σύμφωνα με στελέχη της Surefire. Ο Tarraf ανέφερε ότι η ασφαλιστική κάλυψε μέρος – όχι όμως το σύνολο – των εξόδων, ότι η εταιρεία έχει επανέλθει σε λειτουργία και ότι οι ιδιοκτήτες διαχειρίστηκαν το περιστατικό «σαν πρωταθλητές».
Τον Οκτώβριο, οι γερμανικές αρχές ανακοίνωσαν τη σύλληψη ενός Ρώσου, ο οποίος θεωρείται ύποπτος ότι ήταν μέλος της Qilin.
Επικοινωνώντας με μέλος της ομάδας μέσω διεύθυνσης σε εφαρμογή κρυπτογραφημένων μηνυμάτων, η οποία αναγραφόταν στη σελίδα της στο σκοτεινό διαδίκτυο (dark web), το άτομο αρνήθηκε να σχολιάσει τις κυβερνοεπιθέσεις της Qilin, επικαλούμενο «επαγγελματική δεοντολογία» και την πολιτική της ομάδας να μην αποκαλύπτει την ταυτότητα όσων εκβιάζει.
Το μέλος επέκρινε τις εταιρείες κυβερνοασφάλειας στις οποίες προσφεύγουν τα θύματα για να διαπραγματευτούν, δηλώνοντας ότι «αρνούμαστε να συμμετάσχουμε σε τέτοιου είδους διευθετήσεις» και προειδοποιώντας ότι «ο κόσμος θα μάθει» ποιες εταιρείες δεν συνεργάζονται.
Αυτός είναι και ο λόγος για τον οποίο οι διαπραγματευτές συνήθως εμφανίζονται ως υπάλληλοι της εταιρείας που τους έχει προσλάβει.
Όσο χρήσιμη κι αν έχει αποδειχθεί η τεχνητή νοημοσύνη στην ανάλυση της συμπεριφοράς των χάκερ, έχει βοηθήσει το προσωπικό της Surefire να διατηρεί και αυτή την προσποίηση, αποκαλύπτοντας απροσδόκητα στοιχεία για τις δικές του συνήθειες.
«Είχα κι εγώ τις δικές μου χαρακτηριστικές εκφράσεις που με πρόδιδαν», είπε ο Tarraf, θυμούμενος ότι το εργαλείο τεχνητής νοημοσύνης τον είχε προειδοποιήσει κάποτε πως είχε χρησιμοποιήσει την ίδια χαρακτηριστική φράση σε αρκετές πρόσφατες διαπραγματεύσεις με μια ομάδα χάκερ. «Αυτό θα μπορούσε να αποκαλύψει ότι είσαι επαγγελματίας διαπραγματευτής».
