Ako volite online trgovinu, ovo morate znati kako bi se obranili od prijevara

Uvođenje umjetne inteligencije u digitalne sustave nije donijelo samo poslovne prilike, već i sasvim novu dimenziju sigurnosnih prijetnji, osobito u svijetu eCommercea. Hakeri brzo prihvaćaju nove AI alate, no mnoge e-trgovine još nisu implementirale ni osnovne mjere zaštite.

Ta asimetrija u znanju i brzini reakcije postaje glavni izvor rizika, tumači Bruno Zagorščak, suosnivač i direktor kreativnih sadržaja u Neuralabu.

Uoči WooCommerce meetupa u Zagrebu koji će se održati 20. listopada u Pogonu Jedinstvo, Bruno nas je upoznao s nekim od najvećih prijetnji u e-trgovini koje je umjetna inteligencija unaprijedila, ali i s načinima kako joj se suprotstaviti.

Zagreb WooCommerce Meetup returns with a focus on eCommerce security

Tri vrste napada i kako se od njih zaštititi

Primjera kako se zaposlenike i kupce može nasamariti ima mnogo, no neki su možda češći od ostalih i od njih se nekad može obraniti i jednostavno korištenjem zdravog razuma.

Phishing i socijalni inženjering

Među prvim tipom napada koja na vas vreba dok miroljubivo shoppingirate na internetu je napredni phishing i socijalni inženjering. Gotova je era tradicionalnih phishing mailova koji su nas zabavljali tragikomičnosti izražaja i očajničkih pokušaja da nas prevare. Gotovo s nostalgijom možemo gledati na loše napisane i relativno lako prepoznatljive o nevoljama nigerijskog princa ili zaboravljenog bogatog rođaka iz UK-a koji nam ostavlja nasljedstvo.

Danas napadači mogu generirati besprijekorne mailove na jeziku korisnika, bez gramatičkih grešaka, personalizirane poruke koje koriste podatke s društvenih mreža i ranijih kupnji, ali i deepfake glasovne poruke ili video kojima se lažno predstavlja služba za korisnike ili banka, kaže Bruno i objašnjava kako je prva linija obrane u tom slučaju čovjek:

Kako se zaštiti? S obzirom da je kod ovih napada najslabija točka ljudski faktor – edukacijom i zdravim razumom!

Tvrtke bi trebale prolaziti sa svojim zaposlenicima kako prepoznati AI generirane phishing pokušaje (iako je to izuzetno teško jer industrija još uvijek nema kvalitetne alate za detekciju AI teksta), voditi transparentnu komunikaciju sa svojim kupcima gdje ih jasno informiraju kako njihova trgovina funkcionira (npr. “Nikada ne tražimo lozinku putem maila”), a možda i provoditi kampanje osvještavanja kroz kratke i dobro posložene edukativne sadržaje na webu i društvenim mrežama.

Lažni proizvodi i recenzije generirani pomoću AI-ja

eCommerce platforme već se neko vrijeme pate s lažnim recenzijama. To je ipak kulminiralo jer sada uz gen AI, napadači mogu masovno proizvoditi tisuće recenzija koje zvuče uvjerljivo, a usto i lako kreirati lažne online trgovine s kvalitetnim slikama i vjernim opisima proizvoda, čime se kupci dovode u zabludu i gube novac.

Objašnjava Bruno navodeći kako se zaštita u ovom slučaju radi automatiziranim označavanjem sumnjivih recenzija i profila tako da radite cross-check sa stvarnim kupnjama:

Možete upotrijebiti i Uno reverse card, jer danas postoje AI alati za prepoznavanje deepfake sadržaja i lažnih recenzija. Doduše njihova je kvaliteta još uvijek upitna te ih treba koristiti samo kao pomoćnu, a ne konačnu mjeru zaštite.

Automatizirani napadi na korisničke račune

Brute force dictionary attack ilitiga credential stuffing, navodi naš sugovornik stručne izraze pod kojima počivaju nesretni napadi u kojima su ključni akter AI alati koji omogućuju brže i pametnije isprobavanje kombinacija korisničkih imena i lozinki. Pojašnjava nam kako algoritmi predviđaju obrasce lozinki koje korisnici često koriste, što olakšava napadačima da u vrlo kratkom vremenu probiju velik broj računa i izvrše prijevare.

Savjetuje da upogonimo automatizirani monitoring transakcija kako bi prepoznali neke obrasce koji upućuju na kartične prijevare ili credential stuffing. Nije na odmet, dodaje, ni raditi na jačanju autorizacije korisnika kroz višefaktorske autentifikacije, gdje uz klasične lozinke korisnici trebaju uključiti SMS, biometriju, 2FA aplikacije. 

Kako najbolje obraniti svoju e-trgovinu

Obrana u eCommerceu danas mora biti slojevita i prilagođena novoj stvarnosti AI prijetnji, jer hakeri koristi iste alate – samo u napadačke svrhe. Više ne govorimo samo o antivirusu i firewallu, nego o cijelom ekosustavu zaštite koji je kombinacija AI bazirane tehnologije, višeslojnih kontrola i ljudske edukacije, tumači Bruno.

Napominje kako je obavezno osmisliti višeslojnu sigurnosnu arhitekturu kroz WAFove (web application firewall) koji su prva linija obrane protiv botova i DDoS napada, Zero trust pristup gdje se svaka transakcija i svaka komunikacija unutar sustava validira bez implicitnog povjerenja, te segmentaciju sustava gdje kroz odvajanje kritičnih podataka (kartice, osobni podaci) od ostatka infrastrukture smanjujete rizik proboja.

Radite na sigurnosti korisničkih računa i plaćanja tako da uvedete obaveznu višefaktorsku autentikaciju (MFA) te tokenzirate i enkriptirate podatke o karticama, upozorava te ističe kako to rade u njegovoj tvrtki:

U Neuralabu ovakav slojeviti pristup provodimo kroz firewall i DDoS detekciju na dvije simultane razine: Google Cloud i Cloudflare, čime se značajno smanjuje mogućnost prekida rada ili kompromitiranja sustava. Osim toga, naš tim provodi real-time monitoring više od stotinjak aplikacija koje dnevno nadziremo, što nam omogućuje brzo prepoznavanje anomalija i pravovremenu reakciju.

Zašto doći na meetup? 

Sve ovo, a i mnogo više možete čuti na WooCommerce Zagreb meetupu koji će se odviti u ponedjeljak, 20. listopada.

Tamo dolaze dva stručnjaka koja će dati dvije različite perspektive. Danijel Blazsetin, AI konzultant iz Infobipa, fokusirat će se na AI/red-teaming aspekt, a Matko Antun Bekavac, programer koji se specijalizirao za kibernetičku sigurnost i eCommerce, na klasičane web i WooCommerce sigurnosne napade. 

Bit će i demonstracije hakiranja WooCommerce sustava i red-teaming AI scenarija. To je rijetka prilika vidjeti napad uživo, iz prve ruke, naglašava Bruno.

Istaknuo je kako će vlasnici webshopova dobiti uvid u rizike i ranjivosti kojih nisu svjesni dok ne bude prekasno:

Ovaj meetup će im pokazati što sve može poći po zlu s integracijama AI-ja i tipičnim WooCommerce setupom. Dobit će i savjete za praktične obrambene mjere – što pratiti u logovima, kako ograničiti štetu, kako postaviti alarme, kako reagirati…

Osim toga, navodi nam Bruno još jednu prednost – ekipa iz Neuralaba odgovarat će na pitanja iz prakse, temeljem iskustva rada na velikim enterprise sustavima koje svakodnevno održavaju i nadziru, a potom poseže i za mnogima najdražim dijelom druženja – networkingom, pizzom i pivom!