Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Tradycyjne blocklisty przez lata były jednym z podstawowych mechanizmów ograniczania ryzyka phishingu, złośliwych domen i niebezpiecznych adresów URL. Dziś ich skuteczność wyraźnie spada, ponieważ atakujący działają szybciej, automatyzują tworzenie infrastruktury i coraz częściej wykorzystują sztuczną inteligencję do budowy wiarygodnych stron wyłudzających dane. W praktyce oznacza to, że obrona oparta wyłącznie na znanych wskaźnikach kompromitacji nie nadąża za współczesnym tempem kampanii.
Największy problem polega na tym, że infrastruktura phishingowa staje się coraz bardziej krótkotrwała. Strony mogą pojawiać się na kilka minut lub godzin, po czym znikają i są zastępowane nowymi wariantami. Zanim domena lub adres URL trafią na listę blokad, kampania często zdąży już osiągnąć swój cel.
W skrócie
Phishing wspierany przez AI znacząco osłabia wartość klasycznych blocklist, ponieważ przestępcy mogą tworzyć nowe strony i warianty kampanii niemal natychmiast. W efekcie skuteczniejsze staje się podejście oparte na analizie technik ataku, zachowania użytkownika i aktywności w przeglądarce, a nie wyłącznie na reputacji domen czy znanych sygnaturach.
- Atakujący szybko rotują domenami i infrastrukturą.
- AI ułatwia generowanie realistycznych kopii stron logowania.
- Coraz częściej wykorzystywane są legalne platformy chmurowe i usługi SaaS.
- Rosnące znaczenie mają techniki takie jak AiTM, ClickFix i device code phishing.
- Detekcja behawioralna zyskuje przewagę nad klasycznymi IOC.
Kontekst / historia
Jeszcze przed popularyzacją narzędzi AI blocklisty zaczęły stopniowo tracić przewagę. Operatorzy kampanii phishingowych coraz szybciej zmieniali domeny, serwery i elementy infrastruktury, skracając czas życia pojedynczej operacji. Już wtedy systemy obronne często reagowały z opóźnieniem, ponieważ ich skuteczność zależała od wcześniejszego rozpoznania zagrożenia i dodania wskaźników do odpowiednich baz.
Sztuczna inteligencja przyspieszyła ten trend, obniżając próg wejścia i koszt tworzenia nowych wariantów oszustw. Zamiast ręcznie budować każdą stronę, atakujący mogą generować frontend na podstawie obrazu legalnego panelu logowania, szybko modyfikować treść i dostosowywać kampanię do konkretnej marki lub grupy ofiar. To prowadzi do sytuacji, w której wiele stron jest jednorazowych, unikalnych i trudnych do wykrycia metodami opartymi na podobieństwie do znanych próbek.
Analiza techniczna
Kluczowym problemem nie jest już wyłącznie sama rotacja domen, ale pełna efemeryczność kampanii. AI pozwala generować wizualnie wiarygodne kopie stron logowania z nowym kodem źródłowym, który nie musi przypominać wcześniejszych zestawów phishingowych. Utrudnia to wykrywanie na podstawie statycznych sygnatur HTML, JavaScript czy charakterystycznych artefaktów konkretnych narzędzi.
Dodatkowym utrudnieniem jest wykorzystywanie legalnych usług hostingowych, platform SaaS i infrastruktury o dobrej reputacji. Dzięki temu atakujący częściowo korzystają z zaufania do prawidłowo działających usług, co komplikuje blokowanie na poziomie domeny lub całych zakresów adresowych. Coraz częściej pojawiają się też mechanizmy utrudniające analizę automatyczną, takie jak filtrowanie ruchu, ochrona przed botami, selektywne przekierowania czy sprawdzanie środowiska przeglądarki.
Duże znaczenie zyskują również techniki, których skuteczność nie zależy od jednej konkretnej domeny. W modelu AiTM atakujący przechwytuje sesję użytkownika za pośrednictwem infrastruktury pośredniczącej i może przejąć uwierzytelnioną sesję. W scenariuszach device code phishing ofiara trafia do legalnego procesu logowania kodem urządzenia, lecz cały kontekst ataku służy przejęciu dostępu. Z kolei ClickFix opiera się na nakłonieniu użytkownika do wykonania złośliwego polecenia, często poza klasycznym schematem kliknięcia w link.
Z perspektywy obrony oznacza to konieczność przesunięcia nacisku z detekcji wskaźników na detekcję technik. Jeśli organizacja potrafi rozpoznać nietypowe przekierowania w logowaniu, nadużycia OAuth, manipulację schowkiem, przechwytywanie sesji lub podejrzane wzorce interakcji w przeglądarce, może wykryć kampanię nawet bez wcześniejszej wiedzy o domenie, adresie IP czy użytym zestawie phishingowym.
Konsekwencje / ryzyko
Najpoważniejszą konsekwencją jest rosnąca luka czasowa między uruchomieniem kampanii a jej oznaczeniem przez tradycyjne systemy filtrujące. Jeżeli infrastruktura działa bardzo krótko, organizacja może zostać skutecznie zaatakowana, zanim jakikolwiek element kampanii zostanie publicznie sklasyfikowany jako złośliwy. To szczególnie niebezpieczne tam, gdzie bezpieczeństwo poczty i przeglądania internetu opiera się głównie na reputacji domen oraz zewnętrznych feedach IOC.
Ryzyko rośnie także w przypadku ataków ukierunkowanych. Strona phishingowa może prezentować złośliwą zawartość tylko wybranym ofiarom, w określonych warunkach lub po spełnieniu konkretnych kryteriów środowiskowych. Taki model utrudnia analizę incydentów, zwiększa liczbę fałszywych negatywów i ogranicza skuteczność sandboxów oraz skanerów automatycznych.
Dla zespołów SOC oznacza to większe znaczenie telemetryki tożsamości, aktywności przeglądarkowej i korelacji sygnałów z wielu warstw środowiska. Problem nie dotyczy już wyłącznie złośliwego adresu URL, ale całego łańcucha działań prowadzących do przejęcia dostępu, sesji lub danych uwierzytelniających.
Rekomendacje
Organizacje powinny traktować blocklisty jako użyteczną, ale pomocniczą warstwę ochrony. Nie powinny być one jedynym filarem obrony przed phishingiem, zwłaszcza gdy przeciwnik działa szybko i elastycznie. Znacznie większą rolę należy przypisać detekcji behawioralnej, ochronie tożsamości oraz widoczności aktywności użytkownika w przeglądarce.
- wdrożenie monitoringu sesji i aktywności użytkownika w przeglądarce,
- budowę detekcji dla wzorców AiTM, device code phishing, ClickFix i nadużyć OAuth,
- korelację telemetryki z poczty, tożsamości, punktów końcowych i ruchu webowego,
- analizę nowych kampanii bez oczekiwania na pojawienie się publicznych IOC,
- regularny threat hunting skoncentrowany na technikach ataku,
- wzmacnianie polityk dostępu warunkowego i ochrony sesji,
- szkolenia użytkowników obejmujące nowoczesne scenariusze phishingowe.
Warto również regularnie oceniać, które kontrole rzeczywiście wykrywają zachowanie ataku, a które jedynie reagują na znane wcześniej artefakty infrastrukturalne. Im większa zależność od reaktywnych mechanizmów reputacyjnych, tym większe ryzyko przeoczenia nowej kampanii w najbardziej krytycznym momencie.
Podsumowanie
Phishing wspierany przez AI nie tyle unieważnia blocklisty, ile obnaża ich strukturalne ograniczenia. W starciu z infrastrukturą krótkiego życia, unikalnym kodem generowanym automatycznie i technikami opartymi na legalnych usługach klasyczne listy blokad coraz częściej reagują zbyt późno. Skuteczna obrona wymaga dziś połączenia telemetryki, analizy behawioralnej, ochrony tożsamości i szybkiego przekładania nowych obserwacji na reguły detekcji.
Firmy, które nadal opierają strategię ochrony głównie na IOC i reputacji domen, muszą liczyć się z rosnącą liczbą niewidocznych lub opóźnionych wykryć. Nowoczesna ochrona przed phishingiem powinna koncentrować się na technikach ataku i rzeczywistym zachowaniu przeciwnika, a nie wyłącznie na jego chwilowej infrastrukturze.