Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Sztuczna inteligencja coraz silniej wpływa na krajobraz współczesnych cyberzagrożeń. Najnowsze analizy wskazują, że generatywne modele AI przestały być wyłącznie narzędziem pomocniczym dla atakujących i stały się realnym elementem zaplecza operacyjnego wykorzystywanego do automatyzacji tworzenia treści, personalizacji kampanii oraz skalowania oszustw.
Szczególnie wyraźnie widać to w obszarze spamu i phishingu. Dzięki AI cyberprzestępcy mogą szybciej przygotowywać wiadomości, tworzyć ich liczne warianty językowe i obniżać próg wejścia dla mniej doświadczonych grup przestępczych.
W skrócie
Z opublikowanych w 2025 roku badań wynika, że ponad połowa złośliwych i spamowych wiadomości e-mail jest już tworzona z użyciem narzędzi AI. Najsilniejszy wzrost dotyczy masowych kampanii spamowych, w których liczy się tempo działania, wolumen oraz zdolność do generowania wiarygodnych komunikatów na dużą skalę.
W bardziej ukierunkowanych atakach, takich jak BEC, udział AI rośnie wolniej, ale nadal pozostaje istotny. Nawet częściowe wykorzystanie modeli językowych zwiększa realizm socjotechniki i utrudnia wykrywanie podejrzanych wiadomości przez użytkowników oraz systemy ochronne.
Kontekst / historia
Przez wiele lat spam i phishing były stosunkowo łatwe do rozpoznania. Typowe kampanie opierały się na niskiej jakości szablonach, błędach językowych, niezgrabnej składni i prostych przynętach, które często zdradzały oszukańczy charakter wiadomości.
Upowszechnienie dużych modeli językowych zmieniło ten stan rzeczy. Atakujący zyskali możliwość automatycznego generowania poprawnych stylistycznie komunikatów, dopasowywania tonu wypowiedzi do branży, stanowiska lub regionu odbiorcy oraz szybkiego tworzenia wielu wersji tej samej kampanii.
Rok 2025 przyniósł również bardziej wymierne dane na temat skali zjawiska. To ważna zmiana, ponieważ dyskusja o roli AI w cyberprzestępczości wcześniej miała głównie charakter jakościowy. Obecnie dostępne analizy pokazują, że generatywna AI stała się częścią codziennej praktyki przestępczej, a nie jedynie eksperymentalnym dodatkiem.
Analiza techniczna
Z technicznego punktu widzenia AI nie musi samodzielnie realizować całego ataku, aby znacząco zwiększyć jego skuteczność. W praktyce najczęściej pełni rolę akceleratora na kilku etapach łańcucha ataku.
Po pierwsze, model językowy generuje treść wiadomości. Taka wiadomość może imitować styl działu HR, banku, operatora telekomunikacyjnego, dostawcy usług lub partnera biznesowego. W efekcie maleje liczba oczywistych błędów, które dawniej pozwalały łatwo rozpoznać phishing.
Po drugie, AI umożliwia szybkie wariantowanie kampanii. Przestępcy mogą tworzyć dziesiątki lub setki wersji tematów, treści i wezwań do działania, co utrudnia filtrom opartym na sygnaturach identyfikowanie duplikatów i powtarzalnych wzorców.
Po trzecie, generatywne narzędzia wspierają lokalizację i personalizację. Kampanie mogą być tworzone w poprawnym języku polskim, angielskim czy niemieckim, z uwzględnieniem lokalnych realiów, nazw instytucji oraz naturalnych zwrotów biznesowych. To istotnie zwiększa skuteczność ataków wymierzonych w firmy prowadzące działalność międzynarodową.
Po czwarte, AI wspiera infrastrukturę oszustw poza samą pocztą e-mail. Równolegle rozwija się automatyczne klonowanie witryn, generowanie fałszywych stron logowania oraz wzmacnianie kampanii impersonacyjnych. W rezultacie wiadomość e-mail staje się tylko pierwszym krokiem w znacznie szerszym łańcuchu oszustwa.
Warto przy tym podkreślić, że obecny wzrost wykorzystania AI jest najbardziej widoczny w spamie masowym, a mniej gwałtowny w kampaniach BEC. Wynika to z faktu, że oszustwa BEC nadal wymagają większego rozpoznania organizacyjnego, przygotowania operacyjnego i często ręcznej interakcji. Mimo to AI może tam skutecznie wspierać redagowanie wiadomości, dopasowanie tonu i analizę kontekstu rozmowy.
Konsekwencje / ryzyko
Najważniejszą konsekwencją jest industrializacja socjotechniki. Skoro przygotowanie przekonującej wiadomości wymaga mniej czasu i mniejszych kompetencji językowych, rośnie zarówno liczba kampanii, jak i liczba podmiotów zdolnych do ich uruchomienia.
Drugim ryzykiem jest spadek skuteczności tradycyjnych heurystyk użytkownika. Pracownicy byli przez lata szkoleni, aby zwracać uwagę na błędy ortograficzne, dziwną składnię czy nienaturalny ton. Wiadomości generowane przez AI coraz częściej nie wykazują takich cech, przez co użytkownicy otrzymują mniej oczywistych sygnałów ostrzegawczych.
Trzecim problemem jest rosnąca presja na systemy bezpieczeństwa poczty. Większa zmienność treści utrudnia filtrom opartym na sygnaturach i prostych regułach skuteczne blokowanie kampanii na podstawie podobieństwa. Obrona musi więc coraz częściej opierać się na analizie kontekstu, reputacji infrastruktury, zachowań nadawcy i korelacji wielokanałowej.
Nie można też pomijać ryzyka oszustw finansowych oraz przejęć kont. Nawet jeśli udział AI w BEC jest niższy niż w klasycznym spamie, to właśnie takie ataki często prowadzą do największych strat biznesowych, ponieważ lepsza jakość komunikacji zwiększa prawdopodobieństwo wykonania przez ofiarę niebezpiecznej akcji.
Rekomendacje
Organizacje powinny przyjąć założenie, że poprawność językowa wiadomości nie jest już oznaką jej wiarygodności. Programy security awareness należy aktualizować tak, aby koncentrowały się na ocenie intencji nadawcy, zgodności komunikatu z kontekstem biznesowym oraz identyfikowaniu nietypowych próśb dotyczących płatności, haseł i danych dostępowych.
Od strony technicznej warto wdrożyć lub wzmocnić następujące mechanizmy:
- egzekwowanie SPF, DKIM i DMARC dla ochrony domen pocztowych,
- analizę behawioralną wiadomości oraz sandboxing załączników i adresów URL,
- ochronę przed przejęciem kont, w tym MFA odporne na phishing,
- monitorowanie rejestracji domen podobnych do marki organizacji,
- korelację zdarzeń e-mail z telemetrią z punktów końcowych, systemów IAM i ruchu sieciowego.
Kluczowe są również zabezpieczenia proceduralne. Każda prośba o zmianę numeru rachunku, pilny przelew, zakup kart podarunkowych czy reset dostępu uprzywilejowanego powinna wymagać niezależnej weryfikacji drugim kanałem komunikacji.
Z perspektywy SOC i zespołów reagowania na incydenty warto rozszerzyć playbooki o scenariusze kampanii wspieranych przez AI. Obejmuje to analizę dużej liczby wiadomości podobnych semantycznie, ale nieidentycznych, wykrywanie subtelnych odchyleń w komunikacji zaufanych partnerów oraz szybsze blokowanie infrastruktury phishingowej działającej w bardzo krótkich cyklach życia.
Podsumowanie
Wykorzystanie sztucznej inteligencji w cyberprzestępczości weszło w etap operacyjnej dojrzałości. Fakt, że ponad połowa złośliwych i spamowych e-maili jest tworzona z pomocą AI, pokazuje, że nie mówimy już o eksperymentach, lecz o zjawisku masowym i trwale wpływającym na krajobraz zagrożeń.
Najsilniej dotyczy to spamu, ale skutki są odczuwalne także w phishingu, impersonacji i oszustwach finansowych. Dla obrońców oznacza to konieczność odejścia od prostych wskaźników jakości językowej i przejścia do bardziej kontekstowej, wielowarstwowej ochrony poczty, tożsamości oraz procesów biznesowych.
Źródła
- AI Now Generates Majority of Spam and Malicious Emails
- AI Now Powers Over Half of Spam Emails, Columbia Engineering Research Finds
- AI-Powered Website Cloning: Same Tool Enables Automated Phishing at Scale
- LLMs Are Recommending Phishing Sites—Here’s Why That’s Dangerous
- AI Is Behind 50% Of Spam — And Now It’s Hacking Your Accounts