AI nie pisze już maili. Buduje
wiarygodny pretekst pod kliknięcie.
Generatywna AI skróciła drogę od ogólnego spamu do precyzyjnej socjotechniki. Dobre kampanie nie wyglądają już jak masowe „faktury do pobrania” — wyglądają jak kontekstowa wiadomość od człowieka, który zna firmę, język i relacje ofiary.
Teza
Phishing z AI nie polega na tym, że mail jest ładniej napisany. Chodzi o skalowanie dopasowania: ton komunikacji, branżowy kontekst, aktualne wydarzenia, stanowisko odbiorcy i język organizacji. To zwiększa skuteczność pierwszego kontaktu oraz utrudnia filtrom oparcie decyzji tylko na jakości tekstu.
Jak wygląda realny atak
Atakujący zaczyna od OSINT-u: LinkedIn, strona firmy, ogłoszenia o pracę, komunikaty prasowe, nazwy systemów i dostawców. Następnie generuje kilka wariantów pretekstu: prośba od działu finansów, aktualizacja dostępu, zaproszenie do dokumentu lub komunikat od znanego kontrahenta.
Co mierzymy podczas testu
W kontrolowanej kampanii interesuje nas nie tylko kliknięcie. Mierzymy dostarczalność, otwarcia, kliknięcia, próby logowania, zgłoszenia do IT/SOC oraz czas reakcji zespołu bezpieczeństwa. Dopiero ta kombinacja pokazuje realną odporność organizacji.
Jak wygląda praktyczna weryfikacja
AI zwiększa jakość pretekstu, ale naruszenie nadal zwykle wygrywa przez proces: brak zgłaszania podejrzanych wiadomości, słabe MFA, brak korelacji nietypowego logowania i kliknięcia.
Na co zwracamy uwagę w raporcie
Pretekst oparty o rolę
Ten sam mail nie trafia do CFO, handlowca i administratora. AI pozwala szybko przygotować osobne narracje pod każdą rolę.
Personalizacja języka
Model dopasowuje ton, długość i słownictwo do stylu firmy. To obniża „poczucie obcości” u odbiorcy.
Szybka iteracja
Po każdej fali można poprawić temat, CTA, porę wysyłki i landing page, zamiast ręcznie pisać całą kampanię od zera.
Chcesz sprawdzić, czy Twoja firma rozpozna AI phishing?
Robimy kontrolowane kampanie socjotechniczne: scenariusz, bezpieczna infrastruktura, raport, rekomendacje i szkolenie po ćwiczeniu.
Zapytaj o wycenę →