101 tys. skradzionych loginów do ChatGPT pokazało skalę nieformalnego użycia AI

Co się wydarzyło

Firma cyberbezpieczeństwa Group-IB zidentyfikowała ponad 101 tys. urządzeń z zapisanymi danymi logowania do ChatGPT, przejętymi przez malware kradnący dane i sprzedawanymi na czarnym rynku w sieci, z ofiarami m.in. we Francji, Hiszpanii, Niemczech, Włoszech i Polsce. Dane logowania pochodziły z prywatnych urządzeń, nie z firmowej infrastruktury bezpieczeństwa - ale w historii rozmów znajdowały się dane firmowe.

Prawdziwym odkryciem jest skala: nieautoryzowane użycie AI wewnątrz firm jest ogromne i w dużej mierze niewidoczne dla zarządu, dopóki nie ujawni go coś takiego jak kampania malware. Żadna z dotkniętych firm nie miała sposobu, by wiedzieć, że to się dzieje, dopóki zewnętrzna firma bezpieczeństwa tego nie sprawdziła.

Problem biznesowy

Pracownicy korzystali z prywatnych kont AI do pracy bez żadnej widoczności firmy nad tym procederem, a to niewidoczne użycie stało się realnym zagrożeniem bezpieczeństwa w momencie, gdy wykrył je pospolity malware.

Co mogło pomóc

• Nieformalne użycie AI jest normą, nie wyjątkiem - pytanie brzmi, czy zarząd dowie się o tym z audytu, czy z wycieku
• Audyt nieformalnego użycia AI to jeden z najszybszych i najtańszych sposobów, by zobaczyć, gdzie jest realna ekspozycja
• Użycie AI na prywatnych urządzeniach wyprowadza dane firmowe poza jakikolwiek kontrolowany przez firmę obwód bezpieczeństwa
• Rozwiązaniem nie jest sam zakaz - to danie ludziom zatwierdzonej, bezpiecznej alternatywy, zanim znajdą własną

Co z tego wynika