Aanvallers gebruiken steeds vaker AI voor opzetten spamcampagnes

Dit blijkt uit onderzoek van Barracuda Networks. De onderzoekers analyseerden een grote dataset van Barracuda met ongewenste en schadelijke e-mails uit de periode februari 2022 tot april 2025. Hieruit blijkt dat:

• in april 2025 was 51% van de spam-e-mails gegenereerd door AI in plaats van door mensen;
• in april 2025 was 14% van de BEC-aanvallen gegenereerd door AI;
• er is een gestage toename van door AI gegenereerde content in zowel spam- als BEC-aanvallen sinds de release van ChatGPT, in november 2022;
• door AI gegenereerde e-mails zijn doorgaans formeler, gebruiken meer geavanceerde taal en bevatten minder grammaticale fouten dan door mensen geschreven e-mails;
• aanvallers lijken AI te gebruiken om woordvariaties te testen om te zien welke effectiever zijn in het omzeilen van verdedigingsmaatregelen en om meer doelwitten aan te zetten om op links te klikken. Dit is vergelijkbaar met het A/B-testen in marketing.
• aanvallers lijken AI vooral te gebruiken om de tekst van hun e-mails te optimaliseren, in plaats van om hun aanvalsstrategie te veranderen.

'Lastig te bepalen of AI is gebruikt'

“Het is lastig om te bepalen of en hoe AI is gebruikt bij cyberaanvallen, omdat we alleen de uiteindelijke aanval kunnen zien, maar niet weten hoe deze is gegenereerd”, zegt Asaf Cidon, universitair hoofddocent elektrotechniek en informatica aan Columbia University. “Onze analyse suggereert dat in april 2025 het merendeel van de spam-e-mails niet door mensen was geschreven, maar door AI. Voor meer geavanceerde aanvallen, zoals Business Email Compromise, waarbij de inhoud zorgvuldiger moet worden afgestemd op de context van het slachtoffer, wordt het overgrote deel van de e-mails nog steeds door mensen gegenereerd. Maar het volume dat door AI wordt gegenereerd, neemt gestaag en consistent toe.”

De aanpak die de onderzoekers gebruikten om te detecteren of AI was gebruikt, is gebaseerd op de aanname dat e-mails die vóór de publieke release van ChatGPT in november 2022 zijn verzonden, waarschijnlijk door mensen waren gemaakt. Zo konden ze een baseline bepalen en detectors trainen om automatisch te herkennen of een schadelijke of spam e-mail met behulp van AI was gegenereerd.

Om te beschermen tegen steeds veranderende e-mailbedreigingen, raadt Barracuda organisaties aan om geavanceerde, meerlaagse en AI-gestuurde e-mailsecurity te implementeren, in combinatie met cybersecurity-training voor medewerkers. Meer informatie is hier te vinden.