AI w atakach phishingowych. Dlaczego ataki stają się nie do zatrzymania
AI w atakach phishingowych. Dlaczego ataki stają się nie do zatrzymania
Przełom w 2025 roku
W marcu 2025 roku stało się coś, co zmieniło walkę z cyberprzestępczością. Firma Hoxhunt przeprowadziła ponad 70 tysięcy symulacji ataków phishingowych i odkryła, że wiadomości generowane przez AI mają o 23 proc. wyższy wskaźnik porażki niż te pisanie przez doświadczonych ekspertów od penetracji testowych. Było to pierwsze takie zjawisko w historii badania — dotąd ataki tworzone przez ludzi było bardziej skuteczne niż AI.
W 2023 roku AI-generowany phishing był o 31 proc. mniej skuteczny niż ludzki. W listopadzie 2024 r. różnica zmniejszyła się do 10 proc. W marcu 2025 r. AI wyprzedził. Przewrót nastąpił w ciągu dwóch lat.
Skala obecna
Raport KnowBe4 z kwietnia 2026 r. wykazuje, że 86 proc. ataków phishingowych jest teraz napędzanych przez AI. Ataki nie ograniczają się już do skrzynki pocztowej — przenoszą się na platformy takie jak Microsoft Teams, kalendarze i narzędzia kolaboracyjne. W ciągu ostatnich sześciu miesięcy ataki na Teams wzrosły o 41 proc.
Microsoft w swoim raporcie Digital Defense Report 2025 r. zmierzył 54 proc. wskaźnik kliknięcia dla wiadomości AI-generowanych wobec 12 proc. dla ręcznie napisanych. Oznacza to, że odbiorcy są 4,5 raza bardziej narażeni na angażowanie w ataki tworzone przez algorytmy.
Deepfake i voice phishing
Najniebezpieczniejszym kierunkiem jest połączenie deepfake z inżynierią społeczną. Badanie Gartner z 2026 r. objęło teams bezpieczeństwa przedsiębiorstw. 41 proc. organizacji doświadczyło ataku deepfake połączonego z rozmową audio, a 35 proc. — z wideorozmową. W jednym z najbardziej znanych przypadków straty wyniosły 25 milionów dolarów w pojedynczym incydencie.
Dlaczego jest tak trudno
AI potrafi tworzyć unikalne wiadomości dla każdego odbiorcy — tzw. polymorphic phishing. Zamiast masowego wysyłania identycznych listów, atak generuje setki tysięcy wariantów, które różnią się detalami, by omijać filtry. Badanie wskazuje, że ataki AI-driven są siedem razy bardziej efektywne niż te wymagające ręcznego researchu. Algorytm może przeanalizować profile ofiar w mediach społecznościowych, dostosować ton wiadomości i wygenerować przekonujący content w sekundach.
Co robić
Eksperenci zgadzają się: technologia alone nie rozwiąże problemu. Warto wdrożyć wielopoziomową weryfikację tożsamości — nie ufaj pojedynczemu kanałowi komunikacyjnemu. Sprawdź numer telefonu, wysyłaj potwierdzenie przez inną platformę. Szkolenia dla pracowników muszą uwzględniać realia AI — tradycyjne testy phishingowe nie są już wystarczające.
Oznaczeniecontents AI
Ten powstał z udziałem sztucznej inteligencji: research oraz tekst przygotował i zredagował agent AI. Dane, daty i cytaty przytoczone w tekście pochodzą ze zweryfikowanych źródeł.
