Um die Nachrichten glaubwürdiger erscheinen zu lassen, hängten die Angreifer einen weitergeleiteten E-Mail-Verlauf an, der angeblich zwischen dem vorgeblichen Vorstandschef und ServiceNow geführt worden war – einer cloudbasierten Unternehmensplattform, die Arbeitsabläufe und Geschäftsprozesse automatisiert. Auch ServiceNow selbst wurde dabei imitiert. Der weitergeleitete Verlauf war frei erfunden und sollte den Eindruck erwecken, der falsche CEO leite Rechnungen weiter, die er von ServiceNow erhalten habe.
Genau in dieser Schichtung liegt laut Microsoft der Unterschied zu älteren Maschen: „Anders als herkömmliche Rechnungsbetrügereien, die auf einen einzigen Social-Engineering-Köder setzen, kombinierte diese Kampagne die Imitation von Führungskräften, das Branding eines Lieferanten, gefälschte Rechnungen und begleitende E-Mail-Konversationen zu einer einheitlichen Erzählung, die die Skepsis der Empfänger verringern sollte", heißt es in dem Bericht.
Mehrere technische Merkmale sprechen nach Einschätzung der Forscher dafür, dass bei der Erstellung der Vorlagen KI im Spiel war. Microsoft nennt Indikatoren, die „mit einer KI-gestützten Vorlagenentwicklung vereinbar" seien: umfangreiche HTML-Kommentare, eine strukturierte Beschriftung der einzelnen Abschnitte sowie ein sehr einheitlicher Aufbau der Vorlagen.
Eine abschließende Gewissheit gibt es allerdings nicht. Zwar legt Microsoft nahe, dass generative KI beteiligt war, doch der Bericht räumt ein, das Unternehmen könne nicht „unabhängig feststellen, in welchem Umfang KI die Inhalte der Kampagne erzeugt hat".
Nick Tausek, leitender Architekt für Sicherheitsautomatisierung beim Automatisierungs- und Reaktionsanbieter Swimlane, ordnet den Fall als Beispiel dafür ein, dass Angreifer mit KI etablierte Betrugsschemata „ausgefeilter und besser skalierbar" machen. „Schutzmaßnahmen müssen dieser Realität Rechnung tragen, mit größerer Aufmerksamkeit dafür, wie Modelle genutzt werden können, um täuschende Inhalte in großer Menge zu erzeugen", schrieb er in einer E-Mail.
Tausek richtet den Blick zudem auf die Regulierung: „Auch politische Entscheidungsträger müssen berücksichtigen, wie schnell nützliche KI-Fähigkeiten angepasst werden können, sobald sie in den Händen eines Angreifers sind."