Οι επιθέσεις Deepfake αποτελούν πράγματι άμεση απειλή ή μελλοντική ανησυχία για οργανισμούς;

Ο κόσμος είναι εντυπωσιασμένος με τα deepfakes. Ενώ θολό παραμένει το ποιος έχει πρόσβαση σε αυτή την τεχνολογία και πώς μπορούμε να αναγνωρίσουμε τι είναι πραγματικό και τι όχι. Αλλά αυτές οι απόπειρες απάτης δεν είναι απλώς ψεύτικα βίντεο με διασημότητες που πουλάνε παράνομα προϊόντα ή πολιτικούς που λένε επικίνδυνα πράγματα. Τα Deepfakes χρησιμοποιούνται όλο και περισσότερο σε επιθέσεις με επιχειρηματικά συμφέροντα σε όλο τον κόσμο.

  Σε μια πρόσφατη συζήτηση ο Bogdan Botezatu, Διευθυντής Έρευνας και αναφοράς απειλών στην Bitdefender, παρείχε οδηγίες για να βοηθήσει την έρευνα προσδιορισμού ως προς το πώς ακριβώς τα deepfakes και άλλα εργαλεία παραγωγής τεχνητής νοημοσύνης (GenAI) αποτελούν απειλή για τη στάση των οργανισμών στην κυβερνοασφάλεια. Το πιο σημαντικό αποτέλεσμα αυτής της ενέργειας, είναι ότι βοηθά να διαπιστωθεί εάν αυτές οι επιθέσεις είναι κάτι για το οποίο οι οργανισμοί πρέπει να ανησυχούν σήμερα.

Γιατί τα deepfakes είναι τόσο επικίνδυνα ή ανατρεπτικά;

Bogdan Botezatu : Τα Deepfakes είναι η πιο πρόσφατη τεχνολογία σε μια μακρά σειρά εργαλείων που έχουν χρησιμοποιηθεί για τη διεξαγωγή απάτης. Για χιλιετίες, οι απατεώνες έχουν διαπράξει απάτες εξαπατώντας τους ανθρώπους να πιστεύουν ότι είναι κάτι ή κάποιος που δεν είναι. Οι από καιρό χαμένοι συγγενείς εμφανίζονται όταν μια κληρονομιά εκχωρείται. Ένας γιατρός με αμφισβητήσιμη εμπειρία προσφέρει μια θαυματουργή θεραπεία. Ένας Νιγηριανός πρίγκιπας χρειάζεται τη βοήθειά σας για να επαναπατρίσει εκατομμύρια δολάρια. Η λίστα συνεχίζει και συνεχίζει.

Αλλά αυτό που κάνει τα deepfakes τόσο επικίνδυνα είναι ότι επιτρέπουν στους κακόβουλους παράγοντες να στοχεύουν πολλά άτομα σε εξαιρετικά προσωπικό επίπεδο με ολοένα και πιο εξελιγμένους τρόπους. Στο παρελθόν οι απάτες ταυτότητας εκτελούνταν αυτοπροσώπως βρίσκοντας ένα θύμα τη φορά. Τα deepfakes απ’ την άλλη, που παραδίδονται μέσω ηλεκτρονικών καναλιών επικοινωνίας όπως email, μηνύματα, chatbots, μηνύματα εντός εφαρμογών και τηλεδιάσκεψης μπορούν γρήγορα να εξατομικευτούν και να κλιμακωθούν πολύ εύκολα. Οι πιο επιτυχημένες επιθέσεις κάνουν τα θύματα να αμφισβητούν την ίδια την πραγματικότητα – κάτι που μπορεί να είναι μια πολύ αποτελεσματική στρατηγική με δυσάρεστα αποτελέσματα.

Πώς οι δράστες χρησιμοποιούν σήμερα τα deepfakes στις επιθέσεις τους;

 Bogdan Botezatu : Τα Deepfakes έχουν πάει τις απάτες phishing σε επόμενο επίπεδο. Οι κακόβουλοι μπορούν να συγκεντρώσουν έναν τεράστιο όγκο άκρως εξειδικευμένων και προσωπικών πληροφοριών σχετικά με ανθρώπους και οργανισμούς και να τις τροφοδοτήσουν στα εργαλεία GenAI για να μιμηθούν ένα πρόσωπο εξουσίας. Αυτό υπερβαίνει τη φωνή και την εμφάνιση και περιλαμβάνει επίσης συγκεκριμένη συμπεριφορά, σύνταξη, προτιμήσεις και ύφος. Σε συνδυασμό με καμπάνιες social engineering που μπορούν να προσδιορίσουν το λογισμικό οικονομικών εργασιών που χρησιμοποιεί ο οργανισμός, τις τράπεζες όπου διατηρεί λογαριασμούς και εσωτερικές διαδικασίες και πολιτικές, τα deepfakes μπορεί να είναι απίστευτα ακριβή, με προσωπικό ύφος και δύσκολο να εντοπιστούν. Τα εργαλεία κλωνοποίησης φωνής επιτρέπουν στους κακόβουλους να ζητούν προφορικά από υφισταμένους να ξεκινήσουν μια δόλια συναλλαγή μέσω τηλεφώνου. Τα δημόσια διαθέσιμα chatbots που υποστηρίζονται από το GenAI τους επιτρέπουν να διεξάγουν μια ανθρώπινη συνομιλία μέσω κειμένου ή εφαρμογών ανταλλαγής μηνυμάτων εντός εφαρμογής. Και οι υπηρεσίες δημιουργίας βίντεο GenAI τους επιτρέπουν να πραγματοποιούν συσκέψεις μέσω εφαρμογών τηλεδιάσκεψης για να παραδίδουν δόλιες εντολές σε μια ομάδα ανθρώπων ταυτόχρονα.

Είναι αλήθεια ότι οι άνθρωποι έχουν γίνει πιο παρατηρητικοί στην αναγνώριση των deepfake φωτογραφιών (απλώς κοιτάξτε οποιονδήποτε αριθμό φιγούρων με έξι δάχτυλα σε ορισμένες εικόνες που έχουν δημιουργηθεί από AI), αλλά το ποσοστό επιτυχίας εξακολουθεί να είναι σχετικά χαμηλό.

Από περιέργεια, διεξήγαγα μια μη επιστημονική μελέτη, όπου ζήτησα από επαγγελματίες φωτογράφους να εντοπίσουν φωτογραφίες deep fake ανάμειξης μεταξύ γνήσιων εικόνων. Ακόμη και μεταξύ αυτών των ειδικών, οι άνθρωποι που βγάζουν φωτογραφίες για να ζήσουν και χρησιμοποιούν ακόμη και το photoshop για να τις επεξεργαστούν εις βάθος, είχαν ποσοστό αναγνώρισης λιγότερο από 50%. Το ποσοστό αναγνώρισης για deepfake βίντεο είναι ακόμη χαμηλότερο, καθώς οι εικόνες κινούνται και είναι δύσκολο να εντοπιστούν ανεπαίσθητες ανακρίβειες.

Υπάρχουν πρόσφατα παραδείγματα που μπορείτε να αναφέρετε;

Bogdan Botezatu : Το πρώτο παράδειγμα που μπορώ να θυμηθώ ήταν το 2016 όταν μια ομάδα χάκερ απάτησε με επιτυχία 40 εκατομμύρια ευρώ από μια Γερμανική εταιρεία παραγωγής, πείθοντας τον οικονομικό διευθυντή (CFO) του εργοστασίου τους στη Ρουμανία ότι ένα στέλεχος από τα κεντρικά γραφεία έχει ζητήσει την πραγματοποίηση μιας συναλλαγής. Ενώ το αρχικό αίτημα παραδόθηκε μέσω email, ένα τηλεφώνημα παρακολούθησης με χρήση τεχνολογίας κλωνοποίησης φωνής σφράγισε τη συμφωνία και έπεισε το θύμα ότι το αίτημα ήταν νόμιμο.

Πιο πρόσφατα, ακούσαμε για μια επίθεση σε μια μεγάλη εταιρεία αυτοκινήτων όπου ο οικονομικός διευθυντής εξαπατήθηκε για να μεταφέρει ένα μεγάλο χρηματικό ποσό σε έναν δόλιο λογαριασμό. Λάβαμε επίσης αναφορές για ένα στέλεχος μιας άλλης εταιρείας ενταγμένης στην λίστα Fortune 500 που συμμετείχε σε μια ψεύτικη κλήση Zoom με ανώτατα στελέχη που ήταν ανατριχιαστική η ικανότητα του να συνεχιστεί η απάτη για τόσο μεγάλο χρονικό διάστημα. Καθώς η τεχνολογία deepfake έχει εξελιχθεί σε σημείο που ο καθένας μπορεί να παράγει περιεχόμενο ποιότητας Χόλιγουντ, θα ακούσουμε πολλά περισσότερα για επιτυχημένες επιθέσεις deepfake που θα διευρύνουν την κατανόησή μας για το τι είναι πραγματικό και τι όχι.

Τι μπορούν να κάνουν οι οργανισμοί για να προστατευτούν από τα deepfakes ;

Bogdan Botezatu : Δυστυχώς, δεν υπάρχει κανένα εργαλείο εκεί έξω που να μπορεί να αναγνωρίσει τις deepfake επιθέσεις με απόλυτη βεβαιότητα. Τα υδατογραφήματα και άλλες τεχνολογίες προσθήκης ετικετών δεν είναι πιθανό να σταματήσουν τις επιθέσεις. Οι οργανισμοί θα πρέπει να αναπτύξουν και να επιβάλουν πολιτικές που αποτρέπουν τις δόλιες συναλλαγές από το να περνούν χωρίς αμφισβήτηση και έλεγχο, να εκπαιδεύουν τους υπαλλήλους τους να εντοπίζουν καλύτερα την ανώμαλη συμπεριφορά και να διατηρούν συνετή παρουσία στον κυβερνοχώρο σε όλα τα περιβάλλοντα πληροφορικής τους για να αποτρέψουν την αρχική παραβίαση.

Η προστασία του οργανισμού από τα deepfakes εξαρτάται από τη δημιουργία και τη διατήρηση της εμπιστοσύνης ανά πάσα στιγμή. Πρέπει να δημιουργηθούν και να επιβληθούν διασφαλίσεις όταν πρόκειται για τη διενέργεια συναλλαγών και άλλων επικίνδυνων ενεργειών. Για παράδειγμα, η απαίτηση πολλαπλών εγγραφών σε μεγάλες συναλλαγές, ο περιορισμός του ποσού των κεφαλαίων που μπορούν να μετακινηθούν, η αποστολή των συναλλαγών μόνο σε επαληθευμένους λογαριασμούς ή η δημιουργία μιας περιόδου αναμονής μπορεί να δώσει τον απαιτούμενο χρόνο για την επαλήθευση της ταυτότητας και της γνησιότητας της αίτηση.

Η υποχρεωτική εκπαίδευση για τον εντοπισμό της απάτης και του deepfake είναι επίσης καλή ιδέα. Δεν μπορείτε να βασιστείτε στους χρήστες για να αναγνωρίσουν κάθε απόπειρα απάτης, αλλά το να πλαισιώσετε το ποσοστό αναγνώρισης υπέρ σας σε μερικά σημεία δεν είναι ποτέ κακή ιδέα. Συνεχίστε να πιστεύετε ότι αν κάτι είναι πολύ καλό για να είναι αληθινό, είναι πιθανό να είναι απάτη. Απλώς το να δώσουμε στους ανθρώπους τη δύναμη να αμφισβητήσουν την ανώμαλη συμπεριφορά χωρίς να στιγματίζονται ή να έχουν επιπτώσεις μπορεί να συμβάλει σημαντικά στη δημιουργία μιας ισχυρής κουλτούρας κατά της απάτης.

Τέλος, η διατήρηση καλής συμπεριφοράς στον κυβερνοχώρο μπορεί να αποτρέψει προληπτικά αυτές τις επιθέσεις. Οι πιο εξελιγμένες επιθέσεις χρειάζονται ένα νόμιμο κανάλι επικοινωνίας για την παράδοση του deepfake, που απαιτεί κλοπή διαπιστευτηρίων ενός email, ενός τερματικού ή μιας εφαρμογής. Η διατήρηση μιας ισχυρής στάσης ασφαλείας που προστατεύει αυτά τα σημεία και σταματά την πλευρική εξάπλωση σε άλλα επιχειρηματικά συστήματα είναι ένας καλός τρόπος για να αποτραπεί προληπτικά η αρχική παραβίαση και να μετριαστεί ο αντίκτυπος μιας επιτυχημένης επίθεσης.

Τι μπορούμε να περιμένουμε στο μέλλον καθώς η τεχνολογία deepfake συνεχίζει να εξελίσσεται;

Bogdan Botezatu : Δεν υπάρχει αμφιβολία ότι τα deepfakes γίνονται πιο εξελιγμένα και πιο κοινά. Δεν θα εκπλαγώ αν δούμε μια μεγάλη deepfake επίθεση το 2024, ειδικά με τις προεδρικές εκλογές των ΗΠΑ να έρχονται το φθινόπωρο. Αλλά πιστεύω πολύ στην καταπολέμηση της φωτιάς με τη φωτιά. Τα εργαλεία κυβερνοασφάλειας που υποστηρίζονται από την τεχνητή νοημοσύνη και τη μηχανική μάθηση (ML) θα είναι το κλειδί για την προστασία των οργανισμών σε όλο τον κόσμο από αυτούς τους τύπους επιθέσεων. Το πιο κρίσιμο είναι ότι θα μάθουν πώς να διακρίνουν τη νόμιμη συμπεριφορά από τη δόλια, παρατηρώντας συνεχώς τις ενέργειες των χρηστών και των στελεχών σε πραγματικό χρόνο. Προσπαθεί κάποιος να αποκτήσει πρόσβαση σε δεδομένα που δεν θα έπρεπε; Υπάρχει πρόσβαση σε έναν λογαριασμό από άγνωστη οντότητα; Αυτοί οι τύποι ανάλυσης συμπεριφοράς που γίνονται σε επίπεδο πληροφορικής και ελέγχου ταυτότητας θα βοηθήσουν τους οργανισμούς να εντοπίσουν αυτές τις ολοένα και πιο περίπλοκες απόπειρες απάτης.

Συνοψίζοντας

Τα Deepfakes και άλλες τεχνολογίες Gen AI πρόκειται να αλλάξουν τον κόσμο – για καλό ή  για κακό. Οι οργανισμοί θα πρέπει να είναι σε εγρήγορση για αυτές τις εξαιρετικά εξελιγμένες επιθέσεις που έχουν την ικανότητα να κάνουν τους ανθρώπους να αμφισβητούν την ίδια την πραγματικότητα. Η εφαρμογή πολιτικών και διασφαλίσεων για την πρόληψη της μη φυσιολογικής συμπεριφοράς, η καλύτερη εκπαίδευση των χρηστών για τον εντοπισμό προσπαθειών απάτης και η διατήρηση καλής συμπεριφοράς στον κυβερνοχώρο σε ολόκληρο τον οργανισμό είναι οι καλύτεροι τρόποι για να αποτρέψουν την διείσδυση των deepfakes στον οργανισμό σας σήμερα και στο μέλλον.

Επικοινωνήστε με έναν σύμβουλο της Bitdefender και μάθετε πώς μπορείτε να προστατευθείτε με τις λύσεις μας.