Это видеозвонок, который стоил 25 миллионов долларов.

Согласно сообщениям полиции Гонконга в феврале, сотрудник финансового отдела транснациональной компании принял участие в видеоконференции с финансовым директором компании. Во время звонка финансовый директор дал указание сотруднику перевести более 25 миллионов долларов на несколько банковских счетов.

Сообщается, что у сотрудника возникли сомнения по поводу этого запроса, так как финансовый директор выглядел «немного странно». Затем сотрудник обратился к другим участникам звонка за подтверждением. Все они согласились с запросом. После этого переводы были выполнены. Более 25 миллионов долларов были выведены из компании. Прямо в руки мошенников.

Как выяснилось, финансовый директор во время звонка был видеодипфейком. Как и все остальные участники.

Гонконгская общественная телерадиокомпания RTHK процитировала старшего суперинтенданта полиции Бэрона Чана, который заявил, что для обмана сотрудника использовалась технология ИИ-дипфейков.

«[Мошенник] пригласил информатора [сотрудника] на видеоконференцию, в которой участвовало много людей. Поскольку люди в видеоконференции выглядели как настоящие, информатор… совершил 15 транзакций по инструкции на пять местных банковских счетов, что в сумме составило 200 миллионов гонконгских долларов», — сказал он.

Теперь мошенники используют ИИ-дипфейки для проведения корпоративных афер.

Бизнес столкнулся с совершенно новой угрозой безопасности: видеодипфейками. В режиме реального времени мошенники могут выдавать себя за руководителей компаний, поставщиков, партнеров — кого угодно. Проще говоря, мы живем во времена, когда человек на другом конце видеозвонка может оказаться подделкой.

Перед тем как совершить атаку с использованием дипфейка, мошенники сталкиваются с рядом проблем. Основная сложность заключается в получении исходного материала. Чтобы создать дипфейк, им нужны изображения, видео и аудио человека, которого они хотят имитировать. Однако учтите, что некоторые руководители компаний довольно публичны. Они выступают на конференциях, проводят вебинары и участвуют в звонках по финансовым результатам. Добавьте к этому несколько фотографий и видео, взятых из социальных сетей цели, и у мошенников появится исходный материал, необходимый для создания дипфейка.

Следующая проблема… мошенникам нужна хорошая история, с эмоциональными рычагами, на которые можно надавить, чтобы принудить жертву к действию. В случае с гонконгской аферой дипфейки воздействовали на жертву смесью срочности и авторитета. «Финансовый директор» хотел перевести деньги, и сделать это немедленно. Поскольку другие дипфейки во время звонка согласились с финансовым директором, жертва сделала то, что просили. В целом, это был классический случай выбора жертвы и классического исполнения социальной инженерии.

Понятно, что эта история получила широкое освещение, учитывая использование дипфейков и полученный куш. Более того, тот факт, что мошенники организовали не один, а целую группу дипфейков, делает это событие еще более примечательным. В свете этого компании и их сотрудники должны опасаться новой угрозы. И, что еще лучше, подготовиться к ней — к дипфейкам.

Предотвращение корпоративных афер с использованием ИИ-дипфейков.

Хотя появление ИИ-дипфейков в видеоконференциях, безусловно, открывает новую территорию в сфере безопасности, многие давние меры по предотвращению корпоративного мошенничества остаются прежними. Кроме того, необходимы и некоторые новые превентивные меры.

Ищите признаки ИИ-дипфейков.

Ранее мы упоминали, что жертва в гонконгской атаке отметила, что финансовый директор выглядел «немного странно» во время видеозвонка. ИИ-дипфейки, хотя и убедительны, иногда имеют характерные признаки подделки.

Однако это быстро меняется. По мере того как инструменты для создания дипфейков постоянно совершенствуются, их становится все труднее обнаружить.

Ранние поколения инструментов для создания дипфейков с трудом отслеживали чрезмерные движения головы, например, когда дипфейк поворачивался в профиль. Кроме того, ранние инструменты требовали, чтобы пользователи не подносили руки к лицу. Если поднести руку к подбородку или закрыть рот, лицо дипфейка искажалось. Еще один признак ранних инструментов дипфейков можно было заметить в глазах. Они часто выглядели стеклянными, как будто не совсем правильно отражали свет. То же самое касалось оттенков кожи и освещения.

Так что да, дипфейк может выглядеть «немного странно». Считайте это серьезным тревожным сигналом. Однако не стоит полностью полагаться на этот метод обнаружения. По мере развития инструментов ИИ-дипфейков они устраняют подобные дефекты из видео.

Подтверждайте, подтверждайте и еще раз подтверждайте.

Всякий раз, когда речь идет о конфиденциальной информации или денежных суммах, требуйте подтверждения запроса. Позвоните человеку по телефону после получения запроса, чтобы убедиться, что он действительно легитимен. А еще лучше — встретьтесь с человеком лично, если это возможно. В общем, свяжитесь с ними вне электронной почты, сообщения или звонка, в ходе которых изначально поступил запрос, чтобы убедиться, что вы не имеете дело с самозванцем.

После целенаправленных атак на ключевых сотрудников некоторые организации пересмотрели способы обработки запросов на данные, средства и другую конфиденциальную информацию. Они требуют участия двух или трех человек для выполнения такого запроса. Это затрудняет проведение афер для мошенников. Во-первых, им приходится нацеливаться на двух или более человек. Затем они сталкиваются с дополнительной сложностью — убедить их всех. Такой контроль дает компаниям возможность полностью проверить запросы и потенциально выявить «срочные» фальшивые запросы от мошенников.

Мошенники проводят исследования — будьте начеку.

Мошенники тщательно выбирают своих жертв для этих целенаправленных атак. Они выслеживают сотрудников, имеющих доступ к информации и средствам, а затем изучают их. Используя публичные записи, сайты брокеров данных, сайты для поиска людей и информацию из социальных сетей, мошенники собирают сведения о своих целях. Вооружившись этим, они могут приправлять свои разговоры ссылками, которые звучат более информированно, более лично и, следовательно, более убедительно. Просто потому, что сказанное кажется или звучит знакомо, не всегда означает, что оно исходит из надежного источника.

Очистите свое присутствие в сети.

Сотрудники могут уменьшить объем личной информации, которую другие могут найти в интернете. Такие функции, как McAfee Personal Data Cleanup, могут помочь удалить личную информацию с некоторых самых рискованных сайтов брокеров данных. Я также слежу за этими сайтами на случай, если на них позже появится больше личной информации. Кроме того, сотрудники могут сделать свои профили в социальных сетях приватными, ограничив доступ только для «друзей и семьи», что лишает мошенников еще одного способа сбора информации. Использование нашего Social Privacy Manager может сделать это еще проще. Всего за несколько кликов он может настроить более 100 параметров конфиденциальности в их учетных записях в социальных сетях, что сделает их более защищенными.

Защита от атак с использованием ИИ-дипфейков.

В будущем мы можем ожидать увеличения числа подобных корпоративных атак с использованием дипфейков, созданных с помощью ИИ. Причем самого разного масштаба. Доступность и мощность инструментов ИИ делают это весьма вероятным. Однако, как и в случае со многими видами целевых атак, в них есть что-то подозрительное и пугающее. Как мы видели, сотрудник, ставший целью атаки в Гонконге, испытывал подозрения… что-то в этом звонке было не так. И все же, кто мог ожидать видеоконференцию, полностью состоящую из дипфейков? После этой атаки компаниям следует учитывать, что подобные звонки сегодня вполне возможны.

По мере развития технологий обнаружения ИИ у компаний появятся дополнительные инструменты для предотвращения таких атак. Тем не менее человеческий фактор остается важнейшим элементом защиты. Это мошенничество, просто и понятно. А у мошенничества всегда есть признаки. Злоумышленники используют всевозможные приемы социальной инженерии, чтобы заставить своих жертв действовать. Они выдают себя за авторитетных лиц. Они добавляют элементы срочности в свои запросы. И они используют личную информацию людей, чтобы казаться знакомыми и заслуживающими доверия.

Вот где мы находимся сегодня: базовое понимание технологии дипфейков на базе ИИ, ее возможностей и уловок, которые могут использовать мошенники, может усилить защиту компании от атак с использованием дипфейков. Действительно, сегодня они вполне возможны. И подготовленный персонал может помочь остановить их на ранней стадии, прежде чем они успеют нанести какой-либо вред.