Securitywatch: podvodníci jdou phishing s deepfakes

Od své rodiny nedostávám mnoho otázek o své práci. Pochopitelně se mnohem více zajímají o únosy mých krys a mého psa. Ale když se mě někdo zeptá na bezpečnost, lidé vždy chtějí vědět, proč se špatné věci dějí. Na tuto otázku existuje mnoho odpovědí, ale ta, k níž se vždy vracím, je jednoduchá: peníze.

Ransomware? Snadná hotovost pro útočníky. Phishing? Nic jiného než hotovost. Spam? Všechny způsoby, jak zpeněžit lidi kliknutím na odkazy. Porušení dat? Tyto věci jsou zvyklé na podvod a zbytek je vyprodán (bude použit na další podvod). Národní útoky? Jistě existuje ideologie, ale když se domníváte, že americké motivace k útokům na volby v roce 2016 bezpochyby hrály americké sankce, peníze jsou v rovnici. A to nemluvě o hackerech národních států, kteří za měsíční svit za extra peníze.

Ne na tomto seznamu jsou hluboce padělky, videa, se kterými bylo manipulováno, obvykle využívající technologii AI. Viděli jsme, jak se tváře celebrit obracejí na těla pornohvězd a tváře politiků a hlasy manipulované, aby vypadaly, že říkají věci, které ve skutečnosti neřekly. Někdy jsou nuceni propagovat divoce zánětlivé spiknutí; zákeřnější jsou časy, kdy jsou manipulovány, aby říkaly věci, které by navrhovatelní diváci mohli mít potíže s rozlišením od pravdy.

O deepfakes se v posledních měsících hodně mluvilo ze strachu, že by mohly být použity v dezinformačních kampaních k záměně voličů. To se zatím nestalo ve velkém měřítku, ale pornografické hluchoty již poškodily mnoho jednotlivců. Tak proč tomu říkáme vznikající hrozba? Pravděpodobně proto, že neexistoval jasný způsob, jak je přímo zpeněžit. To se změnilo tento týden, protože se hlásí, že hluché podvody byly používány k utírání korporací za stovky tisíc dolarů.

Nové nástroje, stejná stará kon

Při zpětném pohledu jsem to měl vidět. Sociální inženýrství - fantastický způsob, jak říkat „lákat lidi“ - je nástrojem pro porušení digitální bezpečnosti nebo jednoduše vydělávání peněz. Přidání hlubokých padělků do triků je perfektní.

The Wall Street Journal informoval, že někteří chytrí útočníci postavili hluboce falešný hlasový model, který přesvědčil jiného zaměstnance, že hovořili s generálním ředitelem společnosti. Zaměstnanec poté autorizoval bezhotovostní převod ve výši přibližně 243 000 USD. The Washington Post ve svém vlastním zpravodajství napsal: „Vědci v kybernetické pojišťovně Symantec uvedli, že zjistili, že nejméně tři případy hlasů vedoucích pracovníků jsou napodobovány podvodním společnostem.“ Odhadovaný náklad se měří v milionech dolarů.

Pro své vlastní vysvětlení jsem se posadil a pokusil se vysledovat historii hlubokých padělků. Je to opravdu koncept falešné zpravodajské éry a začal koncem roku 2017 v článku Vice o pornografii zaměněné za obličej zveřejněné na Redditu. První použití „deepfakes“ bylo vlastně uživatelské jméno jednotlivce, který zveřejňoval pornografická videa představující obličej, ale nikoli tělo, Gal Gadota, Scarletta Johanssona a dalších.

Za pouhých několik měsíců se obavy z hlubokých podvodů přesunuly do politiky. Videozáznamy se objevily jako lákavé politické postavy, a to je místo, kde jsem uvízl já (a většina zbytku bezpečnostní komunity). V důsledku dezinformací Ruska během amerických voleb v roce 2016 byla myšlenka téměř nerozeznatelných falešných videí zaplavujících volební cyklus 2020 (a stále je) strašná. To také chytne titulky, a je jedním z těch projektů pro veřejné blaho, které bezpečnostní společnosti opravdu líbí.

Byl bych v rozpacích, kdybych nepoukázal na omezení hluchoty. Pro jednu věc potřebujete zvukové klipy osoby, kterou se pokoušíte vydávat. To je důvod, proč jsou celebrity a politici v národním centru pozornosti jasnými cíli pro hluchotu. Vědci však již prokázali, že k vytvoření přesvědčivého zvukového hlubokého zvuku je zapotřebí jen asi minuta zvuku. Poslech na výzvě veřejného investora, rozhovoru se zprávami nebo (Bůh vám pomůže) bude mluvení TED pravděpodobně více než dost.

Také jsem zvědavý, jak dobře musí váš model deepfake fungovat, aby byl efektivní. Například zaměstnanec na nízké úrovni nemusí mít ponětí, jak zní generální ředitel (nebo dokonce vypadá), což mě nutí přemýšlet, zda je pro splnění úkolu dostatečný rozumný a autoritativní hlas.

Proč peníze záleží

Zločinci jsou chytří. Chtějí vydělat co nejvíce peněz, jak rychle, snadno as nejmenším rizikem. Když někdo vymyslí nový způsob, jak dělat tyto věci, ostatní následují. Ransomware je skvělý příklad. Šifrování existuje již po celá desetiletí, ale jakmile ho zločinci začali zbraňovat za snadnou hotovost, vedlo to k explozi ransomwaru.

Důkazem nového konceptu je úspěšné použití Deepfakes jako nástroje v tom, co představuje specializovaný útok spearfishingu. Možná to nebude vypadat stejným způsobem jako ransomware - stále to vyžaduje značné úsilí a jednodušší podvodnou práci. Zločinci však dokázali, že hluchý podvod může fungovat tímto novým způsobem, takže bychom měli alespoň očekávat nějaké další trestné experimenty.

• Jak chránit americké volby, než bude příliš pozdě Jak chránit americké volby, než bude příliš pozdě
• Volební vliv kampaně: příliš levné pro podvodníky předat nahoru Volební vliv kampaně: příliš levné pro podvodníky předat nahoru
• Ruské agentury Intel jsou toxickým kompasem soutěže a Sabotage Ruské agentury Intel jsou toxickým kompasem soutěže a Sabotage

Namísto cílení na generální ředitele by podvodníci mohli zacílit pravidelné lidi na menší výplaty. Není těžké si představit scammera pomocí videí zaslaných na Facebook nebo Instagram k vytvoření hlubokých falešných hlasových modelů, které přesvědčí lidi, že jejich rodinní příslušníci potřebují spoustu peněz zaslaných bezhotovostním převodem. Nebo možná prosperující průmysl robocall získá vrstvu hlubokého předstírání pro větší zmatek. Kromě známého telefonního čísla můžete slyšet i hlas přítele. Neexistuje také žádný důvod, proč by se tyto procesy nemohly do určité míry automatizovat, chrlit hlasové modely a procházet předem připravenými skripty.

Nic z toho nezbavuje potenciální poškození hlubokých podvodů ve volbách nebo peněz spojených s těmito operacemi. Jak se zločinci stanou zběhlejšími s nástroji deepfake a tyto nástroje se budou zlepšovat, je možné, že se objeví trh deepfakes k pronájmu. Stejně jako si mohou zločinci pronajmout čas na botnety pro zlovolné účely, mohou se objevit zločinecké společnosti, které se věnují vytváření hlubokých podvodů na zakázku.

Naštěstí peněžní pobídka pro zlé lidi vytváří motivaci pro dobré lidi. Vzestup ransomwaru vedl k lepšímu antimalwaru pro detekci škodlivého šifrování a zabránění v převzetí systémů. Práce na odhalování hlubokých podvodů již byla vykonána a doufejme, že tato snaha bude přeplněna pouze příchodem hlubokého podvodného phishingu. To je malý komfort pro lidi, kteří již byli scammed, ale je to dobrá zpráva pro nás ostatní.