Securitywatch: escrocii merg phishing cu deepfakes

Nu primesc prea multe întrebări despre meseria mea din partea familiei mele. Sunt, înțeles, mult mai interesați de hăinuțele șobolanilor și ale câinelui meu. Dar când mă întreb despre securitate, invariabil oamenii vor să afle de ce se întâmplă lucrurile rele. Există o mulțime de răspunsuri la această întrebare, dar cea la care întorc întotdeauna este simplă: banii.

Ransomware? Numerar ușor pentru atacatori. Phishing? Nimic decât numerar. Spam? Toate tipurile de moduri de a genera bani cu ajutorul unor clicuri pe link-uri. Încălcări ale datelor? Aceste lucruri sunt folosite pentru fraudă, iar restul este vândut (pentru a fi folosit pentru mai multe fraude). Atacuri de stat națiune? Sigur că există ideologie, dar când considerați că sancțiunile americane au jucat, fără îndoială, un rol important în motivația Rusiei de a ataca alegerile din 2016, banii sunt în ecuație. Și asta ca să nu mai vorbim de hackerii de la statul național, care să lumineze luna pentru bani în plus.

Nu pe această listă nu sunt înregistrări profunde, videoclipuri care au fost modificate, utilizând în general tehnologia AI-driven. Am văzut că fețele celebrităților s-au întors pe corpurile pornstarilor și chipurile și vocile politicienilor manipulate pentru a le face să pară spunând lucruri pe care nu le spuneau de fapt. Uneori sunt făcute pentru a promova conspirații inflamatorii sălbatic; mai insidioase sunt perioadele în care sunt manipulate pentru a spune că lucrurile care sugerează telespectatorii pot avea probleme să se distingă de adevăr.

În ultimele luni s-a vorbit mult despre profunzimi, de teamă că ar putea fi utilizate în campaniile de dezinformare pentru a confunda alegătorii. Acest lucru nu s-a întâmplat la scară largă (încă), dar rezultatele pornografice au deteriorat deja multe persoane. Deci, de ce numim asta o amenințare emergentă? Probabil pentru că nu a existat un mod evident de a le monetiza direct. Acest lucru s-a schimbat săptămâna aceasta, întrucât se raportează că fondurile profunde au fost folosite pentru luarea corporațiilor pentru sute de mii de dolari.

Instrumente noi, același vechi con

În retrospectivă, ar fi trebuit să o văd venind. Ingineria socială - un mod fantezist de a spune „păcălirea oamenilor” - este un instrument onorat de timp pentru încălcarea securității digitale sau pur și simplu pentru a face bani rapid. Adăugarea de adâncimi în truc este o potrivire perfectă.

Wall Street Journal a raportat că unii atacanți deștepți au construit un model vocal profund, pe care îl foloseau pentru a convinge un alt angajat despre care vorbeau cu CEO-ul companiei. Angajatul a autorizat apoi un transfer bancar de aproximativ 243.000 USD. În raportul propriu, The Washington Post a scris, „Cercetătorii de la firma de cibersecuritate Symantec au spus că au găsit cel puțin trei cazuri de voci ale directorilor care au fost imitate pentru companiile de escrocherie”. Transportul estimat se măsoară în milioane de dolari.

Pentru propria mea edificare, m-am așezat și am încercat să urmăresc istoria adusurilor. Este cu adevărat un concept pentru epoca falselor știri și a început la sfârșitul anului 2017 într-un articol Vice despre pornografia schimbată pe față postat pe Reddit. Prima utilizare a „deepfakes” a fost, de fapt, numele de utilizator al persoanei care a postat videoclipuri pornografice care prezintă chipul, dar nu corpul lui Gal Gadot, Scarlett Johansson și alții.

În doar câteva luni, preocuparea pentru adâncimi s-a mutat în politică. Videoclipurile au apărut personaje politice, iar aici am rămas blocați (și majoritatea restului comunității de securitate). Ca urmare a dezinformării din Rusia în timpul alegerilor americane din 2016, ideea unor videoclipuri false aproape indistinguibile care inundau ciclul electoral din 2020 a fost (și este încă) una îngrozitoare. Acaparează, de asemenea, titluri și este unul dintre acele proiecte pentru binele public pe care companiile de securitate le plac cu adevărat.

Aș fi remis dacă nu aș sublinia limitările profunzimilor. Pentru un singur lucru, aveți nevoie de clipuri audio ale persoanei pe care încercați să le imprimați. Acesta este motivul pentru care celebritățile și politicienii din centrul atenției sunt ținte evidente pentru deepfakery. Cu toate acestea, cercetătorii au demonstrat că este necesară doar aproximativ un minut de audio pentru crearea unei analize audio convingătoare. Ascultarea unui apel public de investitori, un interviu de știri sau (Dumnezeu să vă ajute) o discuție TED ar fi probabil mai mult decât suficientă.

De asemenea, mă întreb cât de bine trebuie să funcționeze chiar și modelul tău profund pentru a fi eficient. Un angajat de nivel scăzut, de exemplu, ar putea să nu aibă nici o idee despre cum sună directorul general (sau chiar arată), ceea ce mă face să mă întreb dacă este suficientă o voce rezonabilă plauzibilă și autoritară pentru a duce la bun sfârșit munca.

De ce contează banii

Infractorii sunt deștepți. Vor să câștige cât mai mulți bani, rapid, ușor și cu cel mai mic risc. Când cineva își dă seama de o nouă modalitate de a face acele lucruri, urmează alții. Ransomware este un exemplu excelent. Criptarea a fost în jur de zeci de ani, dar odată ce infractorii au început să-l armeze pentru a obține o sumă ușoară de bani, a dus la o explozie de ransomware.

Deepfakes-ul fiind folosit cu succes ca instrument în ceea ce echivalează cu un atac de pescuit specializat este o dovadă a unui nou concept. Poate că nu va ieși la fel ca ransomware-ul - necesită totuși efort considerabil și funcționează înșelătorii mai simple. Dar infractorii au dovedit că fondurile profunde pot funcționa în acest mod inedit, așa că ar trebui să ne așteptăm cel puțin la alte experimente criminale.

• Cum să protejăm alegerile din SUA înainte să fie prea târziu Cum să protejăm alegerile din SUA înainte să fie prea târziu
• Campanii de influență electorală: Prea ieftine pentru escroci să transmită Campanii de influență electorală: Prea ieftin pentru escroci să transmită
• Agențiile Intel rusești sunt un toxic al concurenței și sabotaj Agențiile de inteligență rusești sunt un toxic al concurenței și sabotajului

În loc să direcționeze directorii generali, escrocii ar putea viza oameni obișnuiți pentru plăți mai mici. Nu este greu să-ți imaginezi un escrocher folosind videoclipuri postate pe Facebook sau Instagram pentru a crea modele vocale profunde pentru a-i convinge pe membrii familiei lor să aibă nevoie de mulți bani trimiși prin transfer bancar. Sau poate că industria înfloritoare a robotului va obține un strat profund pentru o confuzie suplimentară. S-ar putea să auziți vocea unui prieten pe lângă faptul că vedeți un număr de telefon familiar. De asemenea, nu există niciun motiv pentru care aceste procese să nu poată fi automatizate într-o anumită măsură, eliminând modele vocale și rulând scripturi preorganizate.

Nimic din toate acestea nu este de a reduce potențialul daunelor aduse la alegeri sau a banilor legați în aceste operațiuni. Pe măsură ce infractorii devin mai adepți cu instrumentele deepfake, iar aceste instrumente devin mai bune, este posibil să apară o piață de fonduri de închiriere. La fel cum băieții răi își pot închiria timp pe botnețe în scopuri nefaste, pot apărea corporații criminale dedicate creării de fonduri contractuale.

Din fericire, un stimulent monetar pentru cei răi creează unul pentru băieții buni. Creșterea ransomware-ului a dus la un antimalware mai bun pentru detectarea criptării dăunătoare și prevenirea preluării sistemelor. S-au lucrat deja pentru a detecta profunzimile și, sperăm, aceste eforturi vor fi supraalimentate doar de sosirea phishing-ului profund. Asta înseamnă puțin confort pentru persoanele care au fost deja înșelate, dar este o veste bună pentru restul dintre noi.