Securitywatch: podvodníci idú phishing s hlbokým falzifikáty

Od mojej rodiny nemám veľa otázok o svojej práci. Pochopiteľne, oveľa viac sa zaujímajú o únosy mojich potkanov a môjho psa. Ale keď sa ma pýtajú na bezpečnosť, ľudia vždy chcú vedieť, prečo k zlým veciam dochádza. Na túto otázku je veľa odpovedí, ale tá, na ktorú sa vždy vraciam, je jednoduchá: peniaze.

Ransomware? Ľahká hotovosť pre útočníkov. Phishing? Nič iné ako hotovosť. Nevyžiadaná pošta? Všetky spôsoby speňažovania ľudí kliknutím na odkazy. Porušenie údajov? Tieto veci sa zvyknú používať na podvod a zvyšok sa predá (použije sa na ďalší podvod). Národné útoky? Iste existuje ideológia, ale keď si uvedomíte, že americké motivácie k útokom na voľby v roku 2016 bezpochyby zohrali americké sankcie, peniaze sú v rovnici. A to nehovorí o tom, že by hackeri z národných štátov chceli získať extra peniaze.

Na tomto zozname nie sú hlboké falzifikáty, videá, s ktorými bolo manipulované, zvyčajne využívajúce technológiu AI. Videli sme tváre celebrít vymieňané na telách pornohviezd a tváre politikov a hlasy manipulované, aby vyzerali tak, že hovoria veci, ktoré v skutočnosti nepovedali. Niekedy sú navrhnuté tak, aby propagovali divoko zápalové sprisahania; zákernejšie sú časy, keď sú manipulované, aby povedali veci, ktoré môžu naznačovať diváci, ktorí majú problém rozlíšiť sa od pravdy.

O hlbokých podvodoch sa v posledných mesiacoch veľa hovorilo zo strachu, že by sa dali použiť v dezinformačných kampaniach na zmätok voličov. To sa zatiaľ nestalo vo veľkom meradle (pornografické prehĺbenie) už poškodilo mnoho jednotlivcov. Prečo tomu tak hovoríme vznikajúca hrozba? Pravdepodobne preto, že neexistoval jasný spôsob, ako ich priamo speňažiť. To sa zmenilo tento týždeň, pretože sa uvádza, že hlboké falzifikáty sa používali na utláčanie spoločností za stovky tisíc dolárov.

Nové nástroje, rovnaké staré kon

V spätnom pohľade som to mal vidieť. Sociálne inžinierstvo - efektný spôsob, ako povedať „lákanie ľudí“ - je nástrojom, ktorý porušuje digitálne zabezpečenie alebo jednoducho zarába peniaze. Pridanie hlbokých falzifikátov do podvodov je perfektné.

Wall Street Journal informoval, že niektorí šikovní útočníci vybudovali hlboký model hlasu, ktorý presvedčili iného zamestnanca, s ktorým hovorili s generálnym riaditeľom spoločnosti. Zamestnanec potom povolil bezhotovostný prevod vo výške približne 243 000 dolárov. The Washington Post vo svojom vlastnom spravodajstve napísal: „Vedci v spoločnosti kybernetickej bezpečnosti Symantec uviedli, že zistili, že najmenej tri prípady hlasovania vedúcich pracovníkov napodobňovali podvodnícke spoločnosti.“ Odhadovaný náklad sa meria v miliónoch dolárov.

Pre svoje vlastné vysvetlenie som sa posadil a snažil sa vysledovať históriu hlbokých podvodov. Je to skutočne koncept falošnej spravodajskej éry a začal sa koncom roka 2017 v článku Vice o pornografii s výmenou tváre uverejnenej na Reddite. Prvým použitím výrazu „deepfakes“ bolo užívateľské meno jednotlivca, ktorý zverejnil pornografické videá, ktoré obsahovali tvár, ale nie telo, Gal Gadota, Scarletta Johanssona a ďalších.

Za pár mesiacov sa obavy z hlbokých podvodov presunuli do politiky. Videá sa objavili ako lúpežné politické postavy, a tu som uviazol ja (a väčšina zvyšku bezpečnostnej komunity). V dôsledku dezinformácií Ruska počas amerických volieb v roku 2016 bola myšlienka takmer nerozoznateľných falošných videí zaplavujúcich volebný cyklus do roku 2020 (a stále je) strašná. Zachytáva tiež titulky a je jedným z tých projektov pre verejné blaho, ktorým sa bezpečnostné spoločnosti skutočne páčia.

Bol by som biedny, keby som neukázal obmedzenia hlbokých podvodov. Na jednej strane potrebujete zvukové klipy osoby, ktorej sa pokúšate vydávať. To je dôvod, prečo sú celebrity a politici v centre pozornosti národov jasnými cieľmi hlbokého pekárstva. Vedci však už preukázali, že na vytvorenie presvedčivého zvukového hlbokého zvuku je potrebných iba asi minútu zvuku. Počúvanie volania verejného investora, rozhovoru so správami alebo (Boh vám pomôže) prednášku TED by pravdepodobne stačilo.

Tiež by ma zaujímalo, ako dobre musí váš model deepfake fungovať, aby bol efektívny. Napríklad zamestnanec na nízkej úrovni nemusí mať predstavu o tom, ako znie generálny riaditeľ (alebo dokonca vyzerá), čo ma zaujíma, či na splnenie úlohy postačuje nejaký primeraný hodnoverný a autoritatívny hlas.

Prečo peniaze záleží

Zločinci sú inteligentní. Chcú zarobiť toľko peňazí, koľko dokážu, rýchlo, ľahko as najmenším rizikom. Keď niekto príde na nový spôsob, ako robiť tieto veci, nasledujú iní. Ransomware je skvelým príkladom. Šifrovanie existuje už celé desaťročia, ale keď ho zločinci začali zbraňovať za ľahkú hotovosť, viedlo to k výbuchu ransomwaru.

Dôkazom nového konceptu je úspešné používanie hlbokých podvodov ako nástroja, ktorý predstavuje špecializovaný útok na spearfishing. Možno to nebude fungovať rovnakým spôsobom ako ransomware - stále si vyžaduje značné úsilie a jednoduchšiu prácu s podvodmi. Zločinci však dokázali, že hlboké falzifikáty môžu pôsobiť týmto novým spôsobom, takže by sme mali aspoň očakávať ďalšie trestné experimenty.

• Ako chrániť americké voľby pred príliš neskoro Ako chrániť americké voľby pred príliš neskoro
• Kampane s volebným vplyvom: Pre podvodníkov sú príliš lacné, aby postúpili do kampane Kampane s volebným vplyvom: príliš lacné pre podvodníkov, aby ich odovzdali
• Ruské agentúry Intel sú toxickým gulášom konkurencie a sabotáže Ruské agentúry Intel sú toxickým gulášom konkurencie a sabotáže

Namiesto zacielenia na generálnych riaditeľov by podvodníci mohli zacieľovať bežných ľudí na menšie výplaty. Nie je ťažké predstaviť si scammera pomocou videí zaslaných na Facebook alebo Instagram na vytvorenie hlbokých falošných hlasových modelov, ktoré presvedčia ľudí, že ich rodinní príslušníci potrebujú veľa peňazí poslaných bezhotovostným prevodom. Alebo možno, že prosperujúci priemysel robocallov získa vrstvu hlbokého potešenia pre ďalšie zmätenie. Okrem toho, že ste videli známe telefónne číslo, môžete počuť hlas priateľa. Neexistuje tiež žiadny dôvod, prečo by sa tieto procesy nemohli do určitej miery automatizovať, rozdrobili hlasové modely a spustili vopred dohodnuté skripty.

Nič z toho neznamená zľavu na prípadné poškodenie hlbokých falzifikátov vo voľbách alebo na peniaze spojené s týmito operáciami. Keď zločinci začnú byť viac oboznámení s nástrojmi deepfake a tieto nástroje sa zlepšia, je možné, že sa objaví trh hlbinných nájmov. Rovnako ako zlodeji si môžu prenajať čas na botnetoch na škodlivé účely, môžu sa objaviť zločinecké spoločnosti zamerané na vytváranie hlbokých podvodov na zákazku.

Našťastie peňažný stimul pre zbabelcov vytvára motiváciu pre dobrých. Nárast ransomware viedol k lepšiemu antimalwaru na detekciu škodlivého šifrovania a zabránenie v preberaní systémov. Odhalenie hlbokých podvodov sa už vykonalo a dúfajme, že tieto snahy budú preplnené iba príchodom hlbokých podvodov (phishing). To je malý komfort pre ľudí, ktorí už boli podvedení, ale pre nás ostatných je to dobrá správa.