Nová hrozba pro firmy: Deepfake a podvody řízené AI

Umělá inteligence dělá pro mnoho firem úžasné věci. Pomáhá automatizovat opakující se úkoly pro dosažení efektivity a úspory nákladů. Zlepšuje výkonnost zákaznického servisu a programování. A pomáhá najít nový vhled pro zlepšení rozhodování v podnikání. Už v říjnu roku 2023 společnost Gartner odhadla, že v pilotním nebo produkčním režimu ve využívání nástrojů generativní umělé inteligence bylo 55 % organizací. Jejich počet bude dnes jistě vyšší. 

Tím, kdo také inovuje své postupy díky umělé inteligenci, jsou i kriminálníci, což je globálně špatná zpráva pro lídry v oblastech IT a byznysu. Pro vypořádání se s rostoucí hrozbou nových podvodů je nutná vícevrstvá reakce, která se zaměřuje na lidi, procesy a technologie.

Jaké jsou nejnovější AI a deepfake hrozby?

Mezi nové způsoby podvodného jednání, ve kterém kyberzločinci využívají umělou inteligenci, patří: 

Falešní zaměstnanci

Stovky společností měly být již údajně infiltrovány severokorejskými útočníky, kteří se vydávají za IT vývojáře na volné noze. Nástroje AI využívají k sepsání falešných životopisů a padělání dokumentů, včetně zmanipulovaní obrázků, aby prošly kontrolami na pozadí. Konečným cílem je vydělat peníze, které posílají zpět severokorejskému režimu, stejně jako krádež dat, špionáž, a dokonce ransomwarový útok. 

AI a podvody BEC

Podvodné audio a video klipy se využívají k zefektivnění podvodů typu Business E-mail Compromise (BEC). Při nich jsou zpravidla pracovníci finančního oddělení podvodem dohnáni k převodu firemních peněz na účty, které kontrolují podvodníci. V jednom z posledních nechvalně proslulých případů byl zaměstnanec přesvědčen k převodu 25 milionů dolarů podvodníkům, kteří využili deepfake video k tomu, aby se vydávali za finančního ředitele společnosti a další zaměstnance během videokonference. To však není nic nového – už v roce 2019 byl britský manažer energetické společnosti podvodem přesvědčen k převodu 200 000 liber po telefonním rozhovoru s falešnou verzí svého šéfa. 

Nezmeškejte nic důležitého

Získejte přehled o trendech a novinkách ze světa kyberbezpečnosti.

ODEBÍRAT NOVINKY

Obcházení autentizace

Deepfake obsah se také využívá k tomu, aby se podvodníci mohli vydávat za legitimní zákazníky, vytvářet nové identity a obcházet autentizační kontroly při vytváření účtů a přihlašování. Jeden obzvláště sofistikovaný malware, GoldPickaxe, je navržen k získávání dat pro rozpoznávání obličeje, která se pak používají k vytváření podvodných videí.  

Deepfake podvody

Kyberzločinci mohou používat deepfake obsah i mimo striktně cílené útoky. Vydáváním se za generální ředitele společností a jiné významné osobnosti na sociálních médiích mohou podporovat investiční a jiné podvody. Jak ukázal náš kolega Jake Moore z ESETu, teoreticky by mohl být obětí jakýkoli lídr firmy. Jak také popisuje poslední zpráva Threat Report od ESETu, kyberzločinci využívají deepfake a obrandované příspěvky na sociálních sítích k nalákání obětí v rámci nového typu investičního podvodu nazvaného Nomani.

Prolomení hesel

Algoritmy umělé inteligence mohou být nastaveny k tomu, aby dokázaly prolamovat hesla zákazníků a zaměstnanců. To umožní útočníkům ukrást data, zahájit ransomwarový útok a provádět masové podvody s identitou. Nástroj PassGAN údajně dokáže prolomit hesla za méně než půl minuty. 

Falšování dokumentů

Dokumenty generované nebo upravené umělou inteligencí jsou dalším způsobem, jak obejít kontroly KYC (Know Your Customer) v bankách a dalších společnostech. Mohou být také využity k pojistným podvodům. Téměř všichni (94 %) zpracovatelé pojistných událostí ve Velké Británii mají podezření, že alespoň 5 % pojistných událostí je zmanipulováno pomocí AI, zejména pojistné události nižší hodnoty. 

Phishing a průzkumná činnost

Britské Národní centrum kybernetické bezpečnosti (NCSC) již varovalo v důsledku rozmachu generativní a jiné AI před nárůstem počtu kyberzločinců. V roce 2024 tvrdilo, že technologie „téměř jistě zvýší objem a zvýší dopad kybernetických útoků v příštích dvou letech.“ To bude mít zvláště vysoký dopad na zvýšení úspěšnosti útoků s využitím metod sociálního inženýrství a průzkumu cílů. Urychlí to ransomwarové útoky a krádeže dat, stejně jako širokou škálu phishingových útoků na zákazníky.

Jaký dopad mají hrozby generované AI?

Dopadem podvodů, které umožňují AI technologie, je nakonec finanční a reputační škoda různého rozsahu.

Stojí tak za povšimnutí, jak: 

• Obcházení kontrol KYC umožňuje podvodníkům například navýšit úvěry či odčerpat finanční prostředky z účtů legitimních zákazníků.
   
• Mohou falešní zaměstnanci krást citlivé údaje o duševním vlastnictví a regulované informace o zákaznících, což vede k finančním a reputačním problémům, stejně jako k problémům s dodržováním zákonných předpisů.
  
  
• Mohou podvody BEC generovat obrovské jednorázové ztráty. Tato kategorie podvodů vydělala kyberzločincům jen v roce 2023 přes 2,9 miliardy dolarů.
  
  
• Podvod, ve kterém se útočník vydává za jinou osobu, ohrožuje loajalitu zákazníků. Třetina zákazníků říká, že od značky, kterou milují, po jedné špatné zkušenosti odejdou.

Jak bojovat s AI podvody

Boj proti nárůstu podvodů, které útočníci připravují nově pomocí AI, by měl zahrnovat: 

• Časté hodnocení rizik podvodů; 

• Aktualizaci zásad boje proti podvodům, aby byly relevantní pro nástroje umělé inteligence; 

• Komplexní školení a programy zvyšování povědomí o současných kybernetických rizicích pro zaměstnance (např. jak rozpoznat phishing a deepfake obsah); 

• Vzdělávací a osvětové programy pro zákazníky; 

• Využívání vícefázového ověření (MFA) pro všechny citlivé firemní účty a zákazníky; 

• Zlepšené prověřování zaměstnanců, např. skenování životopisů kvůli nesrovnalostem v kariéře; 

• Zavedení pravidla, aby všichni zaměstnanci před přijetím do zaměstnání absolvovali video pohovor; 

• Zlepšení spolupráce mezi HR oddělením a týmem kybernetické bezpečnosti. 

AI technologie lze využít i v boji proti těmto hrozbám, například: 

• Nástroje umělé inteligence k odhalování deepfake obsahu (např. při kontrolách KYC);

• Algoritmy strojového učení k detekci vzorců podezřelého chování v datech zaměstnanců a zákazníků; 

• Nástroje generativní umělé inteligence k vytváření syntetických dat, na jejichž základě mohou být vyvíjeny, testovány a trénovány nové modely podvodů. 

Bitva mezi škodlivými a přínosnými způsoby využívání nástrojů umělé inteligence vstupuje do intenzivní nové fáze. Firmy by měly aktualizovat své zásady kybernetické bezpečnosti a boje proti podvodům, aby udržely krok s vyvíjejícím se prostředím hrozeb.  

Vzhledem k tomu, že je tolik v sázce, může mít neúspěch v této oblasti dopad na dlouhodobou loajalitu zákazníků, hodnotu značky, a dokonce může zmařit důležité iniciativy digitální transformace ve firmě. 

Umělá inteligence má potenciál změnit pravidla hry pro naše protivníky. Může udělat ale mnoho dobrého i v rukou bezpečnostních týmů ve firmách.