Sikkerhetswatch: svindlere phishing med deepfakes

Jeg får ikke mange spørsmål om jobben min fra familien. De er forståelig nok langt mer interessert i hijinks av rottene mine og hunden min. Men når jeg blir spurt om sikkerhet, vil folk alltid vite hvorfor de dårlige tingene skjer. Det er mange svar på det spørsmålet, men det jeg alltid kommer tilbake til er enkelt: penger.

Ransomware? Enkle kontanter for angripere. Phishing? Ingenting annet enn kontanter. Spam? Alle slags måter å tjene penger på at folk klikker på lenker. Data brudd? De tingene blir brukt til svindel og resten blir solgt (skal brukes til mer svindel). Nationstatsangrep? Det er sikkert ideologi, men når du tenker på at amerikanske sanksjoner uten tvil har spilt en rolle i Russlands motivasjon for å angripe valget i 2016, er penger i ligningen. Og det er for ikke å nevne nasjonalstatshacker måneskinn for ekstra penger.

Ikke på den listen er deepfakes, videoer som har blitt tuklet med, vanligvis bruker AI-drevet teknologi. Vi har sett kjendisenes ansikter byttet ut på pornostjerners kropper og politikernes ansikter og stemmer manipulert for å få dem til å se ut som de ikke sa. Noen ganger er de laget for å fremme vilt inflammatoriske konspirasjoner; mer lumske er de gangene de blir manipulert for å si at ting som antydelige seere kan ha problemer med å skille seg fra sannheten.

Deepfakes har vært mye omtalt de siste månedene av frykt for at de kan brukes i feilinformasjonskampanjer for å forvirre velgerne. Det har ikke skjedd i stor skala (ennå), men pornografiske dybder har allerede skadet mange individer. Så hvorfor kaller vi dette en voksende trussel? Sannsynligvis fordi det ikke var noen åpenbar måte å tjene penger direkte på. Det endret seg denne uken, ettersom det rapporteres at deepfakes har blitt brukt til fleece-selskaper for hundretusener av dollar.

Nye verktøy, Same Old Con

I ettertid burde jeg sett det komme. Samfunnsteknikk - en fancy måte å si "lure folk" - er et tidsriktig verktøy for å bryte digital sikkerhet eller bare tjene penger raskt. Tilsetningen av deepfakes i lureriet passer perfekt.

Wall Street Journal rapporterte at noen smarte angripere bygde en dyp falske stemmemodell som de brukte for å overbevise en annen ansatt om at de snakket med selskapets administrerende direktør. Den ansatte godkjente deretter en bankoverføring på rundt 243 000 dollar. I sin egen rapportering skrev The Washington Post, "Forskere ved cybersecurity-firmaet Symantec sa at de har funnet minst tre tilfeller av at ledernes stemmer ble etterlignet for å svindle selskaper." Den estimerte fangsten måles i millioner av dollar.

For min egen oppbygging satte jeg meg ned og prøvde å spore historien om deepfakes. Det er virkelig et konsept for den falske nyhetstiden, og begynte sent i 2017 i en Vice-artikkel om ansiktsbyttet pornografi lagt ut på Reddit. Den første bruken av "deepfakes" var faktisk brukernavnet til den enkelte som la ut de pornografiske videoene som inneholdt ansiktet, men ikke kroppen, til Gal Gadot, Scarlett Johansson og andre.

På bare noen få måneder flyttet bekymringen for deepfakes til politikk. Videoer dukket opp som politiske figurer, og det var her jeg (og det meste av resten av sikkerhetssamfunnet) ble sittende fast. I kjølvannet av feilinformasjon fra Russland under valget i USA i 2016, var (og er det fortsatt) ideen om nesten ikke-skillebare falske videoer som oversvømmer valgperioden i 2020. Det henter også overskrifter, og er et av disse prosjektene for det offentlige som sikkerhetsselskapene virkelig liker.

Jeg ville være overmodig hvis jeg ikke påpekte begrensningene til deepfakes. For det første trenger du lydklipp av personen du prøver å etterligne deg. Dette er grunnen til at kjendiser og politikere i det nasjonale søkelyset er åpenbare mål for deepfakery. Forskere har imidlertid allerede demonstrert at det kun kreves omtrent et minutt lyd for å skape en overbevisende lyddyp. Å lytte til på en offentlig investor samtale, nyhetsintervju eller (Gud hjelpe deg) en TED-samtale vil sannsynligvis være mer enn nok.

Jeg lurer også på hvor godt din deepfake-modell selv trenger å fungere for å være effektiv. En ansatt på lavt nivå har for eksempel ikke noen anelse om hvordan administrerende direktør høres ut (eller til og med ser ut), noe som får meg til å lure på om noen rimelig plausibel og autoritativ stemme er nok til å få jobben gjort.

Hvorfor pengene gjelder

Kriminelle er smarte. De vil tjene så mye penger de kan, raskt, enkelt og med minst mulig risiko. Når noen finner ut en ny måte å gjøre disse tingene på, følger andre etter. Ransomware er et godt eksempel. Kryptering har eksistert i flere tiår, men når kriminelle begynte å våpne den for lette kontanter, førte det til en eksplosjon av ransomware.

Deepfakes blir vellykket brukt som et verktøy i det som utgjør et spesialisert spydfiskeangrep er et bevis på et nytt konsept. Kanskje det ikke panorerer på samme måte som ransomware - det krever fortsatt betydelig innsats, og enklere svindelarbeid. Men kriminelle har bevist at deepfakes kan fungere på denne nye måten, så vi bør i det minste forvente noen flere kriminelle eksperimenter.

• Hvordan beskytte valg i USA før det er for sent Hvordan beskytte amerikanske valg før det er for sent
• Valgpåvirkningskampanjer: For billig for svindlere til å gi opp Valgpåvirkningskampanjer: for billig for at svindlere kan passere
• Russiske Intel-byråer er en giftig konkurranse og Sabotasje. Russiske Intel-byråer er en giftig konkurranse og Sabotasje

I stedet for å målrette mot administrerende direktører, kan svindlere målrette vanlig folk for mindre utbetalinger. Det er ikke vanskelig å forestille seg en svindler som bruker videoer som er lagt ut på Facebook eller Instagram for å lage dype falske stemmemodeller for å overbevise folk om at familiemedlemmene deres trenger mye penger sendt med bankoverføring. Eller kanskje vil den blomstrende robocall-industrien få et dypt falskt lag for ekstra forvirring. Du hører kanskje en venns stemme i tillegg til at du ser et kjent telefonnummer. Det er heller ingen grunn til at disse prosessene ikke kan automatiseres til en viss grad, uten å stemme på stemmemodeller og løpe gjennom forhåndsarrangerte skript.

Ikke noe av dette er å neddrive potensielle skader på deepfakes ved valg, eller pengene bundet i disse operasjonene. Etter hvert som kriminelle blir mer dyktige med dybfake-verktøy, og disse verktøyene blir bedre, er det mulig at det kan dukke opp en markedsplass for deepfakes-for-hire. Akkurat som skurkene kan leie tid på botnett til ubehagelige formål, kan kriminelle selskaper som er dedikert til å skape dybder på kontrakt.

Heldigvis skaper et økonomisk insentiv for skurkene et for de gode gutta. Økningen av ransomware førte til bedre antimalware for å oppdage ondsinnet kryptering og forhindre at den overtok systemer. Det arbeides allerede med å oppdage deepfakes, og forhåpentligvis vil disse anstrengelsene bare bli overladet av ankomsten til deepfake phishing. Det er liten trøst for menneskene som allerede har blitt svindlet, men det er gode nyheter for resten av oss.