Безпечний годинник: шахраї піддаються фішингу за допомогою флеш-фейків

Я не отримую багато питань про свою роботу від сім'ї. Вони, зрозуміло, набагато більше зацікавлені у пішохідних щурів та моєї собаки. Але коли мене запитують про безпеку, люди незмінно хочуть знати, чому трапляються погані речі. Відповідей на це питання дуже багато, але одна, до якої я завжди повертаюся, проста: гроші.

Викуп? Легка готівка для зловмисників. Фішинг? Нічого, крім готівки. Спам? Всілякі способи монетизації людей, натискаючи посилання. Порушення даних? Ці речі звикають до шахрайства, а решта продається (щоб використовуватись для більшої кількості шахрайств). Нападів нації? Звичайно, існує ідеологія, але якщо врахувати, що санкції США, без сумніву, відіграли роль у мотивації Росії до нападу на вибори 2016 року, гроші є в рівнянні. І це не кажучи вже про хакери національних держав, що заробляли місячні за додаткові гроші.

У цьому списку немає глибоких фейків, підроблених відео, які, як правило, використовують технологію AI. Ми бачили, як обличчя знаменитостей перекидаються на тіла порнозірок, на обличчя та голоси політиків маніпулюють так, щоб вони здавались сказати речі, які вони насправді не говорять. Іноді вони робляться для промоції диких запальних змов; Більш підступними є часи, коли вони піддаються маніпуляції, щоб сказати речі, що пропонують глядачам, і вони можуть мати проблеми з відрізненням від правди.

Про глибокі фейки багато говорили останніми місяцями з побоювання, що їх можна використовувати в дезінформаційних кампаніях, щоб заплутати виборців. Це ще не відбулося в масштабних масштабах (поки що), але порнографічні глубокі фейки вже пошкодили багатьох людей. То чому ми називаємо це виникаючою загрозою? Можливо, тому, що не було очевидного способу їх прямого монетизації. Це змінилося на цьому тижні, оскільки повідомляється, що глибокі фейки використовувались для втечі корпорацій на сотні тисяч доларів.

Нові інструменти, той же старий кон

Заднім числом я повинен був бачити, як воно наближається. Соціальна інженерія - вигадливий спосіб сказати, що "обманює людей" - це шановний інструмент для порушення цифрової безпеки або просто швидкого заробітку. Додавання глибоких фейків у хитрість ідеально підходить.

Журнал Wall Street Journal повідомляв, що деякі розумні зловмисники побудували голосову модель глубокої фальшивки, яку вони переконували іншого співробітника, що вони розмовляли з генеральним директором компанії. Потім працівник санкціонував переказ коштів у розмірі близько 243 000 доларів. У своїй власній звітності "Вашингтон пост" писав: "Дослідники фірми з кібербезпеки Symantec заявили, що вони виявили щонайменше три випадки голосів керівників, що імітуються до шахрайських компаній". Орієнтовна перевезення вимірюється мільйонами доларів.

Для власного зведення я сів і спробував простежити історію глибоких фейків. Це справді концепція епохи фальшивих новин, і розпочалася вона наприкінці 2017 року в статті Віце про порнографію, що розміщена на обличчі, розміщеній на Reddit. Першим використанням "deepfakes" було фактично ім'я користувача особи, яка розміщувала порнографічні відеоролики, на яких було зображено обличчя Гала Гадот, Скарлет Йоханссон та інших, а не їх тіла.

Лише за кілька місяців стурбованість глибокими факелами перейшла до політики. На відео з'явилися політичні діячі, які я запікалися, і саме тут я (і більшість решти спільноти безпеки) застрягли. На тлі дезінформації з боку Росії під час виборів у США, ідея майже нерозрізнених фальшивих відеозаписів, що затоплюють виборчий цикл 2020 року, була (і досі є) страшною. Він також захоплює заголовки, і це один із тих проектів задля суспільного блага, які справді подобаються охоронним компаніям.

Я був би звільнений, якби не вказав на обмеження глубоких фейків. По-перше, вам потрібні аудіокліпи того, кого ви намагаєте себе представити. Ось чому знаменитості та політики в центрі уваги країни - очевидна мішень для фейффакери. Однак дослідники вже продемонстрували, що для створення переконливого аудіофайку потрібна лише хвилина аудіо. Прослуховування дзвінка громадського інвестора, інтерв'ю з новинами або (Боже, допоможе вам) розмова про TED, ймовірно, буде більш ніж достатньо.

Крім того, мені цікаво, наскільки добре ваша модель глибокого фейку навіть повинна працювати, щоб бути ефективною. Наприклад, працівник низького рівня може не мати уявлення про те, як звучить генеральний директор (або навіть виглядає), що змушує мене замислитися, чи достатньо будь-якого розумного і авторитетного голосу, щоб виконати роботу.

Чому гроші мають значення

Злочинці розумні. Вони хочуть заробити якомога більше грошей, швидко, легко і з найменшою кількістю ризику. Коли хтось придумує новий спосіб зробити це, інші дотримуються. Ransomware - прекрасний приклад. Шифрування існувало десятиліттями, але як тільки злочинці почали озброювати його за легкі гроші, це призвело до вибуху викупу.

Глибокери успішно використовуються як інструмент, що означає спеціалізовану атаку підводного полювання - доказ нової концепції. Можливо, воно не вимкнеться так само, як і викуплене програмне забезпечення - це все-таки вимагає значних зусиль, і простіші афери працюють. Але злочинці довели, що глубокі фейки можуть працювати таким новим способом, тому нам слід принаймні очікувати ще кількох злочинних експериментів.

• Як захистити вибори в США, поки не пізно Як захистити вибори в США, поки не пізно
• Кампанії, що впливають на вибори: занадто дешево, щоб аферисти проходили кампанії з впливом на вибори: занадто дешево, щоб аферисти проходили
• Російські агентства Intel - це токсичний талант конкуренції та саботажу. Російські агентства Intel - це токсичний приклад конкуренції та саботажу.

Замість націлювання на керівників, аферисти можуть націлювати звичайних людей на менші виплати. Не важко уявити афериста, який використовує відео, розміщені у Facebook або Instagram, щоб створити голосові моделі, які переконують людей, що членам їхніх сімей потребують великих грошей, що надсилаються за допомогою переказу коштів. Або, можливо, процвітаюча галузь robocall отримає шар глубокого факелу для додаткової плутанини. Ви можете почути голос друга, крім того, щоб побачити знайомий номер телефону. Також немає причин, через які ці процеси не змогли певною мірою стати автоматизованими, витісняючи голосові моделі та виконуючи попередньо налаштовані сценарії.

Ніщо з цього не полягає у зниженні потенційного збитку від випробувань на виборах або грошей, пов'язаних за ці операції. Оскільки злочинці стають більш пристосованими до глибоких фальшивих інструментів, а ці інструменти стають кращими, цілком можливо, що може з'явитися ринок глубоких фейків для найму. Так само, як погані хлопці можуть орендувати час на ботнетах для недобрих цілей, можуть з'явитися кримінальні корпорації, які займаються створенням глубоких фейків за контрактом.

На щастя, грошовий стимул для поганих хлопців створює для хороших хлопців. Зростання програмного забезпечення, що вимагається, призвело до кращого антивірусного програмного забезпечення для виявлення шкідливого шифрування та запобігання його захопленню систем. Уже зараз проводиться робота з виявлення глубоких фейків, і, сподіваємось, ці зусилля будуть накладені лише завдяки приходу філд-фейш-файлів. Це мало комфорту для людей, які вже були обмануті, але це хороша новина для решти нас.