Securitywatch: นักต้มตุ๋นไปฟิชชิ่งด้วย deepfakes

ฉันไม่ได้รับคำถามมากมายเกี่ยวกับงานของฉันจากครอบครัวของฉัน พวกเขามีความเข้าใจมากขึ้นสนใจใน hijinks ของหนูและสุนัขของฉัน แต่เมื่อฉันถูกถามเกี่ยวกับความปลอดภัยผู้คนคงอยากรู้ ว่าทำไม สิ่งไม่ดีเกิดขึ้น มีคำตอบมากมายสำหรับคำถามนั้น แต่คำตอบที่ฉันมักจะกลับมาเป็นเรื่องง่าย: เงิน

ransomware? เงินสดง่าย ๆ สำหรับผู้โจมตี ฟิชชิ่ง? ไม่มีอะไรนอกจากเงินสด สแปม วิธีการสร้างรายได้จากการคลิกลิงก์ทุกประเภท การละเมิดข้อมูล? สิ่งนั้นจะถูกนำไปใช้เพื่อการฉ้อโกงและส่วนที่เหลือจะถูกขายออกไป (เพื่อใช้สำหรับการฉ้อโกงเพิ่มเติม) การโจมตีของประเทศชาติ? แน่นอนว่ามีอุดมการณ์ แต่เมื่อคุณพิจารณาว่าการคว่ำบาตรของสหรัฐไม่ต้องสงสัยเลยมีส่วนร่วมในแรงจูงใจของรัสเซียในการโจมตีการเลือกตั้งปี 2559 เงินอยู่ในสมการ และนั่นไม่ได้กล่าวถึงแฮ็กเกอร์รัฐชาติเพื่อรับเงินพิเศษ

ไม่ได้อยู่ในรายชื่อนั้นคือ deepfakes วิดีโอที่ถูกดัดแปลงโดยทั่วไปใช้เทคโนโลยีที่ขับเคลื่อนด้วย AI เราได้เห็นใบหน้าของคนดังเปลี่ยนใบหน้าร่างของนักการเมืองและใบหน้าของนักการเมืองและเสียงที่ถูกควบคุมเพื่อทำให้พวกเขาดูเหมือนจะพูดในสิ่งที่พวกเขาไม่ได้พูดจริง ๆ บางครั้งพวกเขาถูกสร้างขึ้นมาเพื่อส่งเสริมการสมคบคิดอักเสบอย่างดุเดือด ร้ายกาจมากขึ้นคือเวลาที่พวกเขาถูกจัดการเพื่อพูดในสิ่งที่ผู้ชมสามารถชี้แนะได้อาจมีปัญหาในการแยกแยะจากความจริง

Deepfakes ได้รับการพูดถึงอย่างมากในช่วงไม่กี่เดือนที่ผ่านมาเนื่องจากความกลัวว่าพวกเขาสามารถนำไปใช้ในแคมเปญข้อมูลที่ผิดเพื่อสร้างความสับสนให้กับผู้มีสิทธิเลือกตั้ง นั่นไม่ได้เกิดขึ้นในวงกว้าง (แต่) แต่การทำลามกอนาจารได้สร้างความเสียหายให้กับคนจำนวนมากแล้ว เหตุใดเราจึงเรียกสิ่งนี้ว่าเป็นภัยคุกคามที่กำลังเกิดขึ้น อาจเป็นเพราะไม่มีวิธีที่ชัดเจนในการสร้างรายได้โดยตรง สิ่งนี้เปลี่ยนไปเมื่อสัปดาห์ที่แล้วเนื่องจากมีรายงานว่ามีการใช้ Deepfakes เพื่อ บริษัท ขนแกะหลายแสนดอลลาร์

เครื่องมือใหม่แบบเดิมเก่า

ในการเข้าใจถึงปัญหาหลังฉันควรจะได้เห็นมันมา วิศวกรรมสังคม - วิธีแฟนซีในการพูดว่า "หลอกผู้คน" - เป็นเครื่องมือที่ได้รับเกียรติจากการละเมิดความปลอดภัยระบบดิจิตอลหรือสร้างรายได้อย่างรวดเร็ว การเติม deepfakes ในกลอุบายเป็นแบบที่สมบูรณ์แบบ

หนังสือพิมพ์วอลล์สตรีทเจอร์นัลรายงานว่าผู้โจมตีที่ฉลาดบางคนได้สร้างรูปแบบเสียงที่ฟังชัดลึกซึ่งพวกเขาเคยโน้มน้าวให้พนักงานคนอื่นพูดคุยกับซีอีโอของ บริษัท จากนั้นพนักงานอนุมัติการโอนเงินผ่านธนาคารจำนวน $ 243, 000 ในการรายงานของตัวเองเดอะวอชิงตันโพสต์เขียนว่า "นักวิจัยที่ บริษัท ไซเบอร์เทครักษาความปลอดภัยไซแมนเทคกล่าวว่าพวกเขาพบว่าอย่างน้อยสามกรณีของเสียงของผู้บริหารที่เลียนแบบการโกง บริษัท " ระยะทางโดยประมาณนั้นมีหน่วยเป็นล้านดอลลาร์

เพื่อการจรรโลงใจของฉันฉันนั่งลงและพยายามที่จะติดตามประวัติศาสตร์ของการตกปลาลึก มันเป็นแนวคิดสำหรับยุคข่าวปลอมและเริ่มขึ้นในปลายปี 2017 ในบทความรองเกี่ยวกับสื่อลามกอนาจารแบบใบหน้าที่โพสต์บน Reddit การใช้งานครั้งแรกของ "deepfakes" เป็นชื่อผู้ใช้ของแต่ละคนที่โพสต์วิดีโอลามกอนาจารที่ให้ความสำคัญกับใบหน้า แต่ไม่ใช่ร่างของ Gal Gadot, Scarlett Johansson และอื่น ๆ

ในเวลาเพียงไม่กี่เดือนความกังวลในเรื่องปลาลึกก็ย้ายไปอยู่กับการเมือง วิดีโอปรากฏร่างทางการเมืองที่เหน็บแนมและนี่คือที่ฉัน (และส่วนที่เหลือของชุมชนด้านความปลอดภัย) ติดอยู่ จากการที่รัสเซียได้รับข้อมูลที่ผิดในช่วงการเลือกตั้งสหรัฐปี 2559 ความคิดของวิดีโอปลอมที่ไม่สามารถแยกออกได้ซึ่งทำให้เกิดน้ำท่วมในรอบการเลือกตั้งในปี 2563 นั้นเป็นเรื่องที่เลวร้ายมาก อีกทั้งยังเป็นหัวข้อข่าวและเป็นหนึ่งในโครงการเพื่อสาธารณประโยชน์ที่ บริษัท รักษาความปลอดภัยชอบ

ฉันจะสะเพร่าถ้าฉันไม่ได้ชี้ให้เห็นข้อ จำกัด ของการกินปลาลึก สิ่งหนึ่งคุณต้องมีคลิปเสียงของคนที่คุณพยายามเลียนแบบ นี่คือเหตุผลที่คนดังและนักการเมืองในสปอตไลท์ระดับประเทศเป็นเป้าหมายที่ชัดเจนสำหรับการทำขนม อย่างไรก็ตามนักวิจัยได้แสดงให้เห็นแล้วว่าเพียงประมาณหนึ่งนาทีของเสียงที่จำเป็นสำหรับการสร้างเสียงที่น่าเชื่อถือ การฟังนักลงทุนสาธารณะการสัมภาษณ์ข่าวหรือ (พระเจ้าช่วยคุณ) การพูดคุย TED อาจจะมากเกินพอ

นอกจากนี้ฉันยังสงสัยว่าโมเดล Deepfake ของคุณจะต้องใช้งานได้ดีเพียงใดเพื่อให้มีประสิทธิภาพ ยกตัวอย่างเช่นพนักงานระดับต่ำอาจไม่มีความคิดใด ๆ ว่า CEO ดูเหมือน (หรือดูเหมือนว่า) ซึ่งทำให้ฉันสงสัยว่าเสียงที่สมเหตุสมผลและเชื่อถือได้สมเหตุสมผลเพียงพอที่จะทำงานให้สำเร็จ

ทำไมเงินถึงสำคัญ

อาชญากรฉลาด พวกเขาต้องการสร้างรายได้มากที่สุดได้อย่างรวดเร็วง่ายดายและมีความเสี่ยงน้อยที่สุด เมื่อมีคนคิดวิธีใหม่ในการทำสิ่งเหล่านั้นคนอื่น ๆ ก็ทำตาม Ransomware เป็นตัวอย่างที่ดี การเข้ารหัสมีมานานหลายทศวรรษ แต่เมื่ออาชญากรเริ่มสร้างอาวุธให้กับเงินสดอย่างง่ายมันจะนำไปสู่การระเบิดของ ransomware

Deepfakes ถูกใช้อย่างประสบความสำเร็จเป็นเครื่องมือในการโจมตี spearfishing จำนวนมากเป็นหลักฐานของแนวคิดใหม่ บางทีมันอาจจะไม่ทะลักออกมาในลักษณะเดียวกันกับแรนซัมแวร์ แต่ก็ยังต้องใช้ความพยายามอย่างมาก แต่อาชญากรพิสูจน์ให้เห็นแล้วว่าการตกปลาลึก ๆ สามารถทำงานได้ด้วยวิธีการใหม่นี้ดังนั้นอย่างน้อยเราควรคาดหวังการทดลองทางอาญามากกว่านี้

• วิธีปกป้องการเลือกตั้งสหรัฐก่อนที่จะสายเกินไปวิธีปกป้องการเลือกตั้งสหรัฐก่อนที่จะสายเกินไป
• แคมเปญที่มีอิทธิพลต่อการเลือกตั้ง: ราคาถูกเกินไปสำหรับนักต้มตุ๋นที่จะผ่านการรณรงค์การเลือกตั้งที่มีอิทธิพล: ถูกเกินไปสำหรับนักต้มตุ๋นที่จะผ่าน
• หน่วยงาน Intel ของรัสเซียเป็นสตูว์ที่เป็นพิษของการแข่งขันและการก่อวินาศกรรมหน่วยงาน Intel ของ Intel เป็นสตูว์ที่เป็นพิษของการแข่งขันและการก่อวินาศกรรม

แทนที่จะกำหนดเป้าหมายซีอีโอนักต้มตุ๋นสามารถกำหนดเป้าหมายคนปกติสำหรับการจ่ายเงินขนาดเล็ก ไม่ใช่เรื่องยากที่จะจินตนาการนักต้มตุ๋นที่ใช้วิดีโอที่โพสต์ใน Facebook หรือ Instagram เพื่อสร้างแบบจำลองเสียงพูดลึกเพื่อโน้มน้าวให้คนในครอบครัวต้องการเงินจำนวนมากที่ส่งโดยการโอนเงินผ่านธนาคาร หรือบางทีอุตสาหกรรม robocall ที่เฟื่องฟูจะได้รับเลเยอร์ที่ลึกซึ้งสำหรับความสับสนที่เพิ่มขึ้น คุณอาจได้ยินเสียงของเพื่อนนอกจากเห็นหมายเลขโทรศัพท์ที่คุ้นเคย นอกจากนี้ยังไม่มีเหตุผลว่าทำไมกระบวนการเหล่านี้ไม่สามารถกลายเป็นอัตโนมัติได้ในระดับหนึ่งสร้างรูปแบบเสียงและทำงานผ่านสคริปต์ที่จัดแจงไว้ล่วงหน้า

สิ่งนี้ไม่ได้เป็นการลดความเสียหายที่อาจเกิดขึ้นจากการเลือกตั้งในระดับลึกหรือเงินที่ผูกติดอยู่กับการปฏิบัติการเหล่านั้น เมื่ออาชญากรมีความเชี่ยวชาญมากขึ้นด้วยเครื่องมือ Deepfake และเครื่องมือเหล่านั้นดีขึ้นเป็นไปได้ว่าตลาดของการเจาะลึกเพื่อจ้างอาจเกิดขึ้นได้ เช่นเดียวกับคนเลวสามารถเช่าเวลาบน botnets เพื่อจุดประสงค์สามานย์ บริษัท อาชญากรรมที่ทุ่มเทให้กับการสร้างข้อตกลงที่ลึกอาจปรากฏขึ้น

โชคดีที่แรงจูงใจทางการเงินสำหรับคนเลวสร้างขึ้นมาเพื่อคนดี การเพิ่มขึ้นของ ransomware นำไปสู่การป้องกันมัลแวร์ที่ดีกว่าสำหรับการตรวจจับการเข้ารหัสที่เป็นอันตรายและป้องกันไม่ให้เข้ายึดระบบ มีงานที่ทำอยู่เพื่อตรวจจับการเจาะลึกและหวังว่าความพยายามเหล่านั้นจะถูกอัดแน่นไปด้วยการมาถึงของการฟิชชิ่งฟิชชิ่ง นั่นเป็นความสะดวกสบายเล็ก ๆ น้อย ๆ สำหรับผู้ที่ถูกหลอกมาแล้ว แต่เป็นข่าวดีสำหรับพวกเราที่เหลือ