Deepfake Andmeturves

Kolm komponenti ja üks deepfake: mida Arup'i juhtum meile õpetab

Kevin Mitnick, tagaotsitud häkkerist turvaguruks saanud tegelane, sõnastas kunagi valemi: andmeturve on tehnoloogia × koolitus × reeglid. Korrutis, mitte summa, kui üks komponent on null, ongi tulemus null. Ja kui küsida, milline neist on kõige sagedamini null, siis Mitnicki enda raamatud annavad vastuse: inimene. Sotsiaalmanipulatsioon ehk social engineering on olnud häkkerite lemmikrelv juba enne, kui enamik meist arvutit tundis - ja tänaseks on see AI abiga võimendunud tasemele, mida Mitnick ise enda 2002. aasta raamatut kirjutades vaevalt ette kujutas.

Vana oht uues kuues

Klassikaline sotsiaalmanipulatsioon oli inimlik amet: helistad raamatupidajale, esitled end IT-osakonna uue töötajana, mainid kellegi nime, keda enne guugeldasid, ja palud parooli "süsteemi testimiseks". Toimis tihti. Aga see nõudis oskusi, näitlejameelt ja aega.

2024. aasta jaanuaris kaotas inglise inseneribüroo Arup'i Hongkongi haru umbes 25 miljonit USA dollarit ühe videokõne tagajärjel. Rahandustöötaja kutsuti konverentsikõnele, kus "CFO" ja mitu "kolleegi" juhendasid teda tegema viieteistkümmet ülekannet viiele pangakontole. Kõik osalejad peale ohvri olid AI genereeritud deepfake'id. Töötaja oli esialgu kahtlustanud, et saadud e-kiri oli phishing, aga videokõnes nähes ja kuuldes oma ülemust ja kolleege, pani kahtlused kõrvale. Kuna inimene, kes näeb välja ja kõlab nagu sinu ülemus, käsib sul midagi teha, enamik teeb.

Arup'i tehnoloogiajuht Rob Greig on pärast intsidenti üles tunnistanud, et tegi uudishimust ise endast lahtise tarkvaraga real-time deepfake'i 45 minutiga. Mitte veenev, aga nii lühikese ajaga juba midagi näidatavat. Barjäär on kadunud.

Mitnicki valem Arup'i vastu

Tehnoloogia

Täielik tehniline kaitse sotsiaalmanipulatsiooni vastu on raske, aga mitte võimatu. Email gateway'd ja anti-phishing filtrid peatavad suurema osa massikampaaniatest. Sihitud rünnete vastu aitab DMARC, SPF ja DKIM korralik konfiguratsioon (et võltsitud saatjaaadressid ei lendaks läbi), mitmetasemeline autentimine (MFA) - mitte SMS, vaid rakenduse- või riistvarapõhine - ning anomaaliadetektsioon pangasüsteemides, mis näeb, kui korraga hakkavad raha liikuma kahtlastele uutele kontodele. Deepfake-detektorid on tekkimas, kuid jooksevad tehnoloogia taga järel - seega loota ainult nende peale ei saa.

Koolitus

See on see koht, kus vanaviisi phishing-treeningud enam ei piisa. "Vaata, kas saatja aadress on õige" ei aita, kui sa vaatad reaalaegselt oma CFO nägu. Koolitus peab täna hõlmama:

• Deepfake'de olemuse selgitamine - töötajad peavad teadma, et hääl ja video ei ole enam usaldusväärsed kanalid. See on paradigma nihe.
• Verifikatsiooniharjumus - iga ebatavaline, kiireloomuline või suur rahaline päring kontrollitakse teise kanali kaudu. Kui CFO helistas Teamsiga, helista talle tagasi teadaoleval numbril.
• Praktilised trikid - paluda videokõnes teisel poolel pöörata pead külgprofiili või tõsta mingi ese kaamerasse. Praegused deepfake-mudelid kukuvad selle peale tihti läbi.
• "Ma olen märklaud" - mitte keegi pole liiga väike. Arup'i ohver polnud rumal, lihtsalt inimene.

Reeglid

Reeglid on need, mis koolituse kinnistavad ja võtavad üksikult töötajalt koorma ära. Konkreetselt:

• Neli silma -põhimõte suurtele ülekannetele, üks inimene ei saa üldse määrata 25 miljoni liikumist, punkt.
• Kohustuslik callback teisel kanalil - igal ebatavalisel rahanõudel, sõltumata sellest, kui veenev algne kontakt tundus.
• Kiireloomulisuse keeld kui punane lipp, kui keegi surub "tee kohe, ära räägi teistele", on see reegli järgi automaatselt kahtlane, mitte erand.
• Intsidenditeatamise kultuur ilma süüdistamiseta - Arup'i töötaja avastas pettuse ise, kui võttis ühendust peakontoriga. Kui ta oleks kartnud teatada, oleks kahju avastatud veel hiljem.

Null korda miski on endiselt null

Arup'i juhtum näitab Mitnicki valemi jõhkrust: ettevõttel oli kindlasti korralik tehnoloogia (tegemist on 18 000 töötajaga inseneribürooga, kes on kavandanud Sydney ooperiteatri ja Pekingi "linnupesa"). Koolitust ilmselt ka. Aga ühe töötaja jaoks ühel hetkel jäi üks komponent - reegel, mis oleks sundinud teda teist kanalit kasutama - nulli. Ja tulemus oli null korda null korda miski = 25 miljonit dollarit.

Iseenda jaoks tähendab see kolme asja: ära usalda pimedalt hääli ja videoid, kinnita alati teise kanaliga, ja tea, et kiirustamine on ründaja parim sõber. AI ajastul on Mitnicki valem aktuaalsem kui kunagi varem - ainult hinnasildid on suuremad.