Skutečné výkonné případy Deepfake: Když se generální ředitelé stávají terčem

Pět ověřených případů, které dokazují, že žádná kancelář není v bezpečí před napodobováním umělé inteligence.

Případová studie 1: Katastrofa společnosti Arup $25M

Společnost: Arup (globální inženýrská firma, která stojí za budovou opery v Sydney)
Ztráty: $25,6 milionu
Metoda: Videokonference pro více osob s finančním ředitelem a zaměstnanci společnosti Deepfaked
Datum: Začátek roku 2024

Bezpečnostní experti tento útok označují za jeden z nejsofistikovanějších firemních deepfake útoků, k jakému kdy došlo. V Hongkongu se zaměstnanec společnosti Arup připojil k něčemu, co vypadalo jako běžný videohovor s finančním ředitelem společnosti ve Velké Británii a dalšími kolegy. Schůzka vypadala legitimně; účastníci vypadali a zněli přesně jako skuteční vedoucí pracovníci.

Během hovoru dostal zaměstnanec pokyn, aby provedl 15 samostatných transakcí v celkové výši $200 milionů HK na pět různých bankovních účtů. 

Teprve po kontrole v centrále společnosti si zaměstnanec všiml, že každá osoba v tomto videohovoru byla deepfake vytvořený umělou inteligencí.

Nešlo o pouhý hlasový klon nebo statický obrázek. Podvodníci vytvořili interaktivní video s několika vedoucími pracovníky najednou v reálném čase, čímž dosáhli úrovně složitosti, která znamenala nový vývoj v oblasti podnikové kybernetické kriminality.

"Stejně jako mnoho dalších firem po celém světě jsou i naše operace pravidelně vystaveny útokům, včetně podvodů s fakturami, phishingových podvodů, podvržených hlasů v aplikaci WhatsApp a deepfakes. V posledních měsících jsme zaznamenali prudký nárůst počtu a sofistikovanosti těchto útoků." Rob Greig, CIO společnosti Arup

Případová studie 2: Otázka $40 milionů Ferrari

Společnost: Ferrari
Cíl: Generální ředitel Benedetto Vigna
Pokus o ztrátu: Nezveřejněno (zvěsti hovoří o milionech)
Metoda: Deepfake AI hlas s jihoitalským přízvukem
Datum: červenec 2024
Výsledek: Zabráněno

Vedoucí pracovníci společnosti Ferrari obdrželi prostřednictvím aplikace WhatsApp zprávy, které vypadaly, že pocházejí od jejich generálního ředitele Benedetta Vigny, spolu s jeho profilovou fotografií a značkou společnosti. Zprávy hovořily o chystané velké akvizici a naléhaly na okamžité sdílení důvěrných finančních informací. V následném hovoru deepfake dokonce okopíroval Vignův jihoitalský přízvuk. 

Naštěstí jeden z manažerů začal mít podezření a položil jednoduchou otázku: "Jak se jmenovala kniha, kterou jste mi minulý týden doporučil?" Když umělá inteligence nedokázala odpovědět, podvod se rozpadl.

Někdy může být i ta nejdokonalejší technologie překonána těmi nejjednoduššími lidskými protokoly. Ferrariho těsný souboj ukazuje jak kvalitu moderních deepfakes, tak sílu osobních ověřovacích metod.

Případová studie 3: Past společnosti WPP na Microsoft Teams

Společnost: WPP (největší světová reklamní skupina)
Cíl: Generální ředitel Mark Read
Metoda: Účet WhatsApp + schůzka týmu s hlasovým klonem a záznamem na YouTube
Datum: Květen 2024
Výsledek: Zabráněno

Kyberzločinci vytvořili falešný účet WhatsApp s použitím veřejně dostupných fotografií generálního ředitele WPP Marka Reada. Poté tento materiál využili k tomu, aby si pomocí účtu naplánovali schůzku v aplikaci Microsoft Teams s jiným vedoucím pracovníkem a požádali ho o přístup k okamžitému financování a osobním informacím pro "nový podnik".

Během videohovoru se podvodníci vydávali za čtenáře pomocí technologie klonování hlasu a nahrávek z YouTube. 

Reakce generálního ředitele Marka Reada: "Útočníci naštěstí nebyli úspěšní. Všichni musíme být ostražití vůči technikám, které jdou nad rámec e-mailů a využívají virtuální schůzky, umělou inteligenci a deepfakes."

Případ WPP ukazuje, že vedoucí pracovníci s velkým zastoupením v médiích jsou ještě zranitelnější. Velké množství jejich veřejných fotografií a videí poskytuje zločincům dokonalý materiál k vytváření deepfakes.

Případová studie 4: Schéma "AI Hologram" společnosti Binance

Společnost: Binance (největší světová platforma pro kryptoměny)
Cíl: Patrick Hillmann, vedoucí komunikace
Metoda: Videokonference "hologram" s využitím záznamu televizního rozhovoru
Datum: 2022 (raný závažný případ)
Výsledek: Podvedení více kryptografických projektů

Důmyslní hackeři vytvořili tzv. "hologram umělé inteligence" s využitím klipů z jeho televizních a zpravodajských vystoupení. Deepfake byl natolik přesvědčivý, že úspěšně oklamal několik zástupců kryptografické společnosti během hovorů Zoom.

Zločinci použili tuto technologii k tomu, aby se vydávali za Hillmanna na schůzkách k projektu Binance. Ty jsou jedním z nejcennějších potvrzení v kryptografickém průmyslu. 

Podle Hillmanna,   "...kromě toho, že mi během COVIDu znatelně chybělo 15 kilo, byl tento hluboký podvrh dostatečně rafinovaný na to, aby oklamal několik vysoce inteligentních členů kryptografické komunity."

Případ společnosti Binance byl včasným varováním, že zločinci se přesouvají od jednoduchých hlasových klonů k sofistikovaným videopodvodům zaměřeným na konkrétní obchodní procesy.

Případová studie 5: Interní probuzení společnosti LastPass

Společnost: LastPass (kybernetická bezpečnost/správa hesel)
Cíl: Generální ředitel společnosti
Metoda: Hovory, textové zprávy a vydávání se za hlasovou schránku ve službě WhatsApp
Datum: Začátek roku 2024 

Výsledek: Zabráněno

Deepfake podvodníci se zaměřili na společnost LastPass prostřednictvím aplikace WhatsApp (volali, posílali textové zprávy a zanechávali hlasové zprávy), přičemž se přesvědčivě vydávali za generálního ředitele společnosti.

Zaměstnanec, který se stal terčem útoku, si všiml několika varovných signálů:

• Komunikace probíhala mimo běžnou pracovní dobu;
• Žádost byla neobvykle naléhavá (běžná taktika podvodníků);
• Kanál a přístup se odchylovaly od standardních komunikačních protokolů společnosti.

Pokud se lze úspěšně zaměřit na profesionály v oblasti kybernetické bezpečnosti, musí každá organizace předpokládat, že je zranitelná.

Vzor za případy

Analýza těchto ověřených případů odhaluje konzistentní kriminální metodiku:

Profil zranitelnosti vedoucích pracovníků

Výzkum ukazuje, že určité charakteristiky vedoucího pracovníka zvyšují riziko deepfake targetingu:

• Významná přítomnost v médiích (televizní rozhovory, podcasty, konference)
• Záznamy veřejných vystoupení jsou k dispozici online
• Finanční schvalovací orgán
• Přeshraniční obchodní operace
• Významné pozice v oboru

Geografická ohniska:

• Hongkong (finanční centrum, složitost regulace)
• Severní Amerika (vysoká míra zavádění digitálních technologií, velká ekonomika)
• Evropa (soulad s GDPR představuje výzvu pro ověřování)

Lidský faktor

I přes veškerou technologickou vyspělost se mnoho útoků stále opírá o základní lidskou psychologii:

• Předpojatost k autoritě (příkazy od domnělých nadřízených)
• Tlak naléhavosti (umělá časová omezení)
• Odvolání pro zachování důvěrnosti (zvláštní přístup, důvěrné informace)
• Sociální důkaz (přítomnost více "kolegů")

Vedoucí pracovníci, kteří tyto útoky přežili, mají společné rysy: zdravou skepsi, ověřovací protokoly a týmovou komunikaci o potenciálních hrozbách.

Jak dokazuje příklad Ferrari, někdy může jednoduchá otázka porazit technologii za miliony dolarů.

Odkazy

CNN (4. února 2024) - "Pracovník finančního oddělení vyplatil $25 milionů po videohovoru s deepfake "finančním ředitelem""

Fortune (17. května 2024) - "Finanční ředitel" podvedl britskou designérskou firmu, která stojí za Operou v Sydney, při podvodu za $25 milionů"

The Guardian - Rob Greig citát o útocích na Arup

MIT Sloan Management Review (27. ledna 2025) - "Jak Ferrari zabrzdilo falešného generálního ředitele"

The Guardian (květen 2024) - Generální ředitel WPP Mark Read pokus o deepfake

Incode Blog (20. prosince 2024) - "5 nejčastějších případů podvodů s umělou inteligencí Deepfake z roku 2024"

Blog Binance - "Podvodníci vytvořili můj hologram s umělou inteligencí, aby podvedli nic netušící projekty" - Patrick Hillmann

Euronews (24. srpna 2022) - "Výkonný ředitel Binance říká, že podvodníci vytvořili jeho deepfake 'hologram'"

Eftsure USA - "7 příkladů útoků Deepfake: Deepfake CEO scams" - případ LastPass