Deepfake-sager med rigtige ledere: Når CEO'er bliver mål

Fem bekræftede hændelser, der beviser, at intet hjørnekontor er sikkert mod AI-efterligning.

Casestudie 1: Arup-katastrofen $25M

Virksomhed: Arup (globalt ingeniørfirma bag Operahuset i Sydney)
Tab: $25,6 millioner
Metode: Videokonference for flere personer med deepfaked CFO og medarbejdere
Dato: I begyndelsen af 2024

Sikkerhedseksperter kalder det et af de mest sofistikerede deepfake-angreb på virksomheder, der nogensinde er sket. I Hong Kong deltog en Arup-medarbejder i noget, der lignede et rutinemæssigt videoopkald med virksomhedens britiske økonomidirektør og andre kolleger. Mødet virkede legitimt; deltagerne så ud og lød præcis som de rigtige ledere.

Under opkaldet blev medarbejderen bedt om at udføre 15 separate transaktioner til en samlet værdi af HK$200 millioner til fem forskellige bankkonti. 

Først efter at have tjekket med virksomhedens hovedkontor opdagede medarbejderen, at alle personer i videoopkaldet havde været en AI-genereret deepfake.

Dette var ikke en simpel stemmeklon eller et statisk billede. Svindlerne havde skabt en interaktiv video i realtid af flere ledere på samme tid, hvilket skabte et niveau af kompleksitet, der markerede en ny udvikling inden for cyberkriminalitet i virksomheder.

"Ligesom mange andre virksomheder over hele verden er vores aktiviteter udsat for regelmæssige angreb, herunder fakturasvindel, phishing-svindel, WhatsApp voice spoofing og deepfakes. Det, vi har set, er, at antallet og sofistikeringen af disse angreb er steget kraftigt i de seneste måneder." Rob Greig, Arup CIO

Casestudie 2: Ferraris spørgsmål om $40 millioner

Virksomhed: Ferrari
Mål: CEO Benedetto Vigna
Forsøg på tab: Uoplyst (rygter antyder millioner)
Metode: Deepfake AI-stemme med syditaliensk accent
Dato: Juli 2024
Resultat: Forhindret

Ferrari-ledere modtog beskeder via WhatsApp, som så ud til at komme fra deres CEO, Benedetto Vigna, sammen med hans profilbillede og virksomhedens branding. Beskederne handlede om et stort kommende opkøb og opfordrede til øjeblikkelig deling af fortrolige finansielle oplysninger. I et opfølgende opkald kopierede deepfake endda Vignas syditalienske accent. 

Heldigvis begyndte en leder at blive mistænksom og stillede et simpelt spørgsmål: "Hvad var titlen på den bog, du anbefalede mig i sidste uge?" Da AI'en ikke kunne svare, faldt svindelnummeret fra hinanden.

Nogle gange kan den mest sofistikerede teknologi besejres af de enkleste menneskelige protokoller. Ferraris tætte opkald viser både kvaliteten af moderne deepfakes og styrken af personlige verifikationsmetoder.

Casestudie 3: WPP's Microsoft Teams-fælde

Virksomhed: WPP (verdens største reklamekoncern)
Mål: CEO Mark Read
Metode: WhatsApp-konto + Teams-møde med stemmeklon og YouTube-optagelser
Dato: Maj 2024
Resultat: Forhindret

Cyberkriminelle oprettede en falsk WhatsApp-konto ved hjælp af offentligt tilgængelige fotos af WPP's CEO, Mark Read. De brugte derefter dette materiale til at planlægge et Microsoft Teams-møde med en anden topleder ved hjælp af kontoen og bad om adgang til øjeblikkelig finansiering og personlige oplysninger til en "ny virksomhed".

Under videoopkaldet brugte svindlerne en kombination af stemmekloningsteknologi og optagede YouTube-optagelser til at udgive sig for at være Read. 

CEO Mark Reads svar: "Heldigvis havde angriberne ikke held med deres forehavende. Vi skal alle være opmærksomme på de teknikker, der går ud over e-mails og udnytter virtuelle møder, AI og deepfakes."

WPP-sagen viser, hvordan ledere med en stor medietilstedeværelse er endnu mere sårbare. Den store mængde offentlige fotos og videoer af dem giver kriminelle det perfekte materiale til at skabe deepfakes.

Casestudie 4: Binance "AI Hologram"-ordningen

Virksomhed: Binance (verdens største kryptovaluta-platform)
Mål: Patrick Hillmann, kommunikationschef
Metode: Videokonference-"hologram" ved hjælp af tv-interviewoptagelser
Dato: 2022 (tidligt større tilfælde)
Resultat: Flere kryptoprojekter bedraget

Sofistikerede hackere byggede det, Hillmann kaldte et "AI-hologram", ved hjælp af klip fra hans tv- og nyhedsoptrædener. Deepfake var så overbevisende, at det lykkedes at narre flere kryptorepræsentanter under Zoom-opkald.

De kriminelle brugte denne teknologi til at udgive sig for at være Hillmann på projektmøder, hvor de søgte Binance-noteringer. Det er en af de mest værdifulde anbefalinger i kryptobranchen. 

Ifølge Hillmann,   "... bortset fra at de 15 kilo, jeg tog på under COVID, var mærkbart fraværende, var denne dybe forfalskning raffineret nok til at narre flere meget intelligente medlemmer af kryptosamfundet."

Binance-sagen var en tidlig advarsel om, at kriminelle bevægede sig fra simple stemmekloner til sofistikerede videoimitationer rettet mod specifikke forretningsprocesser.

Casestudie 5: LastPass' interne opvågnen

Virksomhed: LastPass (Cybersikkerhed/Password Management)
Målgruppe: Virksomhedens CEO
Metode: WhatsApp-opkald, sms'er og efterligning af telefonsvarer
Dato: I begyndelsen af 2024 

Resultat: Forhindret

Deepfake-svindlere gik målrettet efter LastPass via WhatsApp (ringede, sms'ede og efterlod voicemails), mens de overbevisende udgav sig for at være virksomhedens CEO.

Medarbejderen, som var målet, bemærkede flere røde flag:

• Kommunikationen foregik uden for normal arbejdstid;
• Anmodningen var usædvanligt presserende (en almindelig svindeltaktik);
• Kanalen og fremgangsmåden afveg fra virksomhedens standardkommunikationsprotokoller.

Hvis cybersikkerhedsfolk kan angribes med succes, må alle organisationer gå ud fra, at de er sårbare.

Mønsteret bag sagerne

En analyse af disse verificerede hændelser afslører en konsekvent kriminel metode:

Lederens sårbarhedsprofil

Forskning viser, at visse lederegenskaber øger risikoen for deepfake targeting:

• Betydelig tilstedeværelse i medierne (tv-interviews, podcasts, konferencer)
• Optagelser af offentlige taler tilgængelige online
• Finansiel godkendelsesmyndighed
• Grænseoverskridende forretningsaktiviteter
• Højt profilerede stillinger i branchen

Geografiske hotspots:

• Hong Kong (finansielt knudepunkt, kompleksitet i lovgivningen)
• Nordamerika (høj digital udbredelse, stor økonomi)
• Europa (overholdelse af GDPR skaber verifikationsudfordringer)

Den menneskelige faktor

Selv med al den teknologiske sofistikering er mange angreb stadig afhængige af grundlæggende menneskelig psykologi:

• Autoritetsbias (ordrer fra opfattede overordnede)
• Hastepres (kunstig tidsbegrænsning)
• Fortrolighedsappeller (særlig adgang, insiderinformation)
• Socialt bevis (flere "kolleger" til stede)

De ledere, der overlevede disse angreb, har fælles træk: sund skepsis, verifikationsprotokoller og teamkommunikation om potentielle trusler.

Som Ferraris eksempel viser, kan et simpelt spørgsmål nogle gange besejre teknologi til en million dollars.

Referencer

CNN (4. februar 2024) - "Finansmedarbejder udbetaler $25 millioner efter videoopkald med deepfake 'økonomidirektør'"

Fortune (17. maj 2024) - "En deepfake 'CFO' snød det britiske designfirma bag Operahuset i Sydney med $25 millioner i svindel"

The Guardian - Rob Greig citat om Arup-angreb

MIT Sloan Management Review (27. januar 2025) - "Hvordan Ferrari bremsede en deepfake CEO"

The Guardian (maj 2024) - WPP CEO Mark Read deepfake-forsøg

Incode Blog (20. december 2024) - "Top 5 tilfælde af AI Deepfake-svindel fra 2024 afsløret"

Binance-blog - "Svindlere skabte et AI-hologram af mig for at snyde intetanende projekter" af Patrick Hillmann

Euronews (24. august 2022) - "Binance-direktør siger, at svindlere skabte deepfake 'hologram' af ham"

Eftsure USA - "7 eksempler på deepfake-angreb: Deepfake CEO-svindel" - LastPass-sag