Πέντε επαληθευμένα περιστατικά που αποδεικνύουν ότι κανένα γραφείο δεν είναι ασφαλές από την υποκλοπή της τεχνητής νοημοσύνης.
Μελέτη περίπτωσης 1: Η καταστροφή $25M της Arup
Εταιρεία: Arup (Παγκόσμια εταιρεία μηχανικών πίσω από την Όπερα του Σίδνεϊ)
Απώλεια: $25,6 εκατομμύρια
Μέθοδος: Τηλεδιάσκεψη πολλαπλών ατόμων με τον CFO και το προσωπικό του Deepfaked
Ημερομηνία: Αρχές 2024
Οι ειδικοί σε θέματα ασφάλειας κάνουν λόγο για μία από τις πιο εξελιγμένες εταιρικές επιθέσεις deepfake που έχουν συμβεί ποτέ. Στο Χονγκ Κονγκ, ένας υπάλληλος της Arup συμμετείχε σε μια βιντεοκλήση ρουτίνας με τον οικονομικό διευθυντή της εταιρείας που εδρεύει στο Ηνωμένο Βασίλειο και άλλους συναδέλφους του. Η συνάντηση φαινόταν νόμιμη- οι συμμετέχοντες έμοιαζαν και ακούγονταν ακριβώς όπως τα πραγματικά στελέχη.
Κατά τη διάρκεια της κλήσης, ο υπάλληλος έλαβε εντολή να εκτελέσει 15 ξεχωριστές συναλλαγές, συνολικού ύψους $200 εκατομμυρίων HK, σε πέντε διαφορετικούς τραπεζικούς λογαριασμούς.
Μην ανησυχείτε ποτέ ξανά για την απάτη με τεχνητή νοημοσύνη. TruthScan Μπορεί να σας βοηθήσει:
- Ανίχνευση AI που παράγεται εικόνες, κείμενο, φωνή και βίντεο.
- Αποφύγετε το σημαντική απάτη με βάση την τεχνητή νοημοσύνη.
- Προστατέψτε τα πιο ευαίσθητο περιουσιακά στοιχεία της επιχείρησης.
Μόνο μετά από έλεγχο με τα κεντρικά γραφεία της εταιρείας, ο υπάλληλος παρατήρησε ότι κάθε άτομο σε αυτή τη βιντεοκλήση ήταν ένα τεχνητά δημιουργημένο ψεύτικο βίντεο.
Δεν επρόκειτο για έναν απλό κλώνο φωνής ή μια στατική εικόνα. Οι απατεώνες είχαν δημιουργήσει ένα διαδραστικό βίντεο σε πραγματικό χρόνο με πολλά στελέχη ταυτόχρονα, δημιουργώντας ένα επίπεδο πολυπλοκότητας που σηματοδότησε μια νέα εξέλιξη στο εταιρικό έγκλημα στον κυβερνοχώρο.
"Όπως και πολλές άλλες επιχειρήσεις σε όλο τον κόσμο, οι δραστηριότητές μας υπόκεινται σε τακτικές επιθέσεις, όπως απάτη με τιμολόγια, απάτες phishing, παραποίηση φωνής WhatsApp και deepfakes. Αυτό που έχουμε διαπιστώσει είναι ότι ο αριθμός και η πολυπλοκότητα αυτών των επιθέσεων έχουν αυξηθεί απότομα τους τελευταίους μήνες". Rob Greig, CIO της Arup
Μελέτη περίπτωσης 2: Ερώτηση $40 εκατομμυρίων της Ferrari
Εταιρεία: Ferrari
Στόχος: Διευθύνων Σύμβουλος Benedetto Vigna
Απόπειρα απώλειας: Μη ανακοινώσιμο (φήμες αναφέρουν εκατομμύρια)
Μέθοδος: Deepfake AI φωνή με νότια ιταλική προφορά
Ημερομηνία: Ιούλιος 2024
Αποτελέσματα: Αποτρέπεται
Στελέχη της Ferrari έλαβαν μηνύματα μέσω WhatsApp που φαινόταν να προέρχονται από τον διευθύνοντα σύμβουλό τους, Benedetto Vigna, μαζί με τη φωτογραφία του προφίλ του και το εμπορικό σήμα της εταιρείας. Τα μηνύματα μιλούσαν για μια μεγάλη επερχόμενη εξαγορά και πίεζαν για την άμεση κοινοποίηση εμπιστευτικών οικονομικών πληροφοριών. Σε μια επακόλουθη κλήση, το deepfake αντέγραψε ακόμη και τη νοτιοϊταλική προφορά του Vigna.
Ευτυχώς, ένα στέλεχος άρχισε να υποψιάζεται και έκανε μια απλή ερώτηση: "Ποιος ήταν ο τίτλος του βιβλίου που μου συστήσατε την περασμένη εβδομάδα;" Όταν η τεχνητή νοημοσύνη δεν μπόρεσε να απαντήσει, η απάτη κατέρρευσε.
Μερικές φορές, η πιο εξελιγμένη τεχνολογία μπορεί να νικηθεί από τα πιο απλά ανθρώπινα πρωτόκολλα. Η παρ' ολίγον κλήση της Ferrari καταδεικνύει τόσο την ποιότητα των σύγχρονων deepfakes όσο και τη δύναμη των προσωπικών μεθόδων επαλήθευσης.
Μελέτη περίπτωσης 3: Η παγίδα του Microsoft Teams της WPP
Εταιρεία: WPP (ο μεγαλύτερος διαφημιστικός όμιλος στον κόσμο)
Στόχος: Διευθύνων Σύμβουλος Mark Read
Μέθοδος: Λογαριασμός WhatsApp + συνάντηση Teams με φωνητικό κλώνο και υλικό από το YouTube
Ημερομηνία: Μάιος 2024
Αποτελέσματα: Αποτρέπεται
Οι εγκληματίες του κυβερνοχώρου δημιούργησαν έναν ψεύτικο λογαριασμό WhatsApp χρησιμοποιώντας δημόσια διαθέσιμες φωτογραφίες του διευθύνοντος συμβούλου της WPP, Mark Read. Στη συνέχεια χρησιμοποίησαν αυτό το υλικό για να προγραμματίσουν μια συνάντηση Microsoft Teams με ένα άλλο υψηλόβαθμο στέλεχος, χρησιμοποιώντας τον λογαριασμό, ζητώντας πρόσβαση σε άμεση χρηματοδότηση και προσωπικές πληροφορίες για μια "νέα επιχείρηση".
Κατά τη διάρκεια της βιντεοκλήσης, οι απατεώνες χρησιμοποίησαν έναν συνδυασμό τεχνολογίας κλωνοποίησης φωνής και καταγεγραμμένου υλικού από το YouTube για να υποδυθούν τον Read.
Απάντηση του CEO Mark Read: "Ευτυχώς, οι επιτιθέμενοι δεν τα κατάφεραν. Όλοι πρέπει να είμαστε σε εγρήγορση για τις τεχνικές που υπερβαίνουν τα μηνύματα ηλεκτρονικού ταχυδρομείου και εκμεταλλεύονται τις εικονικές συναντήσεις, την τεχνητή νοημοσύνη και τα deepfakes".
Η περίπτωση της WPP δείχνει πώς τα στελέχη με μεγάλη παρουσία στα μέσα ενημέρωσης είναι ακόμη πιο ευάλωτα. Ο μεγάλος αριθμός δημόσιων φωτογραφιών και βίντεο τους δίνει στους εγκληματίες το τέλειο υλικό για να δημιουργήσουν deepfakes.
Μελέτη περίπτωσης 4: Το σύστημα "AI Hologram" της Binance
Εταιρεία: Binance (η μεγαλύτερη πλατφόρμα κρυπτονομισμάτων στον κόσμο)
Στόχος: Patrick Hillmann, Διευθυντής Επικοινωνίας
Μέθοδος: Βιντεοδιάσκεψη "ολόγραμμα" με χρήση υλικού τηλεοπτικής συνέντευξης
Ημερομηνία: 2022 (πρώιμη μείζων περίπτωση)
Αποτελέσματα: Πολλαπλά έργα κρυπτογράφησης εξαπατήθηκαν
Εξελιγμένοι χάκερ κατασκεύασαν αυτό που ο Χίλμαν αποκάλεσε "ολόγραμμα τεχνητής νοημοσύνης", χρησιμοποιώντας αποσπάσματα από τις τηλεοπτικές και ειδησεογραφικές εμφανίσεις του. Το deepfake ήταν τόσο πειστικό που εξαπάτησε με επιτυχία πολλούς εκπροσώπους της κρυπτογράφησης κατά τη διάρκεια κλήσεων Zoom.
Οι εγκληματίες χρησιμοποίησαν αυτή την τεχνολογία για να υποδυθούν τον Hillmann σε συναντήσεις έργων που αναζητούσαν καταχωρίσεις στο Binance. Αυτές είναι μία από τις πιο πολύτιμες εγκρίσεις στη βιομηχανία κρυπτογράφησης.
Σύμφωνα με τον Hillmann, "...εκτός από τα 15 κιλά που πήρα κατά τη διάρκεια του COVID που απουσίαζαν αισθητά, αυτή η βαθιά απάτη ήταν αρκετά εκλεπτυσμένη ώστε να ξεγελάσει αρκετά εξαιρετικά ευφυή μέλη της κοινότητας των κρυπτογράφων."
Η υπόθεση Binance αποτέλεσε μια πρώιμη προειδοποίηση ότι οι εγκληματίες προχωρούσαν πέρα από τους απλούς κλώνους φωνής σε εξελιγμένες μιμήσεις βίντεο που στόχευαν συγκεκριμένες επιχειρηματικές διαδικασίες.
Μελέτη περίπτωσης 5: Το εσωτερικό κάλεσμα αφύπνισης της LastPass
Εταιρεία: LastPass (Κυβερνοασφάλεια/Διαχείριση κωδικών πρόσβασης)
Στόχος: Διευθύνων Σύμβουλος της εταιρείας
Μέθοδος: Κλήσεις WhatsApp, κείμενα και μίμηση φωνητικού ταχυδρομείου
Ημερομηνία: Αρχές 2024
Αποτελέσματα: Αποτρέπεται
Οι απατεώνες Deepfake στόχευσαν την LastPass μέσω WhatsApp (καλούσαν, έστελναν μηνύματα και άφηναν φωνητικά μηνύματα), ενώ παρίσταναν πειστικά τον διευθύνοντα σύμβουλο της εταιρείας.
Ο υπάλληλος που έγινε στόχος παρατήρησε αρκετές κόκκινες σημαίες:
- Οι επικοινωνίες πραγματοποιήθηκαν εκτός του κανονικού ωραρίου εργασίας,
- Το αίτημα ήταν ασυνήθιστα επείγον (κοινή τακτική απάτης),
- Το κανάλι και η προσέγγιση παρέκκλιναν από τα συνήθη πρωτόκολλα επικοινωνίας της εταιρείας.
Εάν οι επαγγελματίες της κυβερνοασφάλειας μπορούν να αποτελέσουν στόχο με επιτυχία, κάθε οργανισμός πρέπει να υποθέσει ότι είναι ευάλωτος.
Το μοτίβο πίσω από τις υποθέσεις
Η ανάλυση αυτών των εξακριβωμένων περιστατικών αποκαλύπτει μια συνεπή εγκληματική μεθοδολογία:
Το προφίλ τρωτότητας των στελεχών
Οι έρευνες δείχνουν ότι ορισμένα εκτελεστικά χαρακτηριστικά αυξάνουν τον κίνδυνο στόχευσης με deepfake:
- Σημαντική παρουσία στα μέσα ενημέρωσης (τηλεοπτικές συνεντεύξεις, podcasts, συνέδρια)
- Διαθέσιμο υλικό από δημόσιες ομιλίες στο διαδίκτυο
- Αρχή χορήγησης οικονομικής εξουσιοδότησης
- Διασυνοριακές επιχειρηματικές δραστηριότητες
- Θέσεις υψηλού προφίλ στον κλάδο
Γεωγραφικές εστίες:
- Χονγκ Κονγκ (χρηματοπιστωτικός κόμβος, ρυθμιστική πολυπλοκότητα)
- Βόρεια Αμερική (υψηλή ψηφιακή υιοθέτηση, μεγάλη οικονομία)
- Ευρώπη (η συμμόρφωση με τον GDPR δημιουργεί προκλήσεις επαλήθευσης)
Ο ανθρώπινος παράγοντας
Ακόμη και με όλη την τεχνολογική πολυπλοκότητα, πολλές επιθέσεις εξακολουθούν να βασίζονται στη βασική ανθρώπινη ψυχολογία:
- Μεροληψία εξουσίας (εντολές από αντιλαμβανόμενους ανωτέρους)
- Επείγουσα πίεση (τεχνητοί χρονικοί περιορισμοί)
- Εκκλήσεις εμπιστευτικότητας (ειδική πρόσβαση, εμπιστευτικές πληροφορίες)
- Κοινωνική απόδειξη (παρουσία πολλών "συναδέλφων")
Τα στελέχη που επέζησαν από αυτές τις επιθέσεις έχουν κοινά χαρακτηριστικά: υγιή σκεπτικισμό, πρωτόκολλα επαλήθευσης και ομαδική επικοινωνία σχετικά με πιθανές απειλές.
Όπως αποδεικνύει το παράδειγμα της Ferrari, μερικές φορές μια απλή ερώτηση μπορεί να νικήσει τεχνολογία εκατομμυρίων δολαρίων.
Αναφορές
CNN (4 Φεβρουαρίου 2024) - "Ο εργαζόμενος στον τομέα των οικονομικών πληρώνει $25 εκατομμύρια μετά από βιντεοκλήση με deepfake 'chief financial officer'"
Fortune (17 Μαΐου 2024) - "Ένας ψεύτικος "οικονομικός διευθυντής" ξεγέλασε τη βρετανική εταιρεία σχεδιασμού πίσω από την Όπερα του Σίδνεϊ σε απάτη ύψους $25 εκατομμυρίων"
The Guardian - Απόσπασμα του Rob Greig για τις επιθέσεις της Arup
MIT Sloan Management Review (27 Ιανουαρίου 2025) - "Πώς η Ferrari πάτησε φρένο σε έναν CEO Deepfake"
The Guardian (Μάιος 2024) - Ο διευθύνων σύμβουλος της WPP Mark Read deepfake προσπάθεια
Incode Blog (20 Δεκεμβρίου 2024) - "Οι 5 κορυφαίες περιπτώσεις απάτης AI Deepfake από το 2024 εκτίθενται"
Binance Blog - "Οι απατεώνες δημιούργησαν ένα ολόγραμμά μου με τεχνητή νοημοσύνη για να εξαπατήσουν ανυποψίαστα έργα" του Patrick Hillmann
Euronews (24 Αυγούστου 2022) - "Το στέλεχος της Binance λέει ότι οι απατεώνες δημιούργησαν ένα "ολόγραμμα" deepfake του"
Eftsure US - "7 παραδείγματα επιθέσεων Deepfake: - LastPass case