Todelliset Executive Deepfake -tapaukset: Kun toimitusjohtajista tulee kohteita

Viisi todennettua tapausta, jotka todistavat, ettei mikään toimistokulma ole turvassa tekoälyn jäljittelyltä.

Tapaustutkimus 1: Arupin $25M-katastrofi

Yritys: Arup (maailmanlaajuinen insinööritoimisto Sydneyn oopperatalon takana)
Tappio: $25,6 miljoonaa
Menetelmä: Usean henkilön videokonferenssi Deepfaked CFO:n ja henkilöstön kanssa.
Päivämäärä: Vuoden 2024 alussa

Tietoturva-asiantuntijat kutsuvat tätä yhdeksi hienostuneimmista koskaan tapahtuneista yrityksiin kohdistuneista väärennöshyökkäyksistä. Hongkongissa Arupin työntekijä osallistui rutiininomaiselta näyttäneeseen videopuheluun yrityksen Isossa-Britanniassa toimivan talousjohtajan ja muiden kollegojen kanssa. Kokous vaikutti lailliselta; osallistujat näyttivät ja kuulostivat täsmälleen oikeilta johtajilta.

Puhelun aikana työntekijää ohjeistettiin suorittamaan 15 erillistä maksutapahtumaa viidelle eri pankkitilille, joiden yhteismäärä oli $200 miljoonaa Hongkongin puntaa. 

Vasta tarkistettuaan asian yrityksen pääkonttorista työntekijä huomasi, että jokainen videopuhelun osallistuja oli ollut tekoälyn luoma väärennös.

Kyseessä ei ollut pelkkä ääniklooni tai staattinen kuva. Huijarit olivat luoneet reaaliaikaisen, vuorovaikutteisen videon useista johtajista samanaikaisesti, mikä oli niin monimutkaista, että se merkitsi uutta kehitystä yritysten tietoverkkorikollisuudessa.

"Kuten monet muutkin yritykset eri puolilla maailmaa, toimintamme ovat säännöllisten hyökkäysten kohteena, mukaan lukien laskutuspetokset, phishing-huijaukset, WhatsApp-äänen väärennökset ja deepfakes-huijaukset. Olemme havainneet, että näiden hyökkäysten määrä ja hienostuneisuus ovat lisääntyneet jyrkästi viime kuukausina." Rob Greig, Arup CIO

Tapaustutkimus 2: Ferrarin $40 miljoonan kysymys

Yritys: Ferrari
Kohde: Toimitusjohtaja Benedetto Vigna
Yritetty tappio: Julkistamaton (huhut viittaavat miljooniin)
Menetelmä: Deepfake AI-ääni eteläitalialaisella aksentilla
Päivämäärä: heinäkuu 2024
Tulos: Estetty

Ferrarin johtajat saivat WhatsAppin kautta viestejä, jotka näyttivät tulevan heidän toimitusjohtajaltaan Benedetto Vignalta, sekä hänen profiilikuvaansa ja yrityksen tuotemerkkiä. Viesteissä kerrottiin tulevasta suuresta yrityskaupasta ja vaadittiin luottamuksellisten taloudellisten tietojen välitöntä jakamista. Seuranneessa puhelussa deepfake jopa kopioi Vignan eteläitalialaisen aksentin. 

Onneksi eräs johtaja alkoi epäillä ja esitti yksinkertaisen kysymyksen: "Mikä oli sen kirjan nimi, jota suosittelit minulle viime viikolla?" Kun tekoäly ei osannut vastata, huijaus kariutui.

Joskus kaikkein kehittynein teknologia voidaan päihittää yksinkertaisimmilla inhimillisillä protokollilla. Ferrarin läheltä piti -tilanne osoittaa sekä nykyaikaisten syväväärennösten laadun että henkilökohtaisten todentamismenetelmien voiman.

Tapaustutkimus 3: WPP:n Microsoft Teams -loukku

Yritys: WPP (maailman suurin mainoskonserni)
Kohde: Toimitusjohtaja Mark Read
Menetelmä: WhatsApp-tili + Teamsin kokous äänikloonilla ja YouTube-materiaalilla.
Päivämäärä: Toukokuu 2024
Tulos: Estetty

Verkkorikolliset perustivat väärennetyn WhatsApp-tilin käyttäen WPP:n toimitusjohtajan Mark Readin julkisesti saatavilla olevia valokuvia. Tämän jälkeen he käyttivät tätä materiaalia sopiakseen Microsoft Teams -kokouksen toisen johtajan kanssa tiliä käyttäen ja pyysivät pääsyä välittömään rahoitukseen ja henkilökohtaisiin tietoihin "uutta liiketoimintaa" varten.

Videopuhelun aikana huijarit käyttivät äänen kloonaustekniikkaa ja nauhoitettua YouTube-materiaalia esiintyäkseen Readina. 

Toimitusjohtaja Mark Readin vastaus: "Onneksi hyökkääjät eivät onnistuneet. Meidän kaikkien on oltava valppaita tekniikoiden suhteen, jotka menevät sähköposteja pidemmälle ja hyödyntävät virtuaalikokouksia, tekoälyä ja syväväärennöksiä."

WPP:n tapaus osoittaa, että johtajat, joilla on suuri medianäkyvyys, ovat vielä haavoittuvampia. Heistä julkaistujen valokuvien ja videoiden suuri määrä antaa rikollisille täydellisen materiaalin väärennösten luomiseen.

Tapaustutkimus 4: Binance "AI Hologram" -järjestelmä

Yritys: Binance (maailman suurin kryptovaluutta-alusta)
Kohde: Patrick Hillmann, viestintäjohtaja
Menetelmä: Videokonferenssin "hologrammi" TV-haastattelumateriaalin avulla
Päivämäärä: 2022 (varhainen merkittävä tapaus)
Tulos: Useita kryptohankkeita petetty

Hienostuneet hakkerit rakensivat "tekoälyhologrammiksi" kutsutun hologrammin, jossa käytettiin Hillmannin tv- ja uutislähetysten pätkiä. Väärennös oli niin vakuuttava, että sillä onnistuttiin huijaamaan useita kryptoalan edustajia Zoom-puheluiden aikana.

Rikolliset käyttivät tätä tekniikkaa esiintyäkseen Hillmannina Binance-listoja etsivissä projektikokouksissa. Nämä ovat yksi kryptoalan arvokkaimmista vahvistuksista. 

Hillmannin mukaan,   "...lukuun ottamatta sitä, että COVIDin aikana saamani 15 kiloa puuttui selvästi, tämä syvä väärennös oli tarpeeksi hienostunut huijaamaan useita erittäin älykkäitä kryptoyhteisön jäseniä."

Binance-tapaus oli varhainen varoitus siitä, että rikolliset ovat siirtymässä pelkistä ääniklooneista kehittyneisiin videokopioihin, jotka kohdistuvat tiettyihin liiketoimintaprosesseihin.

Tapaustutkimus 5: LastPassin sisäinen herätyssoitto

Yritys: LastPass (Kyberturvallisuus / salasanojen hallinta)
Kohde: Yrityksen toimitusjohtaja
Menetelmä: WhatsApp-puhelut, tekstiviestit ja ääniviestin jäljittelyt
Päivämäärä: Vuoden 2024 alussa 

Tulos: Estetty

Deepfake-huijarit ottivat LastPassin kohteekseen WhatsAppin kautta (soittamalla, lähettämällä tekstiviestejä ja jättämällä ääniviestejä) ja esiintyivät vakuuttavasti yrityksen toimitusjohtajana.

Kohteeksi joutunut työntekijä huomasi useita punaisia lippuja:

• Viestintä tapahtui normaalin työajan ulkopuolella;
• Pyyntö oli epätavallisen kiireellinen (yleinen huijaustaktiikka);
• Kanava ja lähestymistapa poikkesivat yrityksen tavanomaisista viestintäprotokollista.

Jos kyberturvallisuuden ammattilaiset voivat joutua onnistuneesti hyökkäyksen kohteeksi, jokaisen organisaation on oletettava olevansa haavoittuvainen.

Tapausten taustalla oleva kuvio

Näiden todennettujen tapausten analysointi paljastaa johdonmukaisen rikollisen menetelmän:

Johdon haavoittuvuusprofiili

Tutkimukset osoittavat, että tietyt johtajan ominaisuudet lisäävät deepfake-kohderiskiä:

• Merkittävä medianäkyvyys (TV-haastattelut, podcastit, konferenssit).
• Julkinen puhuminen kuvamateriaalia saatavilla verkossa
• Rahoituslupaviranomainen
• Rajat ylittävä liiketoiminta
• Korkean profiilin toimipaikat teollisuudessa

Maantieteelliset kriisipisteet:

• Hongkong (rahoituskeskus, monimutkainen sääntely)
• Pohjois-Amerikka (suuri digitaalisen teknologian käyttöaste, suuri talous)
• Eurooppa (GDPR-vaatimusten noudattaminen luo todentamishaasteita)

Inhimillinen tekijä

Kaikesta teknologisesta kehittyneisyydestä huolimatta monet hyökkäykset perustuvat edelleen ihmisen peruspsykologiaan:

• auktoriteettipainotteisuus (esimiesten antamat käskyt)
• Kiireellisyyspaine (keinotekoiset aikarajoitukset)
• Luottamuksellisuutta koskevat vetoomukset (erityisoikeudet, sisäpiiritieto)
• Sosiaalinen todiste (useat "kollegat" läsnä)

Näistä hyökkäyksistä selvinneillä johtajilla on yhteisiä piirteitä: terve skeptisyys, tarkistusprotokollat ja tiimiviestintä mahdollisista uhkista.

Kuten Ferrarin esimerkki osoittaa, joskus yksinkertainen kysymys voi voittaa miljoonan dollarin teknologian.

Viitteet

CNN (4. helmikuuta 2024) - "Rahoitustyöläinen maksaa $25 miljoonaa videopuhelun jälkeen deepfake 'talousjohtajan' kanssa"

Fortune (17. toukokuuta 2024) - "Syvästi väärennetty 'talousjohtaja' huijasi Sydneyn oopperatalon takana olevaa brittiläistä suunnittelufirmaa $25 miljoonan euron petoksessa"

The Guardian - Rob Greigin lainaus Arupin hyökkäyksistä

MIT Sloan Management Review (27. tammikuuta 2025). - "Miten Ferrari jarrutti Deepfake-johtajaa"

The Guardian (toukokuu 2024) - WPP:n toimitusjohtaja Mark Read deepfake-yritys

Incode Blog (20. joulukuuta 2024) - "Top 5 tapausta tekoälyn Deepfake-huijauksesta vuodelta 2024 paljastui"

Binance Blogi - "Huijaajat loivat minusta tekoälyhologrammin huijatakseen pahaa-aavistamattomia projekteja", kirjoittanut Patrick Hillmann

Euronews (24. elokuuta 2022) - "Binance johtaja sanoo huijarit luonut deepfake 'hologrammi' hänestä"

Eftsure US - "7 esimerkkiä Deepfake-hyökkäyksistä: - LastPass-tapaus: Deepfake CEO -huijaukset" - LastPass case