Securitywatch: dolandırıcılar deepfakes ile kimlik avı yapmak

Ailemden işim hakkında pek fazla soru alamıyorum. Onlar anlaşılır bir şekilde, farelerimin ve köpeğimin kötülüğü ile çok daha fazla ilgileniyorlar. Ancak güvenlik hakkında soru sorulduğunda, insanlar her zaman kötü şeylerin neden olduğunu bilmek istiyorlar. Bu sorunun çok cevabı var, ama her zaman geri döndüğüm tek şey basit: para.

Ransomware? Saldırganlar için kolay para. E-dolandırıcılık? Nakitten başka bir şey yok. İstenmeyen e? Bağlantıları tıklayan insanları para kazanmanın her türlü yolu. Veri ihlalleri? Bu şeyler dolandırıcılık için kullanılır ve gerisi satılır (daha fazla dolandırıcılık için kullanılır). Ulus devlet saldırıları? Elbette ideoloji var, ancak ABD'nin yaptırımlarının şüphesiz Rusya'nın 2016 seçimlerine saldırı motivasyonunda rol oynadığını düşündüğünüzde, para denklemde. Ve bu, ulus devlet hacker'larının ekstra para için ay ışığından bahsetmediğinden bahsetmiyor.

Bu listede değil, genellikle AI güdümlü teknolojiyi kullanan, derin baskılar, tahrif edilmiş videolar. Ünlülerin yüzlerinin porno yıldızlarının vücutlarına, politikacıların yüzlerini ve seslerinin, söylemedikleri şeyleri söylerken görünmelerini sağlamak için manipüle edildiğini gördük. Bazen vahşi inflamatuar komploları teşvik etmek için yapılırlar; daha sinsi, düşündürücü olan şeylerin gerçeği ayırt etmekte zorlanabileceğini düşündüren şeyleri söyleme konusunda manipüle edildikleri zamanlardır.

Son aylarda seçmenlerin kafasını karıştırmak için yanlış bilgilendirme kampanyalarında kullanılabilecekleri korkusuyla derin derinliklerden çok söz edildi. Bu henüz büyük bir ölçekte gerçekleşmedi, ancak pornografik derin sahiller zaten birçok kişiye zarar verdi. Öyleyse neden buna yeni bir tehdit diyoruz? Muhtemelen, doğrudan para kazanma yollarının açık bir yolu olmadığı için. Bu hafta değişti, rapor edildiği gibi, derin yüzlerin şirketlere yüzbinlerce dolar kazandırdığı bildirildi.

Yeni Araçlar, Aynı Eski Con

Gezerken, geldiğini görmeliydim. Sosyal mühendislik - "insanları kandırmak" demenin süslü bir yolu - dijital güvenliği ihlal etmek ya da sadece hızlı para kazanmak için zaman kazandıran bir araçtır. Kandırmacaya derin ayakların eklenmesi mükemmel bir seçimdir.

Wall Street Journal, bazı akıllı saldırganların, başka bir çalışanı şirketin CEO'su ile konuştuklarına ikna etmek için kullandıkları derin bir ses modeli kurduğunu bildirdi. Çalışan daha sonra 243.000 dolarlık bir havale işlemine izin verdi. The Washington Post kendi raporunda, “Siber güvenlik firması Symantec'teki araştırmacılar, yöneticilerin seslerinin en az üçünün dolandırıcılık şirketlerine taklit edildiğini bulduğunu söyledi” dedi. Tahmini mesafe milyonlarca dolar olarak ölçülüyor.

Kendi düzenlemem için oturdum ve deepfakes tarihini izlemeye çalıştım. Bu gerçekten sahte haber dönemi için bir kavramdır ve 2017 yılının sonlarında Reddit'te yayınlanan yüz pornografisine ilişkin bir Vice makalesinde başlamıştır. “Deepfakes” in ilk kullanımı aslında Gal Gadot, Scarlett Johansson ve diğerlerinin gövdelerini değil, yüzlerini gösteren pornografik videoları yayınlayan kişinin kullanıcı adıydı.

Birkaç ay içinde, derin sahiller üzerindeki endişe siyasete taşındı. Videolar, politik figürlere işaret ediyor gibi göründü ve bu, (ve güvenlik topluluğunun geri kalanının çoğunun) sıkışıp kaldığı yerdi. 2016 ABD seçimleri sırasında Rusya’nın yanlış bilgilendirilmesinin ardından, 2020 seçim döngüsünü süzülen neredeyse ayırt edilemez sahte videoların fikri bir felaketti. Aynı zamanda manşetleri kapıyor ve güvenlik şirketlerinin gerçekten sevdiği kamu yararına yönelik projelerden biri.

Deepfakes'in sınırlamalarına dikkat etmeseydim, çok üzülürdüm. Birincisi, kimliğine bürünmeye çalıştığınız kişinin ses kliplerine ihtiyacınız var. Bu nedenle, ulusal projektördeki ünlüler ve politikacılar derin üretim için bariz hedefler. Ancak araştırmacılar, ikna edici bir ses derinliği oluşturmak için yalnızca bir dakikalık bir sesin gerekli olduğunu zaten göstermiştir. Bir kamu yatırımcısı çağrısını dinlemek, haber röportajı veya (Tanrı size yardım eder) bir TED konuşması muhtemelen fazlasıyla yeterli olacaktır.

Ayrıca, derin modelinizin etkili olması için ne kadar iyi çalışması gerektiğini merak ediyorum. Örneğin, düşük seviyeli bir çalışan, CEO’nun neye benzediği (veya nasıl göründüğü) hakkında hiçbir fikre sahip olmayabilir, bu da herhangi bir makul makul ve güvenilir sesin işin yapılması için yeterli olup olmadığını merak etmemi sağlayabilir.

Para Neden Önemli?

Suçlular akıllıdır. Hızlı, kolay ve en az riskle olabildiğince çok para kazanmak istiyorlar. Birileri bunları yapmanın yeni bir yolunu bulduğunda diğerleri bunu takip eder. Fidye yazılımı harika bir örnek. Şifreleme, yıllardır civarındadır, ancak suçlular parayı kolay bir şekilde silahlandırmaya başladığında, fidye yazılımının patlamasına neden oldu.

Deepfakes, uzmanlaşmış bir spearfishing saldırısının miktarının yeni bir konseptin kanıtı olduğu bir araç olarak başarıyla kullanılıyor. Belki de fidye yazılımıyla aynı şekilde panele kapılmıyor - yine de büyük çaba gerektiriyor ve daha basit dolandırıcılık çalışmaları gerekiyor. Ancak suçlular derin suların bu yeni şekilde çalışabileceğini kanıtladılar, bu yüzden en azından biraz daha cezai deney beklemeliyiz.

• Çok geç olmadan ABD seçimleri nasıl korunur Çok geç olmadan ABD seçimleri nasıl korunur
• Seçim Etkisi Kampanyaları: Dolandırıcılar için Çok Ucuz Seçim Etkisi Kampanyalar: Dolandırıcılar İçin Çok Ucuz
• Rus Intel Ajansları Zehirli Bir Rekabet ve Sabotaj Oynuyor Rus Rus Ajansları Zehirli Bir Rekabet ve Sabotaj Oynuyor

Dolandırıcılar, CEO'ları hedeflemek yerine, daha küçük ödemeler için normal kişileri hedefleyebilir. İnsanları aile üyelerine banka havalesiyle gönderilen çok paraya ihtiyaç duymaya ikna etmek için derin ses modelleri oluşturmak için Facebook veya Instagram'da yayınlanan videoları kullanarak bir dolandırıcıyı hayal etmek zor değil. Veya belki de gelişen robocall endüstrisi, kafa karışıklığı için derin bir katman yaratacaktır. Tanıdık bir telefon numarası görmenin yanı sıra bir arkadaşınızın sesini de duyabilirsiniz. Ayrıca, bu işlemlerin belirli bir dereceye kadar otomatik hale getirilememesi, ses modellerini çalkalaması ve önceden belirlenmiş senaryolardan geçmesi için hiçbir neden yoktur.

Bunların hiçbiri, seçimlerdeki derin ayakların potansiyel hasarını veya bu faaliyetlere bağlı parayı indirgemek değildir. Suçlular deepfake araçlarıyla daha ustalaştığında ve bu araçlar daha iyi hale geldikçe, kiralık deepfakes pazarının ortaya çıkması mümkündür. Kötü adamlar botnetlerde boş amaçlar için zaman kiralayabildikleri gibi, sözleşmelerde derin temeller oluşturmaya adanmış suç şirketleri görünebilir.

Neyse ki, kötü adamlar için parasal bir teşvik, iyi adamlar için bir tane yaratır. Fidye yazılımının yükselişi, kötü amaçlı şifrelemeyi algılamak ve sistemleri ele geçirmesini önlemek için daha iyi kötü amaçlı yazılım önlenmesine neden oldu. Derin yüzeyleri tespit etmek için zaten yapılmış çalışmalar var ve umarım, bu çabalar yalnızca derinlemesine sahtecilikle avlanma ile güçlendirilecektir. Bu zaten dolandırılmış insanlar için küçük bir rahatlık, ancak geri kalanımız için iyi bir haber.