Dine kontroller stoler stadig på en stemme

De fleste processer for betalingsgodkendelse blev bygget op omkring en enkel antagelse. En kendt stemme i telefonen, eller et genkendt ansigt på et videoopkald, blev behandlet som bevis på, at anmodningen var ægte. I årtier holdt den antagelse, fordi det var svært, langsomt og dyrt at forfalske bare en af delene.

Det gælder ikke længere. En overbevisende stemmeklon kan bygges af få sekunders lyd, som dine ledere allerede har offentliggjort i regnskabspræsentationer, konferenceoplæg og interviews. Deepfakes i realtid via video glider nu igennem helt almindelige mødeværktøjer. Den kontrol, der beskyttede din likviditet, var aldrig teknologien. Det var vanskeligheden ved efterligning, og den vanskelighed er væk.

Angrebet rammer processen, ikke softwaren

Efterligning af ledere står nu bag omtrent en fjerdedel af tabene ved deepfake-svindel, og metoden er konsekvent. Nogen i finansafdelingen modtager en hastende anmodning, der ser ud til at komme fra en topleder, undertiden under et liveopkald, hvor hvert eneste ansigt på skærmen er syntetisk. Presset er autoritet og tid, ikke en brændt firewall.

Derfor løser detektionsværktøjer det ikke alene. Svagheden er det arbejdsforløb, der lader en enkelt person flytte penge alene på baggrund af en genkendt stemme. I et tilfælde frigav en finansmedarbejder 25 millioner dollars fordelt på 15 separate overførsler efter en enkelt forfalsket videokonference. Der var ingen malware indblandet. Processen gjorde præcis det, den var bygget til.

Genopbyg godkendelsen omkring verifikation

Løsningen er organisatorisk, og den er uglamourøs. Betalingsbemyndigelse bør aldrig hvile på en stemme eller et ansigt. Enhver overførsel over en fastsat grænse kræver bekræftelse via en separat kanal, en anden godkender, der ikke var med på det oprindelige opkald, og et kendt tilbagekaldsnummer, som anmoderen aldrig selv oplyser.

Intet af dette kræver ny software, og det er netop pointen. Det kræver en nedskreven regel, der holder under pres, også når personen på opkaldet lyder præcis som din administrerende direktør. De virksomheder, der forbliver sikre, bliver dem, der på forhånd besluttede, at hastværk ikke er en grund til at springe et trin over.

Læs videre: Shadow AI er dit næste databrud  ·  Dit AI-indhold kan få dig sagsøgt