Ihre Kontrollen vertrauen noch immer einer Stimme

Die meisten Prozesse zur Zahlungsfreigabe wurden um eine einfache Annahme herum entworfen. Eine vertraute Stimme am Telefon oder ein bekanntes Gesicht in einem Videoanruf galt als Beweis dafür, dass die Anfrage echt war. Jahrzehntelang hielt diese Annahme, weil das Fälschen von beidem schwierig, langsam und teuer war.

Das ist nicht mehr der Fall. Ein überzeugender Stimmklon lässt sich aus wenigen Sekunden Audio erstellen, die Ihre Führungskräfte in Telefonkonferenzen, Vorträgen und Interviews längst veröffentlicht haben. Video-Deepfakes in Echtzeit laufen inzwischen durch gewöhnliche Meeting-Werkzeuge. Die Kontrolle, die Ihre Zahlungsmittel schützte, war nie die Technik. Es war die Schwierigkeit der Nachahmung, und diese Schwierigkeit ist verschwunden.

Der Angriff zielt auf den Prozess, nicht auf die Software

Die Nachahmung von Führungskräften macht inzwischen rund ein Viertel der Verluste durch Deepfake-Betrug aus, und die Methode ist immer dieselbe. Jemand in der Finanzabteilung erhält eine dringende Anfrage, die von einer Führungsperson zu stammen scheint, manchmal während eines Live-Anrufs, bei dem jedes Gesicht auf dem Bildschirm synthetisch ist. Der Druck entsteht durch Autorität und Zeit, nicht durch eine durchbrochene Firewall.

Deshalb lösen Erkennungswerkzeuge allein das Problem nicht. Die Schwachstelle ist der Arbeitsablauf, der es einer einzelnen Person erlaubt, allein aufgrund einer bekannten Stimme Geld zu bewegen. In einem Fall gab ein Mitarbeiter der Finanzabteilung nach einer einzigen gefälschten Videokonferenz 25 Millionen Dollar über 15 getrennte Überweisungen frei. Es war keine Schadsoftware beteiligt. Der Prozess tat genau das, wofür er gebaut worden war.

Die Freigabe um die Verifizierung herum neu aufbauen

Die Lösung ist organisatorisch, und sie ist wenig glanzvoll. Zahlungsbefugnis sollte niemals auf einer Stimme oder einem Gesicht beruhen. Jede Überweisung oberhalb einer festgelegten Schwelle braucht eine Bestätigung über einen separaten Kanal, einen zweiten Freigeber, der nicht am ursprünglichen Anruf beteiligt war, und eine bekannte Rückrufnummer, die der Anfragende niemals selbst angibt.

Nichts davon erfordert neue Software, und genau das ist der Punkt. Es erfordert eine schriftliche Regel, die unter Druck hält, auch dann, wenn die Person am Telefon genau wie Ihr Geschäftsführer klingt. Sicher bleiben werden die Unternehmen, die im Voraus entschieden haben, dass Dringlichkeit kein Grund ist, einen Schritt zu überspringen.

Weiterlesen: Shadow AI ist Ihr nächster Datenverlust  ·  Die Inhalte Ihrer KI können Sie vor Gericht bringen