Uw controles vertrouwen nog steeds op een stem

De meeste processen voor het goedkeuren van betalingen zijn ontworpen rond een simpele aanname. Een vertrouwde stem aan de telefoon, of een herkend gezicht in een videogesprek, gold als bewijs dat het verzoek echt was. Decennialang hield die aanname stand, omdat het nabootsen van beide moeilijk, traag en duur was.

Dat is niet langer waar. Een overtuigende stemkloon kan worden gebouwd uit enkele seconden audio die uw bestuurders al hebben gepubliceerd in cijferpresentaties, conferentielezingen en interviews. Realtime video-deepfakes komen nu probleemloos door gewone vergadertools. De controle die uw treasury beschermde, was nooit de technologie. Het was de moeilijkheid van imitatie, en die moeilijkheid is verdwenen.

De aanval richt zich op processen, niet op software

Imitatie van bestuurders is nu goed voor ongeveer een kwart van de deepfake-fraudeverliezen, en de methode is consistent. Iemand op de financiele afdeling ontvangt een dringend verzoek dat afkomstig lijkt van een senior leidinggevende, soms tijdens een live gesprek waarin elk gezicht op het scherm synthetisch is. De druk komt van autoriteit en tijd, niet van een gehackte firewall.

Daarom lossen detectietools alleen het probleem niet op. De zwakte zit in de werkstroom die een enkele persoon geld laat overmaken op basis van een herkende stem. In een geval gaf een financieel medewerker 25 miljoen dollar vrij, verdeeld over 15 afzonderlijke overboekingen, na een enkele nagebootste videoconferentie. Er was geen malware bij betrokken. Het proces deed precies waarvoor het was gebouwd.

Herbouw autorisatie rond verificatie

De oplossing is organisatorisch, en ze is weinig spectaculair. Betalingsbevoegdheid mag nooit rusten op een stem of een gezicht. Elke overboeking boven een vastgestelde drempel vereist bevestiging via een apart kanaal, een tweede goedkeurder die niet bij het oorspronkelijke gesprek aanwezig was, en een bekend terugbelnummer dat de aanvrager nooit zelf aanlevert.

Niets hiervan vereist nieuwe software, en dat is precies het punt. Het vereist een geschreven regel die standhoudt onder druk, ook wanneer de persoon aan de lijn exact klinkt als uw bestuursvoorzitter. De bedrijven die veilig blijven, zijn de bedrijven die vooraf hebben besloten dat haast geen reden is om een stap over te slaan.

Lees hierna: Shadow AI is uw volgende datalek  ·  De content van je AI kan je een rechtszaak opleveren