Twoje kontrole wciąż ufają głosowi

Większość procesów zatwierdzania płatności zaprojektowano wokół prostego założenia. Znajomy głos w słuchawce albo rozpoznawalna twarz na rozmowie wideo traktowano jako dowód, że prośba jest prawdziwa. Przez dziesięciolecia to założenie się sprawdzało, ponieważ podrobienie jednego czy drugiego było trudne, powolne i kosztowne.

To już nieprawda. Przekonujący klon głosu można zbudować z kilku sekund nagrania, które Twoi członkowie zarządu już opublikowali na konferencjach wynikowych, prelekcjach i w wywiadach. Deepfake wideo w czasie rzeczywistym przechodzi dziś przez zwykłe narzędzia do spotkań. Kontrola, która chroniła Twoją kasę, nigdy nie była technologią. Była nią trudność podszywania się, a ta trudność zniknęła.

Atak celuje w proces, nie w oprogramowanie

Podszywanie się pod kadrę zarządzającą odpowiada dziś za około ćwierć strat z oszustw deepfake, a metoda jest spójna. Ktoś w dziale finansów otrzymuje pilną prośbę, która zdaje się pochodzić od wysokiego rangą przełożonego, czasem podczas rozmowy na żywo, gdzie każda twarz na ekranie jest syntetyczna. Naciskiem jest autorytet i czas, a nie przełamana zapora sieciowa.

Dlatego same narzędzia wykrywające tego nie rozwiązują. Słabym punktem jest przepływ pracy, który pozwala jednej osobie przesunąć pieniądze na podstawie rozpoznanego głosu. W jednym przypadku pracownik finansowy uwolnił 25 milionów dolarów w 15 osobnych przelewach po jednej sfałszowanej wideokonferencji. Nie było żadnego złośliwego oprogramowania. Proces zrobił dokładnie to, do czego go zbudowano.

Przebuduj autoryzację wokół weryfikacji

Lekarstwo jest organizacyjne i nieefektowne. Uprawnienie do płatności nigdy nie powinno opierać się na głosie ani na twarzy. Każdy przelew powyżej ustalonego progu wymaga potwierdzenia przez osobny kanał, drugiej osoby zatwierdzającej, która nie była na pierwotnej rozmowie, oraz znanego numeru oddzwaniającego, którego proszący nigdy nie podaje.

Nic z tego nie wymaga nowego oprogramowania i o to właśnie chodzi. Wymaga spisanej reguły, która wytrzymuje pod presją, także wtedy, gdy osoba na linii brzmi dokładnie jak Twój prezes. Bezpieczne pozostaną te firmy, które z góry zdecydowały, że pośpiech nie jest powodem, by pominąć krok.

Czytaj dalej: Shadow AI to Twój następny wyciek danych  ·  Treści tworzone przez Twoją AI mogą skończyć się pozwem