Os seus controlos ainda confiam numa voz
A maioria dos processos de aprovação de pagamentos foi concebida em torno de um pressuposto simples. Uma voz familiar ao telefone, ou um rosto reconhecido numa videochamada, era tratada como prova de que o pedido era real. Durante décadas esse pressuposto manteve-se, porque falsificar qualquer um deles era difícil, lento e caro.
Isso já não é verdade. Um clone de voz convincente pode ser construído a partir de poucos segundos de áudio que os seus executivos já publicaram em teleconferências de resultados, palestras em conferências e entrevistas. Os deepfakes de vídeo em tempo real passam agora pelas ferramentas de reunião comuns. O controlo que protegia a sua tesouraria nunca foi a tecnologia. Era a dificuldade da personificação, e essa dificuldade desapareceu.
O ataque visa o processo, não o software
A personificação de executivos representa hoje cerca de um quarto das perdas por fraude com deepfake, e o método é consistente. Alguém na área financeira recebe um pedido urgente que parece vir de um líder sénior, por vezes durante uma chamada ao vivo em que cada rosto no ecrã é sintético. A pressão é a autoridade e o tempo, não uma firewall comprometida.
É por isso que as ferramentas de deteção, por si só, não resolvem o problema. A fraqueza está no fluxo de trabalho que permite a uma pessoa mover dinheiro com base numa voz reconhecida. Num caso, um colaborador financeiro libertou 25 milhões de dólares em 15 transferências separadas após uma única videoconferência falsa. Não houve malware envolvido. O processo fez exatamente aquilo para que foi criado.
Reconstruir a autorização em torno da verificação
A solução é organizacional, e nada glamorosa. A autoridade de pagamento nunca deve assentar numa voz ou num rosto. Qualquer transferência acima de um limite definido precisa de confirmação por um canal separado, de um segundo aprovador que não estava na chamada original, e de um número de retorno conhecido que o solicitante nunca fornece.
Nada disto exige software novo, e é esse o ponto. Exige uma regra escrita que se mantenha sob pressão, inclusive quando a pessoa na chamada soa exatamente como o seu diretor executivo. As empresas que permanecem seguras serão aquelas que decidiram, com antecedência, que a urgência não é razão para saltar um passo.
Leia a seguir: A IA Sombra É a Sua Próxima Violação · O conteúdo da sua IA pode levar a empresa a tribunal