Säkerhetsklocka: scammare går phishing med deepfakes

Jag får inte många frågor om mitt jobb från min familj. De är, förståeligt, mycket mer intresserade av hijinks av mina råttor och min hund. Men när jag blir frågad om säkerhet vill människor alltid veta varför de dåliga sakerna händer. Det finns många svar på den frågan, men det jag alltid kommer tillbaka till är enkelt: pengar.

Ransomware? Enkla kontanter för angripare. Phishing? Ingenting annat än kontanter. Spam? Alla typer av sätt att tjäna pengar på att klicka på länkar. Dataöverträdelser? De sakerna används för bedrägeri och resten säljs (används för mer bedrägeri). Nationstatsattacker? Visst finns det ideologi, men när du anser att USA: s sanktioner utan tvekan spelade en roll i Rysslands motiv för att attackera valet 2016, står pengar i ekvationen. Och det är för att inte nämna nationella hackare månljus för extra pengar.

Inte på den listan finns deepfakes, videor som har manipulerats, vanligtvis med AI-driven teknik. Vi har sett kändisars ansikten bytas ut på porrstjärnors kroppar och politikernas ansikten och röster manipulerade för att få dem att se ut som de faktiskt inte sa. Ibland är de gjorda för att främja mycket inflammatoriska konspirationer; mer lumska är de gånger de manipuleras för att säga att saker som kan antydas att tittarna kan ha problem att skilja sig från sanningen.

Deepfakes har talats mycket om de senaste månaderna av rädsla för att de skulle kunna användas i felinformationskampanjer för att förvirra väljare. Det har inte hänt i stor skala (ännu), men pornografiska djupförfalskningar har redan skadat många individer. Så varför kallar vi detta ett växande hot? Förmodligen för att det inte fanns ett uppenbart sätt att direkt tjäna pengar på dem. Det förändrades den här veckan, eftersom det rapporteras att deepfakes har använts för att fleece-företag för hundratusentals dollar.

Nya verktyg, samma gamla Con

I efterhand skulle jag ha sett det komma. Socialteknik - ett snyggt sätt att säga ”lura människor” - är ett verktyg för att respektera digital säkerhet eller helt enkelt tjäna pengar snabbt. Tillägget av deepfakes i trickery är perfekt passform.

Wall Street Journal rapporterade att några smarta angripare byggde en djup röstmodell som de brukade för att övertyga en annan anställd om att de pratade med företagets VD. Anställden godkände sedan en banköverföring på cirka 243 000 dollar. I sin egen rapportering skrev The Washington Post: "Forskare vid cybersecurity-företaget Symantec sa att de har funnit att minst tre fall där chefsröster imiteras för att svindla företag." Den uppskattade transporten mäts i miljoner dollar.

För min egen uppbyggnad, satte jag mig ner och försökte spåra historien om djupfiskar. Det är verkligen ett koncept för den falska nyheterna, och började i slutet av 2017 i en Vice-artikel om ansiktsbytad pornografi publicerad på Reddit. Den första användningen av "deepfakes" var faktiskt användarnamnet för den enskilda som publicerade de pornografiska videorna som innehöll ansiktet, men inte kroppen, från Gal Gadot, Scarlett Johansson och andra.

På bara några månader flyttade oroen för djupförfalskningar till politik. Videor dök upp som lampooning politiska figurer, och det är här jag (och de flesta av resten av säkerhetsgemenskapen) fastnat. I kölvattnet av den felaktiga informationen från Ryssland under det amerikanska valet 2016, var (och är det fortfarande) en idiot om nästan oskiljaktiga falska videor som översvämmade 2020-valcykeln. Det tar också rubriker och är ett av de projekt för allmänheten som säkerhetsföretag verkligen gillar.

Jag skulle vara försenad om jag inte påpekade begränsningarna av deepfakes. För det första behöver du ljudklipp från den person du försöker efterge dig. Det är därför kändisar och politiker i det nationella rampljuset är uppenbara mål för deepfakery. Forskare har emellertid redan visat att det bara krävs cirka en minut ljud för att skapa ett övertygande ljuddjup. Att lyssna på ett offentligt investerarsamtal, nyhetsintervju eller (Gud hjälper dig) ett TED-samtal skulle förmodligen vara mer än tillräckligt.

Jag undrar också hur väl din deepfake-modell även behöver fungera för att vara effektiv. En låg anställd, till exempel, kanske inte har någon aning om hur VD låter (eller till och med ser ut), vilket får mig att undra om någon rimlig trovärdig och auktoritativ röst räcker för att få jobbet gjort.

Varför pengarna är viktiga

Kriminella är smarta. De vill tjäna så mycket pengar som de kan, snabbt, enkelt och med minsta risk. När någon räknar ut ett nytt sätt att göra dessa saker följer andra. Ransomware är ett bra exempel. Kryptering har funnits i decennier, men när brottslingar började vapenera det för enkla pengar ledde det till en explosion av ransomware.

Deepfakes som framgångsrikt används som ett verktyg i vad som motsvarar en specialiserad spearfishingattack är ett bevis på ett nytt koncept. Det kanske inte går ut på samma sätt som ransomware - det kräver fortfarande betydande ansträngningar och enklare bedrägerier fungerar. Men brottslingar har bevisat att djupfusk kan fungera på detta nya sätt, så vi borde åtminstone förvänta oss några mer kriminella experiment.

• Hur man skyddar USA: s val innan det är för sent Hur man skyddar USA: s val innan det är för sent
• Valpåverkanskampanjer: för billigt för att svindlare ska gå vidare
• Ryska Intel-byråer är ett giftigt stuv av konkurrens och Sabotage Ryska Intel-byråer är ett giftigt stuv av konkurrens och Sabotage

I stället för att rikta in sig på VD kan svindlare rikta sig till vanliga människor för mindre utbetalningar. Det är inte svårt att föreställa sig en bedrägeri som använder videor postade på Facebook eller Instagram för att skapa djupa röstmodeller för att övertyga människor om att deras familjemedlemmar behöver mycket pengar som skickas via banköverföring. Eller kanske kommer den blomstrande robocall-industrin att få ett djupt falskikt för extra förvirring. Du kanske hör en väns röst förutom att du ser ett bekant telefonnummer. Det finns inte heller någon anledning till att dessa processer inte kan automatiseras i viss utsträckning genom att rensa ut röstmodeller och springa igenom förordnade skript.

Inget av detta är att diskontera de potentiella skadorna på djupfusk vid val eller de pengar som är bundna i dessa operationer. När kriminella blir mer skickliga med deepfake-verktyg och dessa verktyg blir bättre, är det möjligt att en marknad för deepfakes-for-hire kan dyka upp. Precis som dåliga killar kan hyra tid på botnät för avskräckta ändamål, kan kriminella företag som är dedikerade till att skapa djupförfalskningar på kontrakt.

Lyckligtvis skapar ett ekonomiskt incitament för de onda killarna ett för de goda killarna. Ökningen av ransomware ledde till bättre antimalware för att upptäcka skadlig kryptering och förhindra det från att ta över system. Det finns redan arbete som görs för att upptäcka deepfakes, och förhoppningsvis kommer dessa ansträngningar bara att vara överladdade av ankomsten av deepfake-phishing. Det är liten tröst för de människor som redan har blivit lurade, men det är goda nyheter för oss andra.