Umetna inteligenca v službi goljufov: ponaredijo celo glas

Čeprav bi ob poplavi novic o spletnih goljufijah težko dejali, da zanje niste vedeli, pa goljufi postajajo tako pretkani, da jih včasih res ni enostavno prepoznati, sploh ob vsesplošni dostopnosti do tehnologij umetne inteligence. Kot pojasnjujejo na Nacionalnem odzivnem centru za kibernetsko varnost SI-CERT, od sredine letošnjega leta zaznavajo pojav novih oblik spletnih napadov na slovenska podjetja, ki jih uvrščajo v kategorijo t. i. direktorskih prevar. Gre za ciljno usmerjene napade, pri katerih napadalci izkoriščajo pretirano zaupljivost v poslovni komunikaciji in pomanjkljive postopke preverjanja.

Kot pojasnjujejo na SI-CERT, napadalci najprej iz javno dostopnih virov, kot so spletna stran podjetja, objavljena letna poročila, objave na družbenih omrežjih itd., pridobijo podatke o poslovnih partnerjih podjetja. »Nato na ciljno osebo, pogosto v računovodskem ali finančnem oddelku, pošljejo potvorjeno elektronsko sporočilo, pri čemer se lažno izdajajo za enega od poslovnih partnerjev. Za namen napada lahko registrirajo domene, ki so podobne pravi domeni poslovnega partnerja ali pa uporabijo kar račun pri enem od ponudnikov brezplačne elektronske pošte,« pojasnjujejo.

Goljufi pošljejo obvestilo v imenu poslovnega partnerja, da uporabljajo nov bančni račun, na katerega želijo prejemati nadaljnja plačila za opravljene storitve. Kot razlog navedejo izmišljene okoliščine, denimo spremembo lastništva ali pripojitev k mednarodni družbi. Lažno sporočilo lahko vsebuje podpise, logotip ali pravno obvestilo, ki je ukradeno iz legitimne korespondence.

Primer potvorjenega sporočila FOTO: SI-CERT

Ponarejena korespondenca

Malo drugačna oblika tovrstne prevare pa v potvorjenem sporočilu vsebuje ponarejen pogovor z vodstvom podjetja. »Tako je videti, kot da je z direktorjem že vse dogovorjeno za plačilo, računovodstvo pa mora zgolj izvesti nakazilo. V lažnem pogovoru so navodila direktorja, naj poslovni partner pošlje podatke za nakazilo neposredno na naslov računovodstva,« izvemo.

Najbolj sofisticirana vrsta napada, ki običajno cilja na mednarodna podjetje s sedeži v različnih državah, lahko vsebuje lažen WhatsApp račun in deepfake posnetek. »Napadalci kontaktirajo predstavnike povezanih podjetij in se predstavljajo kot direktor ali druga oseba iz vodstva matičnega podjetja. Kontakte največkrat vzpostavijo prek omrežja WhatsApp, na katerem naredijo lažen račun direktorja. Napad lahko vsebuje telefonski ali videoklic, pri katerem je glas oziroma posnetek zmanipuliran z različnimi orodji umetne inteligence,« smo izvedeli.

Tak klic lahko na prvi pogled deluje zelo prepričljivo, kot da res kliče direktor podjetja. Scenarij običajno vključuje zaupno sporočilo o prevzemu nekega podjetja, v nadaljevanju pa sledi zahteva za nakazilo večjega zneska na neki tuji bančni račun.

»V nasprotju s prevarami z vrivanjem v poslovno komunikacijo, katerih bistveni element je predhoden vdor v elektronsko pošto, je direktorska prevara v svoji osnovi zelo preprosta, saj v večjem delu temelji zgolj na socialnem inženiringu. Ampak kljub temu je lahko zelo učinkovita in povzroči visoka oškodovanja,« še pojasnjuje na SI-CERT. Ker prevara vsebuje izredno malo tehničnih elementov, jo avtomatizirani sistemi za detekcijo zlorab zelo težko prepoznajo. Uspešnost pravočasne zaznave je tako mnogokrat odvisna zgolj od zaposlenih, ki so ciljani v napadu.

»Za zaščito pred tovrstnimi napadi svetujemo, da se vsaka zahteva za spremembo bančnih podatkov preveri po neodvisnem komunikacijskem kanalu, na primer prek telefonskega klica,« dodajo. Pomembno je redno izobraževanje zaposlenih, predvsem v računovodstvu, financah in vodstvu.