Bösartige Deepfake-Technologie: Eine wachsende Cyber-Bedrohung

Wie in einem früheren Beitrag von Jonathan Miles, Mimecasts Head of Strategic Intelligence and Security Research, hervorgehoben wurde, tauchten im letzten Jahr Berichte über Deepfake-Audio auf, das bei Phishing-Angriffen zur Kompromittierung von Geschäfts-E-Mails verwendet wurde , einschließlich eines Cyberbetrugs, bei dem ein Unternehmen um 243.000 US-Dollar betrogen wurde. Die Verwendung der Deepfake-Technologie in solchen Angriffen sollte alle Unternehmen beunruhigen, da die Kompromittierung von Geschäfts-E-Mails im Jahr 2019 mehr finanzielle Verluste verursachte als jede andere Art von Cyberangriff .

Seitdem sind Berichte über eine Handvoll anderer Angriffe aufgetaucht, die auf Deepfake-Audio basieren. Auf der RSA-Konferenz im Februar sagte Vijay Balasubramaniyan, CEO des Spezialisten für Sprachauthentifizierung Pindrop, dass sein Unternehmen im vergangenen Jahr etwa ein Dutzend Fälle untersucht habe und dass durch die Angriffe versucht worden sei, bis zu 17 Millionen Dollar zu stehlen. [1]

Die Deepfake-Technologie ist also eindeutig für Kriminelle verfügbar, auch wenn sie noch nicht weit verbreitet ist. Ein breites Spektrum von Interessengruppen - darunter Gesetzgeber, Regierungsbehörden, Social-Media-Plattformen und Cybersicherheitsunternehmen - ist besorgt genug, um die Deepfake-Technologie zu untersuchen und Maßnahmen zu ihrer Abwehr zu ergreifen. Sie befürchten, dass Deepfakes sowohl für finanziellen Cyberbetrug als auch für andere ruchlose Zwecke, wie die Beeinflussung von Wahlen, verwendet werden können.

Was ist die Deepfake-Technologie?

Deepfake - der Name setzt sich aus "Deep Learning" und "Fake" zusammen - setzt maschinelles Lernen und künstliche Intelligenz ein, um eine synthetische menschliche Stimme oder ein Video zu erstellen. Ein Deep-Learning-Modell wird anhand vorhandener Proben der Stimme oder des Bildes einer echten Person trainiert; bei ausreichendem Training kann das Modell eine Imitation erzeugen, die gut genug ist, um Menschen zu täuschen.

"Menschen imitieren schon seit Jahren Stimmen, aber die Technologie ist inzwischen so weit fortgeschritten, dass wir Stimmen in großem Umfang mit einem sehr kleinen Audio-Sample klonen können", sagte Laura DeMartino, eine stellvertretende Direktorin bei der Federal Trade Commission (FTC), auf einem FTC-Workshop im Februar, der sich mit den Auswirkungen von Deepfake-Audio befasste. [2]

"Alles, was man braucht, sind fünf Minuten des Tons einer Person und man kann einen ziemlich realistischen Klon erstellen", sagte Balasubramaniyan auf der RSA-Konferenz. "Wenn man fünf Stunden oder mehr der Audiodaten hat, kann man etwas erstellen, das von Menschen nicht wahrgenommen werden kann." [3]

Solche Tonaufnahmen von Führungskräften oder anderen Personen, die sich bei E-Mail-Betrügereien in Unternehmen als solche ausgeben können, sind oft über online veröffentlichte Videos, Gewinnmitteilungen und Unternehmensbesprechungen leicht verfügbar.

Multifaktorielle Täuschung: Wie Deepfake-Audio bei der Kompromittierung von Geschäfts-E-Mails verwendet wird

Deepfake-Audio kann böswilligen Akteuren dabei helfen, viel überzeugendere Angriffe auf Geschäfts-E-Mails durchzuführen, sagte die Anwältin des US-Justizministeriums, Mona Sedky, die sich auf dem FTC-Workshop als "Stimme des Untergangs" bezeichnete. Damit können sie ein zentrales Hindernis überwinden: "Es ist schwierig, sich überzeugend als eine andere Person auszugeben, vor allem, wenn man ein Ausländer ist und einen Akzent hat", sagte sie.

Mit der Deepfake-Technologie können Angreifer E-Mail-Phishing mit authentisch klingenden Sprachnachrichten kombinieren. Indem sie mehrere Täuschungsvektoren nutzen, erhöhen sie die Wahrscheinlichkeit, dass sie Benutzer täuschen können.

Eine sprachgestützte Kompromittierung von Geschäfts-E-Mails kann "sehr fruchtbar" sein, so Sedky. "Klassisches Szenario: Sie sind eine Universität. Ich schicke Ihnen eine E-Mail, in der ich mich als Ihre Baufirma ausgebe. Ich sage, dass sich das Bankkonto geändert hat; bitte überweisen Sie Geld an die neue Bank. Wenn ich diese gefälschte Spear-Phishing-E-Mail mit einem [gefälschten] Telefonanruf weiterverfolgen kann, macht das sofort riesige Dollarverluste." [4]

Aber Angreifer wählen den einfachsten Weg zur Kompromittierung

Dennoch ist es wichtig, daran zu denken, dass böswillige Akteure dazu neigen, die einfachste Angriffsmethode zu verwenden, die funktioniert - und es kann einfachere Wege geben, Benutzer zu täuschen als mit Deepfake-Technologie. Miles von Mimecast sagte, dass viele Angriffe gefälschte Benachrichtigungen verwenden, die scheinbar Sprachnachrichten enthalten, in Wirklichkeit aber bösartige Links enthalten. "Ich denke, dass ein Großteil des beobachteten Datenverkehrs ein Versuch ist, die Zielpersonen zu einer Interaktion zu verleiten, indem sie auf eine vermeintliche Sprachnachricht/mp4-Aufnahme klicken", sagte er. "Während diese auf den ersten Blick als Deepfake angesehen werden könnten, ist der beabsichtigte Angriffsvektor das Klicken auf einen Link zum Herunterladen von Malware."

"Obwohl die Technologie für die Erstellung von Deepfakes vorhanden ist, wird kein Deepfake-Material produziert, wenn das Quellmaterial nicht zur Manipulation zur Verfügung steht. Es ist einfacher, eine Datei zu verschicken, die vorgibt, eine verpasste Sprachnachricht zu sein, und die Zielperson dazu zu bringen, darauf zu klicken und Malware über diesen Vektor herunterzuladen. Das erfordert weniger Aufwand, hat aber das Potenzial, die gleichen Ergebnisse zu erzielen.

Regierungen und Social-Media-Plattformen versuchen, bösartige Deepfakes einzuschränken

Die zunehmende Raffinesse und Verfügbarkeit der Deepfake-Technologie veranlasst Regierungen und soziale Medienplattformen dazu, Maßnahmen zu ergreifen, um die Verwendung dieser Technologie zur Irreführung der Verbraucher zu verhindern, insbesondere in Wahlkampfzeiten. Kalifornien hat vor kurzem ein Gesetz, AB 730, verabschiedet, das speziell darauf abzielt, die Verwendung von Deepfakes zur Beeinflussung politischer Kampagnen ab diesem Jahr zu verhindern. Es verbietet die Verbreitung von "mit tatsächlicher Böswilligkeit" materiell irreführenden Audio- oder Bildmedien, die einen Kandidaten für ein Amt innerhalb von 60 Tagen vor einer Wahl zeigen, mit der Absicht, den Ruf des Kandidaten zu schädigen oder einen Wähler zu täuschen. [5]

Aber die Wirksamkeit solcher Gesetze auf Staatsebene könnte begrenzt sein, sagte Miles. "Da das Gesetz nur in einem Staat gilt, bleiben immer noch 49 Staaten übrig, in denen die Wähler glauben können, was sie sehen. Wenn man dann noch die Weltbühne und feindselige Nationalstaaten hinzunimmt, die der US-Demokratie Schaden zufügen wollen, bleibt das Problem bestehen".

Miles verweist auch auf ein vietnamesisches Cybersicherheitsgesetz, das 2019 in Kraft getreten ist und die Verbreitung von Falschinformationen zu verschiedenen Zwecken verbietet.

Es wird jedoch nie möglich sein, das gesamte Internet zu überwachen, um den Ursprung der Informationen zu ermitteln, so dass es weiterhin einen Zustrom von Material im Internet geben wird, das immer im Umlauf sein wird", so Miles.

Auch soziale Medienplattformen unternehmen Schritte, um gegen potenzielle Deepfakes vorzugehen. Sowohl Facebook als auch Twitter kündigten Anfang des Jahres an, dass sie Deepfake-Technologie, die in böser Absicht erstellt wurde, entfernen werden, und Facebook veranstaltete sogar einen Wettbewerb, um Algorithmen zu finden, die manipulierte Videos erkennen können. [6] , [7] , [8]

Die Quintessenz

Auch wenn die Deepfake-Technologie bei Cyberangriffen auf Unternehmen noch nicht zum Mainstream geworden ist, müssen Unternehmen und Verbraucher auf die potenzielle Bedrohung aufmerksam bleiben. "Jeder sollte sich bewusst sein, dass es die Möglichkeit und die Absicht gibt, gefälschtes Material zu produzieren. Was sie online und in den sozialen Medien sehen, ist nicht unbedingt zu 100 % korrekt", so Miles von Mimecast. "In Zeiten der Verwirrung und Unsicherheit werden kriminelle Organisationen versuchen, die Meinung der Schwachen mit allen Mitteln auszunutzen und zu beeinflussen."

[1] " Ist KI-gestütztes Stimmenklonen der nächste große Sicherheitsbetrug? ," PCMag

[2] " You Don't Say: An FTC Workshop on Voice Cloning Technologies ," FTC transcript.

[3] " Ist KI-gestütztes Stimmenklonen der nächste große Sicherheitsbetrug? ," PCMag

[4] " You Don't Say: An FTC Workshop on Voice Cloning Technologies ," FTC transcript.

[5] " Zwei neue kalifornische Gesetze gehen gegen gefälschte Videos in Politik und Porno vor ," Davis Wright Tremaine LLP

[6] " Facebook hat gerade Deepfakes verboten, aber die Richtlinie hat Schlupflöcher - und ein weitverbreiteter Deepfake von Mark Zuckerberg darf auf bleiben.

[7] " Facebook-Wettbewerb zeigt, dass Deepfake-Erkennung immer noch ein "ungelöstes Problem" ist ," The Verge

[8] " Twitter hat gerade seinen Plan zum Umgang mit Deep Fakes veröffentlicht ," BuzzFeed News