Deepfake-pettused ja vishing: kuidas võltsitud häält ära tunda

Telefon heliseb keset koosolekut. Number on tundmatu, aga hääl on tuttav. „Tere, olen autos ega saa kaua rääkida. Vajan seda ettemaksu veel täna. Üksikasjad on sul e-kirjas.“ Kõlab nagu tegevjuht. Hääletoon, kõnetempo ja lühikesed laused klapivad.

Ainult et tegevjuht ei tea sellest midagi.

Nii võib välja näha deepfake-pettus koos vishinguga. Vishing on häälega andmepüük ehk häälpetukõne – pettus telefonikõne kaudu. Deepfake-hääl ehk hääle kloonimine kasutab ära seda, mida inimene usaldab kõige tugevamalt: tuttavat häält.

Deepfake-pettuse juures ei ole peaasi tehnoloogia. Peaasi on usaldus, stress ja kiired otsused. Ründaja ei taha, et sa mõtleksid. Ta tahab, et sa reageeriksid.

See ei tähenda, et peaksime muutuma paranoilisteks. See tähendab, et olulised otsused tuleb üle kontrollida – eriti siis, kui mängus on raha, ligipääsud, isikuandmed või tundlik ärisisene teave.

Rohkem konteksti leiad artiklist AI ründajana: andmepüük, deepfake’id ja uued küberohud.

Deepfake-pettus ja vishing järgivad sama loogikat nagu AI-andmepüük: ründaja ehitab usutava loo ja surub kiirele otsusele. Ettevalmistuses aitab teda sageli avalik teave, mille ta OSINT-i abil kokku korjab.

Mis on deepfake?

Deepfake ehk süvavõltsing on tehisintellektiga loodud või muudetud heli-, pildi- või videomaterjal, mis jäljendab päris inimest. Tehisintellekti abil saab tekitada hääle, mis kõlab nagu konkreetne inimene, või video, kus nägu ja miimika mõjuvad veenvalt.

Mõnikord piisab üsna lühikesest häälenäidisest. Avalik ettekanne, taskuhääling, konverentsivideo, YouTube’i intervjuu, veebikoolitus või lühike klipp sotsiaalmeedias võib anda materjali täiesti piisavalt.

Sellega muutub digitaalne jalajälg turvaküsimuseks. Avalikud videod, profiilid, konverentsipildid ja postitused toetavad nii OSINT-uuringut kui ka deepfake’i ettevalmistust.

Risk ei puuduta seega ainult kuulsusi. Sihtmärgiks võivad sattuda ka juhid, ettevõtjad, õpetajad, arstid, kinnisvaramaaklerid, müügimeeskonnad, sisuloojad ja iga inimene, kelle hääl või video on avalikult kättesaadav.

Mis on vishing?

Vishing on häälega andmepüük. Telefonikõne või häälsõnumi kaudu üritab ründaja panna ohvrit tegema midagi riskantset või kahjulikku.

Tüüpilised eesmärgid on:

• kanda üle raha,
• öelda ette SMS-iga saadetud kood,
• kinnitada telefoni ekraanile ilmuv Smart-ID või Mobiil-ID päring,
• muuta arvel olevat pangakontot,
• avaldada parool,
• paigaldada rakendus,
• öelda välja isikuandmed,
• avada SMS-iga saadetud link.

Häälpetukõnesid tehti ammu enne tehisintellekti. Petturid esinesid telefonis panga turvaosakonna, politsei või tehnilise toena. Eestis algab tüüpiline kõne lausega „helistan SEB turvaosakonnast, teie kontolt üritatakse teha kahtlast makset“ ja lõpeb palvega kinnitada Smart-ID päring, et makse „peatada“. Täpselt sama muster töötab Swedbanki, LHV ja Maksu- ja Tolliameti nimel – viimase puhul enamasti lubatud tagastuse ettekäändel.

Siit ka kõige lihtsam reegel: ükski pank ega amet ei palu sul telefonikõne ajal Smart-ID või Mobiil-ID päringut kinnitada. Kinnitus tähendab alati, et mingi toimingu algatasid sina ise – ja päringu ekraanil on kirjas, mida sa parasjagu kinnitad. Loe see tekst läbi enne, kui PIN-i sisestad.

Tehisintellekt lisab vanale skeemile uue usutavuse kihi: hääl võib kõlada nagu keegi, keda sa tunned.

Kuidas deepfake-pettus võib välja näha

Juhi nimel pettus

Töötaja saab kõne või häälsõnumi kelleltki, kes kõlab nagu ettevõtte juht. Helistaja väidab, et on koosolekul, ei saa kirjutada ja üks arve on vaja kiiresti ära maksta. Olukord mõjub usutavalt, sest hääl on tuttav ja palve näeb välja nagu tavaline tööprioriteet.

Pettus raamatupidamise vastu

Ründaja esineb tarnija või juhina ja nõuab arvel oleva pangakonto muutmist. Ilma selge kontrolliprotsessita võib töötaja muudatuse heas usus ära teha.

Pereliikme hädaolukorra pettus

Lapsevanem saab kõne häälelt, mis kõlab nagu tema enda laps. Helistaja väidab, et sattus õnnetusse, kaotas telefoni või vajab kiiresti raha. Eesmärk on tekitada paanika, mida keegi üle ei kontrolli.

Pettus videokõne kaudu

Avalikult on teada juhtumeid, kus töötajad uskusid videokõnet võltsitud juhtidega ja kandsid üle suuri summasid. Need rünnakud näitavad, et deepfake-video ei ole enam teooria. See võib tabada päris ettevõtteid.

Võltsitud hääle või video hoiatusmärgid

Deepfake ei pea olema täiuslik. Sageli on selles väikesed ebakõlad. Probleem on selles, et stress muudab nende märkamise raskemaks.

Pane tähele neid signaale:

• helistaja tekitab tugeva ajasurve,
• ta ei taha, et sa kelleltki teiselt üle küsiksid,
• ta nõuab ebatavalist makset või konto muutmist,
• ta nimetab asja salajaseks või eriti tundlikuks,
• ta keeldub teisele suhtluskanalile üle minemast,
• vastused tulevad väikese viivitusega või mõjuvad ebaloomulikult,
• hääl kõlab õigesti, aga emotsioon ei sobi olukorraga,
• videos mõjuvad huuled, silmad või miimika kummaliselt,
• kõne kvaliteet on silmatorkavalt halb,
• inimene põikleb ootamatute küsimuste eest kõrvale.

Kõige olulisem hoiatusmärk ei ole tehniline. See on tuttava isiku ja kiireloomulise nõudmise kombinatsioon. Kui tuttav inimene tahab väga kiiresti midagi olulist, siis aeglusta protsessi.

Kuidas kahtlast kõnet kontrollida

Parim kaitse deepfake-pettuse vastu on kontroll teise kanali kaudu.

Kui väidetav tegevjuht nõuab makset, katkesta kõne ja helista tagasi numbril, mida sa juba varem tead. Ära kasuta kahtlast numbrit. Kui väidetav kolleeg kirjutab tundmatult numbrilt, kontrolli üle ettevõtte sisevestluses. Kui paanikas laps helistab, esita küsimus, millele oskab vastata ainult pereliige. Kui helistaja väidab end olevat pangast või Maksu- ja Tolliametist, katkesta kõne ja helista ametlikul numbril, mis on asutuse kodulehel – või kontrolli olukorda ise internetipangas.

Ettevõtted peaksid lisaks kokku leppima turvafraasid või selged kontrollireeglid. Kiireloomulised maksed peaksid vajama teist kinnitajat. Tarnija pangakonto muudatusi tuleks kontrollida algselt registreeritud kontakti kaudu. Tundlikud palved ei tohi kunagi tugineda ainult häälsõnumile.

Mida peaksid tegema ettevõtted

Ettevõtted ei tohiks deepfake-pettust enam kurioosumiks pidada. See on osa tänasest turvareaalsusest.

Praktilised sammud:

1. Kehtesta reeglid kiireloomuliste maksete jaoks. Ükski makse ei lähe välja ainult telefonikõne põhjal.
2. Kasuta suuremate summade puhul kahe inimese kinnitust.
3. Kontrolli tarnija pangakonto muudatusi sõltumatu kontakti kaudu.
4. Koolita töötajaid vishingu ja deepfake-stsenaariumide teemal.
5. Piira avalikult jagatavat sisemist teavet.
6. Loo lihtne viis kahtlastest kõnedest teatamiseks.
7. Selgita, et ülekontrollimine ei ole umbusaldus, vaid professionaalne standard.

Kas need reeglid päris kõne ajal ka peavad, saab välja selgitada sotsiaalse manipuleerimise simulatsiooniga, kuhu käivad häälpetukõnede stsenaariumid samamoodi sisse nagu andmepüügikirjad.

Mida peaksid tegema pered

Deepfake-hääled ei ole ainult äririsk. Risk kasvab ka perede jaoks.

Leppige kokku lihtsad reeglid:

• pere salasõna hädaolukordadeks,
• surve all ei kanta raha kunagi üle,
• kontroll tagasihelistamise teel,
• küsimused, millele oskavad vastata ainult pereliikmed,
• koode ja isikuandmeid ei saadeta sõnumiga edasi.

Eakad võivad olla hirmu tekitavate kõnede suhtes eriti haavatavad. Neid olukordi on parem läbi rääkida enne, mitte alles pärast juhtumit.

Kokkuvõte

Deepfake-pettus on ohtlik sellepärast, et see ründab usaldust. Hääl ja nägu on asjad, mida me usume intuitiivselt. Tehisintellekt suudab seda usaldust kuritarvitada.

Põhireegel on lihtne: raha, paroolide, kontode ja tundlike andmete puhul ei piisa ainult häälest. Vaja on kontrolli.

Ei ole mingi probleem öelda: „Ma kontrollin selle üle ja annan tagasisidet.“ See üksainus lause võib päästa raha, ettevõtte andmed ja isikuandmed.

Seotud Haxorise teenused: sotsiaalse manipuleerimise ja andmepüügi testimine · töötajate küberturvalisuse koolitus