Hangalapú deepfake-csalás és vishing: hogyan ismerhető fel a hamis hang?
·Értekezlet közben cseng a telefon. Ismeretlen szám, ismerős hang: „Szia, autóban vagyok, nem tudok sokáig beszélni. Az előleget ma el kell indítani, a részleteket küldtem levélben.” A hanghordozás stimmel, a tempó stimmel, még a félbehagyott mondatok is úgy szólnak, ahogy szoktak.
Csak éppen az ügyvezető nem tud erről a hívásról.
Így néz ki a hangalapú deepfake-csalás és a vishing találkozása. A vishing a telefonon végzett adathalászat, a hangklónozás pedig hozzáad valamit, aminek ösztönösen hiszünk: az ismerős hangszínt.
A technika itt csak eszköz. A többi bizalom, stressz és időzavar. A támadónak nem az a célja, hogy a hívott elgondolkodjon, hanem az, hogy azonnal cselekedjen.
Nem paranoiára van szükség. Arra, hogy a fontos döntések átmenjenek egy ellenőrzésen – különösen ott, ahol pénz, hozzáférés, személyes adat vagy céges titok a tét.
A tágabb képet, vagyis hogy a támadók még mire használják a mesterséges intelligenciát, az AI-alapú kibertámadásokról szóló cikkünkben írtuk meg.
A hangalapú csalás ugyanarra a mechanizmusra épül, mint az AI-adathalászat: a támadó felépít egy hihető történetet, majd gyors döntésre kényszeríti a másikat. A történethez szükséges részletek jellemzően nyílt forrású adatgyűjtésből származnak.
Mi az a deepfake?
A deepfake mesterségesen előállított vagy módosított hang, kép, illetve videó, amely egy valódi embert utánoz. A támadó képes visszaadni egy konkrét ember hangszínét, vagy összerakni egy olyan felvételt, amelyen az arc és a mimika meggyőzően mozog.
Sokszor néhány másodpercnyi minta is elég hozzá: konferenciafelvétel, podcast, interjú, webinárium, oktatóanyag vagy akár egy rövid közösségimédia-videó.
Ezért szűnt meg a digitális lábnyom pusztán arculati kérdésnek lenni. A nyilvános videók, profilok, konferenciafotók és bejegyzések ugyanúgy táplálják a nyílt forrású felderítést, mint magának a deepfake-nek az elkészítését.
A kockázat tehát nem a közszereplőknél ér véget. Célponttá válhat a vezető, a cégtulajdonos, a tanár, az orvos, az ingatlanos, az értékesítő – bárki, akiről nyilvánosan elérhető hang- vagy videófelvétel található.
Mi az a vishing?
A vishing hangalapú adathalászat. A támadó telefonhívásban vagy hangüzenetben veszi rá a hívottat valamilyen káros vagy kockázatos lépésre.
A leggyakoribb célok:
- utalás elindítása,
- az SMS-ben érkezett kód átadása,
- fizetés megerősítése,
- bankszámlaszám módosítása,
- jelszó kimondása,
- alkalmazás telepítése,
- személyes adat megadása,
- SMS-ben küldött hivatkozás megnyitása.
A vishing régebbi, mint a generatív mesterséges intelligencia. A csalók évek óta hívogatnak bank, rendőrség vagy ügyfélszolgálat nevében – Magyarországon a legismertebb változatok az unokázós csalás, a magát rendőrnek kiadó hívó és a banki ügyintézőnek látszó csaló. A mesterséges intelligencia egyetlen dolgot tett hozzá: az ismerősen csengő hangot.
Hogyan néz ki egy deepfake-csalás?
Vezérigazgatói csalás
A munkatárs hívást vagy hangüzenetet kap valakitől, aki a felső vezetés egyik tagjaként szólal meg. A hívó „értekezleten van”, írni nem tud, a számlát viszont még ma rendezni kell. A helyzet hihetőnek látszik, mert a hang ismerős, a kérés pedig belefér a szokásos munkarendbe.
Bankszámlaszám cseréje a számlán
A támadó beszállítónak vagy felettesnek adja ki magát, és a számlán szereplő bankszámlaszám módosítását kéri. Ellenőrzési szabály nélkül a munkatárs jóhiszeműen átvezeti a változást, a következő utalás pedig a csalóhoz kerül.
Unokázós csalás klónozott hanggal
A szülő vagy a nagyszülő olyan hívást kap, amelyben a gyermeke vagy az unokája hangját hallja. Baleset, elveszett telefon, baj – és azonnal kell a pénz. A forgatókönyv kifejezetten arra épül, hogy a pánik kiiktassa az ellenőrzést.
Hamis videókonferencia
Több olyan eset is nyilvánosságra került, amelyben munkatársak elhitték, hogy videókonferencián beszélnek a vezetőikkel, és így nagy összegű utalásokat indítottak el. A videóban megjelenő deepfake tehát nem elméleti forgatókönyv, hanem valódi cégeket ér el.
Miről ismerhető fel a hamis hang?
A deepfake nem feltétlenül tökéletes. Általában vannak apró hibái. A baj az, hogy nyomás alatt ezeket nehezebb észrevenni.
Figyelmeztető jelek:
- a hívó sürget, és nem hagy időt a mérlegelésre,
- lebeszéli a hívottat arról, hogy bárki mással egyeztessen,
- szokatlan fizetést vagy bankszámlaszám-módosítást kér,
- hangsúlyozza, hogy az ügy titkos vagy kényes,
- nem hajlandó másik csatornára átlépni,
- a válaszok apró késéssel érkeznek, vagy természetellenesen szólnak,
- a hang stimmel, de az érzelem nem illik hozzá,
- videóban feltűnő a száj, a szem vagy a mimika mozgása,
- a vonalminőség gyanúsan rossz,
- a hívó kitér a nem várt kérdések elől.
A legfontosabb jel nem technikai. A megbízható személyazonosság és a sürgős kérés együttese az. Ha valaki ismerős fontosat kér, méghozzá azonnal, ott érdemes lassítani.
Hogyan ellenőrizzen egy gyanús hívást?
A leghatékonyabb védekezés a második csatornán végzett ellenőrzés.
Ha az „ügyvezető” hív, és fizetést kér, bontsa a vonalat, és hívja vissza azon a számon, amelyet korábbról ismer. Ne arra a számra hívjon vissza, amelyről a hívás érkezett. Ha a „kolléga” ismeretlen számról ír, erősítse meg a céges csevegőben. Ha a „gyermeke” hív pánikban, kérdezzen olyat, amit rajta kívül más nem tudhat.
Céges környezetben érdemes tovább menni: legyen megbeszélt ellenőrző kérdés vagy szabály, legyen kettős jóváhagyás a sürgős utalásoknál, és a beszállítói bankszámlaszám módosítását mindig egy korábbról ismert telefonszámon erősítsék meg. Érzékeny kérés soha ne álljon meg egyetlen hangüzenetnél.
Mit tegyen a cég?
A deepfake-csalás régen kikerült az érdekesség kategóriájából. A fenyegetettségi kép hétköznapi része lett.
Amit azonnal be lehet vezetni:
- Szabály a sürgős fizetésekre – utalás soha nem indul el pusztán telefonhívás alapján.
- Kettős jóváhagyás a nagyobb összegeknél.
- A beszállítói bankszámlaszám módosításának ellenőrzése független csatornán.
- Oktatás vishing- és deepfake-forgatókönyvekkel.
- Kevesebb belső, érzékeny részlet a nyilvános anyagokban.
- Egyszerű bejelentési út a gyanús hívásokra.
- Világos üzenet a csapatnak: az ellenőrzés nem bizalmatlanság, hanem bevett gyakorlat.
Ezek működését nem kell találgatni. Kontrollált social engineering vizsgálattal mérhető, mi történik éles helyzetben, a biztonságtudatossági oktatás pedig azt a részt fedi le, amelyet semmilyen technikai kontroll nem old meg helyettünk. Az e-mailes ágra saját eszközünk, a PhishGun is használható: kampányt indít, méri a kattintást és a bejelentést, és megmutatja, hol tart a csapat.
Ez a támadási forma tankönyvi pszichológiai manipuláció – a technikai réteg csak a belépő hozzá.
Mit tegyen a család?
A hangklónozás nem csak cégeket ér el. Családi környezetben is nő a kockázat.
Néhány egyszerű szabály sokat segít:
- legyen családi jelszó vészhelyzetre,
- pénz soha ne induljon el nyomás alatt,
- az ellenőrzés visszahívással történjen,
- legyenek olyan kérdések, amelyekre csak a család tudja a választ,
- kód és személyes adat ne menjen ki üzenetben.
Az idősebb hozzátartozók különösen érzékenyek azokra a hívásokra, amelyek a félelemre játszanak. Ezeket a forgatókönyveket jobb előre átbeszélni, mint utólag.
Összegzés
A deepfake-csalás azért veszélyes, mert a bizalmat támadja. A hangnak és az arcnak ösztönösen hiszünk, és a mesterséges intelligencia pontosan ezt használja ki.
A szabály egyszerű: pénznél, jelszónál, bankszámlaszámnál és érzékeny adatnál a hang önmagában nem elég. Ellenőrzés kell hozzá.
A „megnézem, és visszahívom” mondat nem udvariatlanság. Pénzt, céget és személyes adatot ment.
