„Deepfake“ sukčiavimas ir vishingas: kaip atpažinti suklastotą balsą

Telefonas suskamba per pasitarimą. Numeris nepažįstamas, o balsas – taip. „Sveiki, esu kelyje ir ilgai kalbėti negaliu. Avansą reikia išsiųsti šiandien, detalės – pašte.“ Tonas sutampa. Ritmas sutampa. Net trumpi, nutrūkstantys sakiniai skamba būtent taip, kaip įprasta.

Tik vadovas apie tą skambutį nieko nežino.

Taip atrodo „deepfake“ sukčiavimas kartu su vishingu. Vishingas, arba balso fišingas, – tai fišingas telefonu, o balso klonavimas prideda tai, kuo žmogus pasitiki labiausiai: pažįstamą tembrą.

Technologija čia tėra įrankis. Visa kita – pasitikėjimas, įtampa ir per trumpas laikas. Užpuolikui nereikia, kad pašnekovas susimąstytų. Jam reikia, kad pašnekovas veiktų.

Paranoja iš to neišplaukia. Išplaukia viena: svarbiems sprendimams reikia patikrinimo – ypač ten, kur kalbama apie pinigus, prieigą, asmens duomenis ar komercines paslaptis.

Platesnį vaizdą – ką užpuolikai su dirbtiniu intelektu daro likusiuose atakos etapuose – išdėstėme straipsnyje DI kaip užpuolikas.

Balso sukčiavimas veikia pagal tą pačią schemą kaip ir DI fišingas: užpuolikas sukonstruoja įtikinamą istoriją ir įspraudžia pašnekovą į greitą sprendimą. Medžiagos tai istorijai paprastai duoda vieša informacija, surenkama OSINT etape.

Kas yra „deepfake“

„Deepfake“ – tai dirbtinai sukurtas ar pakeistas garso arba vaizdo įrašas ar nuotrauka, atkartojantys tikrą žmogų. Lietuviškai greta vartojamas ir terminas vaizdo klastotės, nors pats reiškinys seniai apima ne tik vaizdą, bet ir garsą. Šiuolaikinėmis priemonėmis užpuolikas gali susikurti balsą, skambantį kaip konkretaus žmogaus, arba vaizdo įrašą, kuriame veidas ir mimika atrodo įtikinamai.

Dažnai pakanka trumpos ištraukos. Vieša paskaita, tinklalaidė, konferencijos įrašas, interviu, internetinis seminaras, nuotoliniai mokymai ar neilgas įrašas socialiniame tinkle duoda visiškai pakankamai medžiagos. Tinka ir balso pašto žinutė bei įrašas iš klientų aptarnavimo linijos.

Todėl skaitmeninis pėdsakas nebėra vien įvaizdžio klausimas. Vieši vaizdo įrašai, profiliai, konferencijų nuotraukos ir įrašai praverčia ir OSINT žvalgybai, ir pačiai klastotei parengti.

Rizika todėl neapsiriboja įžymybėmis. Taikinys gali būti vadovas, įmonės savininkas, mokytojas, gydytojas, nekilnojamojo turto agentas, pardavėjas ar bet kuris žmogus, kurio balsas ar vaizdas prieinamas viešai. Lietuvoje tai jau nebe užsienio naujiena: klonuoti galima ir lietuviškai kalbantį balsą, taigi lietuvių kalba klastotei nebėra kliūtis.

Kas yra vishingas

Vishingas – tai fišingas telefonu. Skambučiu ar balso žinute užpuolikas pasiekia, kad pašnekovas padarytų ką nors rizikingo arba tiesiogiai žalingo.

Dažniausi tikslai:

• pervesti pinigus arba patvirtinti jau parengtą mokėjimą,
• padiktuoti SMS žinute gautą kodą,
• patvirtinti Smart-ID ar mobiliojo parašo užklausą,
• pakeisti banko sąskaitos numerį sąskaitoje faktūroje,
• pasakyti slaptažodį ar internetinės bankininkystės prisijungimo duomenis,
• įsidiegti programėlę, dažniausiai nuotolinės prieigos įrankį,
• perduoti asmens duomenis,
• atverti nuorodą, kuri pokalbio metu ateina žinute.

Vishingas gerokai senesnis už dirbtinį intelektą, o scenarijai atkaklūs: skambina „banko saugumo tarnyba“ ir pasakoja apie įtartiną mokėjimą, kurį ką tik esą bandyta atlikti iš sąskaitos; skambina „pareigūnas“ ir kalba apie tyrimą, kuriame nuskambėjo šio žmogaus vardas; skambina „mokesčių inspekcijos darbuotojas“ dėl permokos, kurią esą reikia susigrąžinti. Pabaiga visiems trims ta pati – prašymas patvirtinti užklausą telefone arba padiktuoti kodą.

Iš to išplaukia paprasčiausia taisyklė, kurios verta išmokyti ir komandą, ir šeimą: nė vienas bankas ir nė viena institucija pokalbio metu neprašo patvirtinti Smart-ID ar mobiliojo parašo užklausos. Patvirtinimas visada reiškia, kad veiksmą pradėjo pats naudotojas, o ekrane parašyta, kas būtent tvirtinama, ir rodomas kontrolinis kodas. Tą tekstą verta perskaityti iki galo, o kodą – sulyginti su tuo, kurį rodo paslauga, o ne patvirtinti iš įpročio.

Antras dalykas, kurį verta žinoti: numeris ekrane neįrodo nieko. Skambinančiojo numerį galima suklastoti, ir jis gali atrodyti tiek kaip oficialus banko numeris, tiek kaip kolegos numeris. Dirbtinis intelektas šiai senai schemai pridėjo vieną naują sluoksnį – pažįstamą balsą.

Kaip „deepfake“ sukčiavimas atrodo praktiškai

Vadovo balsas buhalterijoje

Darbuotojas sulaukia skambučio ar balso žinutės iš to, kas skamba kaip vadovas. Skambinantysis esą posėdyje, rašyti negalįs, o sąskaitą reikia apmokėti dar šiandien. Situacija atrodo patikima, nes balsas pažįstamas, o prašymas telpa į įprastą darbo dieną. Angliškai ši schema vadinama CEO fraud, lietuviškai ji dažniausiai įvardijama kaip suklastotas vadovo nurodymas.

Banko sąskaitos numerio keitimas sąskaitoje faktūroje

Užpuolikas dedasi tiekėju ar vadovu ir prašo sąskaitoje faktūroje pakeisti banko sąskaitos numerį. Be užrašytos patikros tvarkos darbuotojas pakeitimą atlieka geranoriškai, ir kitas mokėjimas iškeliauja užpuolikui. Tai brangiausias iš visų išvardytų scenarijų, nes pinigai išeina pagal tikro sandorio sąskaitą, o viskas paaiškėja tik tada, kai tiekėjas primena negavęs apmokėjimo.

Skambutis „artimojo bėdoje“

Tėvai ar seneliai sulaukia skambučio, kuriame skamba jų pačių vaiko ar anūko balsas. Įvyko avarija, dingo telefonas, pinigų reikia tuojau pat. Lietuvoje ši schema veikia jau daug metų – iki šiol su svetimu balsu ir su „pareigūnu“ prie telefono. Klonuotas balsas panaikina būtent tą požymį, kuris anksčiau dalį žmonių sustabdydavo.

Suklastotas vaizdo skambutis

Viešai aprašyti atvejai, kai darbuotojas patikėjo vaizdo konferencija su keliais „vadovais“ ir pervedė milijonais matuojamą sumą. Taigi suklastotas vaizdo skambutis nebėra teorija. Techniškai jis sudėtingesnis nei balsas, todėl tokios atakos kol kas retesnės, tačiau prielaida „jei matau veidą, vadinasi, tai jis“ nebeveikia.

Suklastoto balso ir vaizdo požymiai

„Deepfake“ nebūna tobulas. Smulkių netikslumų jame paprastai yra. Bėda kita: patiriant spaudimą jie pastebimi rečiau.

Verta atkreipti dėmesį į šiuos požymius:

• skambinantysis kuria stiprų laiko spaudimą,
• nenori, kad apie prašymą sužinotų kas nors kitas,
• prašo neįprasto mokėjimo ar sąskaitos numerio keitimo,
• pabrėžia, kad reikalas konfidencialus ar itin jautrus,
• atsisako pereiti į kitą ryšio kanalą,
• atsakymai ateina su nedidele delsa arba skamba nenatūraliai,
• balsas pažįstamas, bet emocija situacijos neatitinka,
• vaizdo skambutyje keistai juda lūpos, akys ar veido raumenys,
• ryšio kokybė įtartinai prasta,
• skambinantysis vengia netikėtų klausimų.

Svarbiausias požymis nėra techninis. Tai pažįstamo asmens ir skubaus prašymo derinys. Jei ko nors svarbaus prašo pažįstamas žmogus ir prašo tuojau pat, tai akimirka, kai verta sulėtinti tempą.

Kodėl lietuvių kalba dar kurį laiką padeda

Vienas vietinis pranašumas kol kas yra, ir jį sąžininga įvardyti kartu su galiojimo terminu. Lietuvių kalbai balso klonavimo priemonės turi mažiau mokymo duomenų nei anglų kalbai, todėl klonuota lietuvių kalba dažnai suklumpa būtent ten, kur kalba turi savo specifiką: trumpėja ilgieji balsiai, painiojasi kirčiavimas ir priegaidės, asmenvardžiai bei vietovardžiai skamba nerangiai, o skaičius, datas ir sąskaitų numerius balsas ištaria ne tuo linksniu.

Remtis tuo kaip apsauga vis dėlto neverta, ir tam yra trys priežastys. Pirma, šis požymis su kiekviena modelių karta silpsta, o suklastoti lietuviški įrašai viešojoje erdvėje pasitaiko vis dažniau. Antra, užpuolikas jį apeina scenarijumi: trumpas pokalbis, prastas ryšys, triukšmas fone, vienas sakinys ir nutrauktas skambutis. Trečia, telefono linija garsą ir taip suspaudžia – būtent tie niuansai, iš kurių klastotę būtų galima atpažinti, per ragelį dingsta pirmieji.

Praktinė išvada sutampa su ta, kurią išsakėme straipsnyje apie socialinę inžineriją: iš žinutės ar skambučio formos atakos patikimai atpažinti nebeįmanoma. Vertinti verta patį prašymą, o ne tai, kaip natūraliai jis skamba.

Kaip patikrinti įtartiną skambutį

Geriausia apsauga nuo „deepfake“ sukčiavimo – patikrinimas antru kanalu.

Jei „vadovas“ skambina ir prašo mokėjimo, pokalbis nutraukiamas ir perskambinama numeriu, kuris jau yra kontaktuose ar vidiniame kataloge. Tuo numeriu, iš kurio skambinta, skambinti atgal neverta. Jei „kolega“ rašo iš nepažįstamo numerio, persiklausiama įmonės pokalbių programoje. Jei panikuodamas skambina „vaikas“, paklausiama to, ką žino tik šeima. Jei skambinantysis dedasi banku, pokalbis nutraukiamas ir skambinama numeriu, užrašytu ant kortelės nugarėlės arba internetinėje bankininkystėje.

Įmonėje vien to per maža, jei tvarka neužrašyta. Skubiam mokėjimui reikia antro tvirtintojo. Tiekėjo sąskaitos numerio keitimas tikrinamas numeriu iš sutarties, o ne tuo, kuris nurodytas naujame laiške. Nė vienas jautrus prašymas nelieka prie vienos balso žinutės.

Ką įmonei įrašyti į tvarką

„Deepfake“ sukčiavimas seniai nebėra kuriozas, apie kurį papasakojama konferencijoje. Tai šiandienos grėsmių vaizdo dalis, o apsauga nuo jos daugiausia yra proceso, o ne technologijos klausimas.

1. Mokėjimų taisyklė. Nė vienas mokėjimas neišeina remiantis vien telefono skambučiu ar balso žinute.
2. Keturių akių principas. Sumoms virš nustatytos ribos reikia dviejų žmonių, ir antrasis nėra tas pats, kuris mokėjimą parengė.
3. Sąskaitos numerio keitimas. Jis tikrinamas nepriklausomu, jau žinomu kanalu, o įrašas apie patikrą pridedamas prie sąskaitos faktūros.
4. Mokymai su balso scenarijais. Vien laiškų pavyzdžiai žmogaus neparengia pokalbiui, kuriame kalba pažįstamas balsas.
5. Mažiau viešos medžiagos apie vidaus procesus. Kas pasirašo mokėjimus, kas pavaduoja atostogų metu, kaip vadinasi buhalterinė sistema – visa tai žaliava legendai.
6. Paprastas kelias pranešti apie įtartiną skambutį. Pranešusiajam negresia papeikimas, ir tai žino visi.
7. Aiški žinia komandai: patikrinimas nėra nepasitikėjimas. Tai įprasta darbo tvarka, kaip ir sąskaitos derinimas.

Ar šios taisyklės atlaikys tikrą skambutį, spėlioti neverta. Tai išmatuoja suderintas socialinės inžinerijos testavimas, į kurį balso skambučių scenarijai įeina lygiai taip pat kaip fišingo laiškai: apimtis, kanalai, laiko langas ir išimtys sutariami prieš pradžią, scenarijai rašomi konkrečiai įmonei, o pabaigoje parengiama ataskaita apie tai, kur pokalbis sustojo, o kur ne. Ką tokia kampanija matuoja ir kodėl svarbiausias skaičius nėra paspaudimų rodiklis, aprašėme straipsnyje kas yra socialinė inžinerija.

Ką daryti, jei mokėjimas jau išėjo

Pirmosios valandos lemia daugiau nei visa kita.

1. Skambinkite bankui iš karto ir prašykite mokėjimą sustabdyti ar atšaukti. Jei pinigai į gavėjo sąskaitą dar neįskaityti, galimybė juos sulaikyti reali.
2. Užfiksuokite faktus. Skambučio laikas ir numeris, ekrano nuotraukos, mokėjimo nurodymas, po skambučio sekęs susirašinėjimas.
3. Pasikeiskite slaptažodžius ir nutraukite aktyvias sesijas tose paskyrose, apie kurias pokalbyje buvo kalbama.
4. Praneškite policijai. Sukčiavimas – nusikalstama veika, o bankui vėliau praverčia bylos numeris.
5. Tą pačią dieną pasakykite komandai. Vienas skambutis retai būna vienintelis: kitiems skambinama pagal tą patį scenarijų, o įspėjimas – pigiausia iš visų atsakomųjų priemonių.
6. Įvertinkite pranešimo pareigą. Jei įmonė yra kibernetinio saugumo subjektas, įvykis gali būti kibernetinis incidentas. Kriterijus, terminus ir formą verta pasitikrinti galiojančiame Kibernetinio saugumo įstatymo ir Kibernetinio saugumo reikalavimų aprašo tekste, o ne straipsnio santraukoje.
7. Įvertinkite ir asmens duomenų pusę. Jei nutekėjo asmens duomenys, atskirai vertinamos pareigos pagal BDAR; priežiūros institucija Lietuvoje – Valstybinė duomenų apsaugos inspekcija.

Ką apie darbuotojų pasirengimą sako Lietuvos teisė

Balso sukčiavimo patikrinimo Lietuvos teisės aktai kaip atskiros procedūros neįvardija, ir tai sąžininga pasakyti iškart: tai komercinė paslauga, o ne teisės akte aprašytas veiksmas. Įsilaužimų testavimas Lietuvoje taip pat nėra privalomas, o testuotojams nėra nei licencijų, nei registro.

NIS2 direktyva Lietuvoje perkelta ne atskiru nauju įstatymu, o nauja Kibernetinio saugumo įstatymo redakcija (įstatymas Nr. XIV-2902), įsigaliojusia 2024 m. spalio 18 d. Iš jos ir iš Kibernetinio saugumo reikalavimų aprašo (Vyriausybės nutarimas Nr. 945) išplaukia trys skirtingos pareigos. Nė viena iš jų nėra nei įsilaužimų testas, nei socialinės inžinerijos kampanija, tačiau būtent jos šią temą įtraukia į metų planą.

Terminai skaičiuojami kiekvienam subjektui atskirai: 12 mėnesių organizaciniams ir 24 mėnesiai išvardytiems techniniams reikalavimams nuo tos dienos, kurią tas subjektas užregistruojamas KSIS, o ne pagal vieną visai rinkai bendrą datą. Kurios pareigos kam taikomos, atsekėme straipsnyje apie tai, ar įsilaužimų testavimas privalomas.

Yra ir viena nuostata, kuri balso sukčiavimo tikrinimą paliečia tiesiogiai. Kibernetinio saugumo įstatymo 25 straipsnis nustato sąlygas, kuriomis kibernetinio saugumo subjektų valdomose sistemose pažeidžiamumų galima ieškoti be išankstinio sistemos valdytojo sutikimo: apie radinį per 24 valandas pranešama Nacionaliniam kibernetinio saugumo centrui, patvirtinus pažeidžiamumą veikla nutraukiama, slaptažodžiai nespėliojami, o viešinimas atidedamas. Tarp tų pačių sąlygų aiškiai įrašytas ir draudimas manipuliuoti darbuotojais. Vadinasi, suklastoto skambučio scenarijus į šį saugiklį nepatenka niekada – jis įmanomas tik pagal rašytinį užsakovo leidimą ir iš anksto sutartą apimtį. Todėl apimtis, kanalai, laiko langas ir išimtys užrašomi prieš pirmą skambutį, o ne po jo.

Dėl ko susitarti šeimoje

Balso klonavimas – ne vien įmonių rizika. Privačioje pusėje ji auga net sparčiau, nes namuose nėra nei mokėjimų tvarkos, nei antro tvirtintojo.

Verta susitarti dėl kelių paprastų taisyklių:

• šeimos kontrolinis žodis nenumatytiems atvejams,
• taisyklė, kad pinigai niekada neišeina patiriant spaudimą,
• patikrinimas perskambinant žinomu numeriu,
• klausimai, į kuriuos atsakymą žino tik šeima,
• kodai ir asmens duomenys niekada nekeliauja toliau žinute ar pokalbiu.

Vyresni žmonės ypač neapsaugoti nuo skambučių, kurie žaidžia baime. Šiuos scenarijus geriau aptarti iš anksto, o ne po įvykio. Praktiškiausias žingsnis visai paprastas: sutarti žodį, kurio svetimas telefonu nežinos, ir susitarti, kad be jo pinigai niekur neišeina.

Apibendrinimas

„Deepfake“ sukčiavimas pavojingas tuo, kad puola pasitikėjimo mechanizmą. Balsu ir veidu žmogus tiki instinktyviai, ir būtent tuo dirbtinis intelektas naudojasi.

Pagrindinė taisyklė trumpa: pinigams, slaptažodžiams, sąskaitų numeriams ir jautriems duomenims vien balso nepakanka. Reikia patikrinimo.

Sakinys „patikrinsiu ir perskambinsiu“ nėra nemandagus. Tai pigiausia saugumo priemonė, kokia apskritai prieinama: vienas sakinys, galintis išgelbėti pinigus, įmonę ir asmens duomenis.

HAXORIS – Slovakijoje registruota įmonė, Lietuvoje neturinti nei biuro, nei atstovybės; skambučių scenarijus ir laiškus todėl rengiame lietuviškai kartu su kliento komanda. Kibernetinio saugumo įstatymo 14 straipsnio 8 dalyje numatyto audito neatliekame ir atitikties nesertifikuojame. Siūlome socialinės inžinerijos testavimą, kuriame telefono kanalas prilygsta el. paštui, ir kibernetinio saugumo mokymus, kuriuose pereinama būtent per tuos skambučius ir laiškus, kuriuos komanda prieš kelias savaites iš tikrųjų gavo.

„Deepfake“ sukčiavimas ir vishingas – dažniausiai užduodami klausimai

Susijusios Haxoris paslaugos: socialinės inžinerijos testavimas ir fišingo simuliacijos · kibernetinio saugumo mokymai darbuotojams