Deepfake krāpšana un vishing: kā atpazīt viltotu balsi

Telefons iezvanās sapulces vidū. Numurs nav pazīstams, bet balss ir. „Sveiki, esmu ceļā un ilgi runāt nevaru. Avanss jāaizsūta šodien, detaļas ir pastā.“ Tonis sakrīt. Ritms sakrīt. Pat īsie, pārtrauktie teikumi skan tieši tā, kā parasti.

Tikai vadītājs par šo zvanu neko nezina.

Tā izskatās deepfake krāpšana kopā ar vishing. Vishing jeb balss pikšķerēšana ir pikšķerēšana pa telefonu, bet balss klonēšana tai pievieno to, kam cilvēks tic visstiprāk: pazīstamu tembru.

Tehnoloģija te ir tikai rīks. Pārējais ir uzticēšanās, stress un pārāk īss laiks. Uzbrucējs negrib, lai otrs aizdomātos. Viņš grib, lai otrs rīkotos.

Paranoja no tā neizriet. Izriet viens: svarīgiem lēmumiem vajag pārbaudi – jo īpaši tur, kur runa ir par naudu, piekļuvi, personas datiem vai komercnoslēpumu.

Plašāko ainu, proti, ko uzbrucēji ar mākslīgo intelektu dara pārējos posmos, izklāstījām rakstā MI kā uzbrucējs.

Balss krāpšana strādā pēc tās pašas shēmas, pēc kuras MI pikšķerēšana: uzbrucējs uzbūvē ticamu stāstu un iespiež otru ātrā lēmumā. Materiālu stāstam parasti dod publiskā informācija, ko viņš savāc OSINT posmā.

Kas ir deepfake

Deepfake ir mākslīgi radīts vai pārveidots audio, attēls vai video, kas atdarina īstu cilvēku. Ar mūsdienu rīkiem uzbrucējs var iegūt balsi, kas skan kā konkrēta cilvēka balss, vai video, kurā seja un mīmika izskatās pārliecinošas.

Bieži pietiek ar īsu paraugu. Publiska uzstāšanās, raidieraksts, konferences video, intervija, vebinārs, tiešsaistes apmācība vai neliels ieraksts sociālajā tīklā dod pilnīgi pietiekamu materiālu. Der arī balss pasta ziņa un ieraksts no klientu apkalpošanas līnijas.

Tāpēc digitālā pēda vairs nav tikai tēla jautājums. Publiski video, profili, konferenču fotogrāfijas un ieraksti baro gan OSINT izlūkošanu, gan paša viltojuma sagatavošanu.

Risks tāpēc neaprobežojas ar slavenībām. Mērķis var būt vadītājs, uzņēmuma īpašnieks, skolotājs, ārsts, nekustamā īpašuma aģents, pārdevējs vai jebkurš cilvēks, kura balss vai video ir publiski pieejami.

Kas ir vishing jeb balss pikšķerēšana

Vishing ir pikšķerēšana pa telefonu. Zvanā vai balss ziņā uzbrucējs panāk, ka otrs izdara kaut ko riskantu vai tieši kaitīgu. Latviskotais vārds vikšķerēšana ir sastopams CERT.LV un Sargs.lv tekstos; sarunā tirgū joprojām biežāk skan vishing.

Biežākie mērķi:

• pārskaitīt naudu vai apstiprināt jau sagatavotu maksājumu,
• nosaukt īsziņā saņemtu kodu,
• apstiprināt Smart-ID vai eParaksts mobile pieprasījumu,
• nomainīt konta numuru rēķinā,
• nosaukt paroli vai internetbankas piekļuves datus,
• uzinstalēt lietotni, visbiežāk attālinātās piekļuves rīku,
• nodot personas datus,
• atvērt saiti, kas sarunas laikā atnāk īsziņā.

Vishing ir krietni vecāks par mākslīgo intelektu. Latvijā scenāriji ir noturīgi: zvana „bankas drošības dienests“ un stāsta par aizdomīgu maksājumu, kas tikko mēģināts no konta; zvana „policijas darbinieks“ vai „izmeklētājs“ un runā par krimināllietu, kurā parādījies šī cilvēka vārds; zvana „Valsts ieņēmumu dienests“ par pārmaksu, kas esot jāatgriež. Nobeigums visiem trim ir viens un tas pats – lūgums apstiprināt pieprasījumu telefonā vai nosaukt kodu.

No tā izriet vienkāršākais noteikums, ko ir vērts iemācīt gan komandai, gan ģimenei: neviena banka un neviena iestāde sarunas laikā neprasa apstiprināt Smart-ID vai eParaksts mobile pieprasījumu. Apstiprinājums vienmēr nozīmē, ka darbību sācis pats lietotājs, un ekrānā ir rakstīts, kas tieši tiek apstiprināts. Šo tekstu ir vērts izlasīt līdz galam, nevis apstiprināt pēc ieraduma.

Otra lieta, ko ir vērts zināt: numurs ekrānā nepierāda neko. Zvanītāja numuru var viltot, un tas var izskatīties gan pēc bankas oficiālā numura, gan pēc kolēģa numura. Mākslīgais intelekts šai vecajai shēmai pievienoja vienu jaunu slāni – pazīstamu balsi.

Kā deepfake krāpšana izskatās praksē

Vadītāja balss grāmatvedībā

Darbinieks saņem zvanu vai balss ziņu no kāda, kurš skan kā vadītājs. Zvanītājs esot sapulcē, rakstīt nevarot, bet rēķins esot jāapmaksā vēl šodien. Situācija izskatās ticama, jo balss ir pazīstama un lūgums iekļaujas parastā darba dienā. Angliski šo shēmu sauc par CEO fraud, latviski to visbiežāk apzīmē kā direktora krāpšanu.

Konta numura maiņa rēķinā

Uzbrucējs uzdodas par piegādātāju vai vadītāju un lūdz rēķinā nomainīt konta numuru. Bez rakstītas pārbaudes kārtības darbinieks izmaiņu izdara labā ticībā, un nākamais maksājums aiziet uzbrucējam. Šis ir dārgākais no visiem uzskaitītajiem scenārijiem, jo nauda aizceļo uz īsta darījuma rēķina un viss atklājas tikai tad, kad piegādātājs atgādina par nesaņemtu samaksu.

Zvans no „radinieka nelaimē“

Vecāks vai vecvecāks saņem zvanu, kurā skan viņa paša bērna vai mazbērna balss. Notikusi avārija, pazudis telefons, nauda vajadzīga tūlīt. Latvijā šī shēma darbojas jau gadiem, līdz šim ar svešu balsi un „policista“ palīdzību pie telefona. Klonēta balss noņem tieši to pazīmi, kas agrāk daļu cilvēku apturēja.

Viltots videozvans

Publiski ir aprakstīti gadījumi, kuros darbinieks noticēja videokonferencei ar vairākiem „vadītājiem“ un pārskaitīja summu, kas mērāma miljonos. Viltots videozvans tātad vairs nav teorija. Tehniski tas ir grūtāk nekā balss, tāpēc šādi uzbrukumi pagaidām ir retāki, taču pieņēmums „ja redzu seju, tad tas ir viņš“ vairs nestrādā.

Viltotas balss un video pazīmes

Deepfake nav ideāls. Sīkas nepilnības tajā parasti ir. Problēma ir cita: zem spiediena tās pamana retāk.

Pievērsiet uzmanību šādām pazīmēm:

• zvanītājs rada spēcīgu laika spiedienu,
• negrib, lai par lūgumu uzzina kāds cits,
• prasa neierastu maksājumu vai konta numura maiņu,
• uzsver, ka lieta ir konfidenciāla vai īpaši jutīga,
• atsakās pāriet uz citu saziņas kanālu,
• atbildes atnāk ar nelielu aizturi vai skan nedabiski,
• balss ir pareiza, bet emocija situācijai neatbilst,
• videozvanā dīvaini kustas lūpas, acis vai sejas muskuļi,
• sakaru kvalitāte ir uzkrītoši slikta,
• zvanītājs izvairās no negaidītiem jautājumiem.

Svarīgākā pazīme nav tehniska. Tā ir pazīstamas personas un steidzama lūguma kombinācija. Ja kaut ko svarīgu grib pazīstams cilvēks un grib to tūlīt, tas ir brīdis, kad ir vērts palēnināt tempu.

Kāpēc latviešu valoda vēl kādu laiku palīdz

Viena vietēja priekšrocība Latvijā pagaidām ir, un to ir godīgi nosaukt kopā ar derīguma termiņu. Latviešu valodā balss klonēšanas rīkiem ir mazāk mācību materiāla nekā angļu vai krievu valodā, tāpēc klonēta latviešu runa mēdz aiziet greizi tieši tur, kur valodai ir sava specifika: saīsinās garie patskaņi, uzsvars aizslīd no pirmās zilbes, personvārdi un vietvārdi skan neveikli, savukārt skaitļus, datumus un rēķinu numurus balss izrunā nepareizā locījumā.

Paļauties uz to kā uz aizsardzību tomēr nav vērts, un tam ir trīs iemesli. Pirmkārt, šī pazīme ar katru modeļa paaudzi vājinās. Otrkārt, uzbrucējs to apiet ar scenāriju: īsa saruna, slikts sakars, troksnis fonā, viens teikums un pārtraukts zvans. Treškārt, daļa krāpniecisko zvanu Latvijā notiek krievu valodā, un tur šī plaisa jau ir aizvērta.

Praktiskais secinājums sakrīt ar to, ko rakstījām par sociālo inženieriju kopumā: pēc ziņas vai zvana formas uzbrukumu vairs nevar droši atpazīt. Vērtēt ir vērts pašu lūgumu, nevis to, cik dabiski tas skan.

Kā pārbaudīt aizdomīgu zvanu

Labākā aizsardzība pret deepfake krāpšanu ir pārbaude otrā kanālā.

Ja „vadītājs“ zvana un prasa maksājumu, pārtrauciet sarunu un atzvaniet uz numuru, kas jau ir kontaktos vai iekšējā katalogā. Uz numuru, no kura zvanīja, atzvanīt nav vērts. Ja „kolēģis“ raksta no nepazīstama numura, pārjautājiet uzņēmuma tērzēšanā. Ja panikā zvana „bērns“, pajautājiet ko tādu, ko zina tikai ģimene. Ja zvanītājs uzdodas par banku, pārtrauciet sarunu un zvaniet uz numuru, kas rakstīts uz kartes aizmugures vai internetbankā.

Uzņēmumā ar to vien ir par maz, ja kārtība nav uzrakstīta. Steidzamam maksājumam vajag otru apstiprinātāju. Piegādātāja konta numura maiņu pārbauda pa numuru no līguma, nevis pa to, kas norādīts jaunajā vēstulē. Neviens jutīgs lūgums nepaliek pie vienas balss ziņas.

Ko uzņēmumam ierakstīt noteikumos

Deepfake krāpšana sen vairs nav kuriozs, par kuru pastāstīt konferencē. Tā ir daļa no šodienas draudu ainas, un aizsardzība pret to lielākoties ir procesa, nevis tehnoloģijas jautājums.

1. Maksājumu noteikums. Neviens maksājums neaiziet, pamatojoties tikai uz telefona zvanu vai balss ziņu.
2. Četru acu princips. Summām virs noteiktas robežas vajag divus cilvēkus, un otrais nav tas pats, kurš maksājumu sagatavoja.
3. Konta numura maiņa. To pārbauda pa neatkarīgu, jau zināmu kanālu, un pierakstu par pārbaudi pievieno rēķinam.
4. Apmācības ar balss scenārijiem. Vēstuļu piemēri vien nesagatavo cilvēku sarunai, kurā runā pazīstama balss.
5. Mazāk publiska materiāla par iekšējiem procesiem. Kurš paraksta maksājumus, kurš aizvieto atvaļinājumā, kā sauc grāmatvedības sistēmu – tas viss ir izejmateriāls ieganstam.
6. Vienkāršs ceļš, kā ziņot par aizdomīgu zvanu. Ziņotājam nedraud rājiens, un to zina visi.
7. Skaidra ziņa komandai: pārbaude nav neuzticēšanās. Tā ir parasta darba kārtība, tāpat kā rēķina saskaņošana.

Vai šie noteikumi izturēs īstu zvanu, minēt nav vērts. To izmēra saskaņota sociālās inženierijas testēšana, kurā balss zvanu scenāriji ietilpst tāpat kā pikšķerēšanas vēstules: iepriekš saskaņojam tvērumu un noteikumus, izspēlējam scenārijus konkrētajam uzņēmumam un pēc tam sagatavojam ziņojumu par to, kur saruna apstājās un kur ne. Ko šāda kampaņa mēra un kāpēc svarīgākais skaitlis nav klikšķu rādītājs, aprakstījām rakstā kas ir sociālā inženierija.

Ko darīt, ja maksājums jau aizgājis

Pirmās stundas izšķir vairāk nekā viss pārējais.

1. Zvaniet bankai uzreiz un lūdziet apturēt vai atsaukt maksājumu. Ja nauda saņēmēja kontā vēl nav ieskaitīta, iespēja to apturēt ir reāla.
2. Fiksējiet faktus. Zvana laiks un numurs, ekrānuzņēmumi, maksājuma uzdevums, sarakste, kas zvanam sekoja.
3. Nomainiet paroles un pārtrauciet aktīvās sesijas kontiem, par kuriem sarunā runāja.
4. Ziņojiet Valsts policijai. Krāpšana ir noziedzīgs nodarījums, un bankai vēlāk noder lietas numurs.
5. Pastāstiet komandai tajā pašā dienā. Viens zvans reti ir vienīgais: pārējiem zvana pēc tā paša scenārija, un brīdinājums ir lētākais no visiem pretpasākumiem.
6. Izvērtējiet ziņošanas pienākumu. Ja uzņēmums ir NKDL subjekts, notikušais var būt kiberincidents. Ziņošanas pienākumu nosaka NKDL 34. pants, bet klasifikāciju, termiņus un formu – MK noteikumi Nr. 397. Precīzo termiņu pārbaudiet spēkā esošajā normas tekstā, nevis raksta kopsavilkumā.
7. Par krāpnieciskiem zvaniem, vēstulēm un viltotām vietnēm var ziņot arī CERT.LV.

Ko par darbinieku sagatavotību prasa Latvijas normatīvie akti

Balss krāpšanas pārbaudi kā atsevišķu procedūru Latvijas normatīvie akti nenosauc, un to ir godīgi pateikt uzreiz: tas ir komercpakalpojums. Nosaukti ir divi blakus stāvoši pienākumi, un tieši tie šo tēmu ievelk gada plānā.

Pirmais ir instruktāža. NKDL 25. panta piektās daļas 4. punkts uzliek kiberdrošības pārvaldniekam pienākumu ne retāk kā reizi gadā nodrošināt, ka tiek veikta institūcijā nodarbināto instruktāža par subjektam aktuālajiem kiberriskiem un kiberdrošību. Aktuālie kiberriski bez viltota zvana šodien vairs nav aktuālie kiberriski, tāpēc balss krāpšanas scenāriji instruktāžā ietilpst pēc būtības.

Otrais ir apmācība. NKDL 28. panta pirmā daļa prasa izstrādāt kiberrisku pārvaldības un darbības nepārtrauktības plānu un nodrošināt darbiniekiem regulāru apmācību tā īstenošanai. Maksājumu apstiprināšanas kārtība un atzvanīšanas noteikums ir tieši tā daļa, kurai apmācība ir vajadzīga: pasta filtrs balss zvanu neredz vispār, un neviens tehnisks pasākums neizlemj cilvēka vietā, vai lūgums ir pamatots.

Ko norunāt ģimenē

Balss klonēšana nav tikai uzņēmumu risks. Privātajā pusē tā aug pat straujāk, jo mājās nav ne maksājumu kārtības, ne otra apstiprinātāja.

Vienojieties par dažiem vienkāršiem noteikumiem:

• ģimenes kontrolvārds ārkārtas gadījumiem,
• noteikums, ka nauda nekad neaiziet zem spiediena,
• pārbaude ar atzvanu uz zināmu numuru,
• jautājumi, uz kuriem atbildi zina tikai ģimene,
• kodi un personas dati nekad neceļo tālāk īsziņā vai sarunā.

Gados vecāki cilvēki ir īpaši neaizsargāti pret zvaniem, kas spēlē uz bailēm. Šos scenārijus ir labāk pārrunāt iepriekš, nevis pēc notikuma. Praktiskākais solis ir pavisam vienkāršs: norunāt vārdu, ko svešinieks pa telefonu nezinās, un vienoties, ka bez tā nauda nekur neaiziet.

Kopsavilkums

Deepfake krāpšana ir bīstama tāpēc, ka tā uzbrūk uzticēšanās mehānismam. Balsij un sejai cilvēks tic instinktīvi, un tieši to mākslīgais intelekts izmanto.

Pamatnoteikums ir īss: naudai, parolēm, kontu numuriem un jutīgiem datiem ar balsi vien nepietiek. Vajag pārbaudi.

Teikums „es pārbaudīšu un atzvanīšu“ nav nepieklājīgs. Tas ir lētākais drošības pasākums, kāds vispār ir pieejams: viens teikums, kas var izglābt naudu, uzņēmumu un personas datus.

HAXORIS ir Slovākijā reģistrēts uzņēmums, un Latvijā tam nav ne biroja, ne pārstāvniecības; zvanu scenārijus un vēstules tāpēc sagatavojam latviski kopā ar klienta komandu. Piedāvājam sociālās inženierijas testēšanu, kurā telefona kanāls ir līdzvērtīgs e-pastam, un darbinieku kiberdrošības apmācības, kurās izejam cauri tieši tiem zvaniem un vēstulēm, ko komanda dažas nedēļas iepriekš tiešām saņēma.

Deepfake krāpšana un vishing – biežāk uzdotie jautājumi

Saistītie Haxoris pakalpojumi: sociālās inženierijas testi un pikšķerēšanas simulācijas