Deepfake prevare in vishing: kako prepoznati lažni glas

Med sestankom vam zazvoni telefon. Številka je neznana, glas pa znan. »Živjo, v avtu sem in ne morem dolgo govoriti. Še danes moraš nakazati avans. Podrobnosti imaš v e-pošti.« Zveni kot vaš direktor. Ton je pravi. Ritem govora je pravi. Celo kratke fraze zvenijo prav.

Le da direktor o tem ne ve ničesar.

Tako je lahko videti deepfake prevara v kombinaciji z vishingom (lažnimi telefonskimi klici). Vishing je glasovna različica phishinga (spletnega ribarjenja) – prevara, ki poteka po telefonu. Deepfake glas oziroma kloniranje glasu (voice cloning) ji doda nekaj, čemur ljudje močno zaupamo: znan glas.

Pri deepfake prevarah ne gre samo za tehnologijo. Gre za zaupanje, stres in hitre odločitve. Napadalec noče, da razmišljate. Hoče, da se odzovete.

To ne pomeni, da moramo postati paranoični. Pomeni, da je treba pomembne odločitve preveriti – zlasti kadar gre za denar, dostope, osebne podatke ali občutljive poslovne informacije.

Širše ozadje pojasnjujemo v članku Umetna inteligenca (AI) kot napadalec.

Deepfake prevare in vishing sledijo isti logiki kot AI phishing: napadalec ustvari prepričljivo zgodbo in žrtev potisne v hitro odločitev. Gradivo za to zgodbo pogosto dobi z metodo OSINT (zbiranje podatkov iz javnih virov).

Kaj je deepfake?

Deepfake (globoki ponaredek) je umetno ustvarjen ali spremenjen zvočni posnetek, slika ali videoposnetek, ki posnema resnično osebo. Z AI lahko napadalci ustvarijo glas, ki zveni kot določena oseba, ali videoposnetek, v katerem sta obraz in mimika videti zelo prepričljiva.

Včasih zadostuje že razmeroma kratek vzorec glasu. Uporabno gradivo lahko ponudi javni nastop, podkast, posnetek s konference, intervju na YouTubu, spletno izobraževanje ali kratek posnetek na družbenih omrežjih.

Zato je digitalni odtis povsem praktična varnostna tema. Javni videoposnetki, profili, fotografije s konferenc in objave lahko služijo tako poizvedovanju z metodo OSINT kot pripravi deepfake posnetka.

Tveganje torej ni omejeno na znane osebnosti. Tarča so lahko vodje, lastniki podjetij, učitelji, zdravniki, nepremičninski posredniki, prodajalci, vplivneži in vsi, ki imajo javno dostopne videoposnetke ali zvočne posnetke.

Kaj je vishing?

Vishing je glasovni phishing. Napadalec skuša žrtev s telefonskim klicem ali glasovnim sporočilom prepričati, naj stori nekaj škodljivega ali tveganega.

Tipični cilji so:

• nakazilo denarja
• posredovanje kode iz SMS-sporočila
• potrditev plačila
• sprememba bančnega računa
• razkritje gesla
• namestitev aplikacije
• posredovanje osebnih podatkov
• odpiranje povezave, poslane v SMS-sporočilu

Vishing je obstajal že pred AI. Goljufi so ljudi klicali in se predstavljali kot banka, policija ali tehnična podpora. AI dodaja novo raven verodostojnosti: glas lahko zveni kot nekdo, ki ga poznate.

Kako je lahko videti deepfake prevara

Direktorska prevara (CEO fraud)

Zaposleni prejme klic ali glasovno sporočilo osebe, ki zveni kot direktor. Klicatelj pravi, da je na sestanku, da ne more pisati in da je treba nujno plačati račun. Položaj deluje verodostojno, ker je glas znan, zahteva pa je videti kot službena prioriteta.

Prevara, usmerjena v finančni oddelek

Napadalec se izdaja za dobavitelja ali vodjo in zahteva, da se na fakturi spremeni številka bančnega računa. Če ni jasnega postopka preverjanja, lahko zaposleni spremembo izvede v dobri veri.

Prevara z nujnim primerom v družini

Enega od staršev pokliče glas, ki zveni kot njegov otrok. Trdi, da je imel nesrečo, da je izgubil telefon, da je v težavah ali da nujno potrebuje denar. Cilj je sprožiti paniko in preprečiti preverjanje.

Prevara z videoklicem

Javno znani so primeri, ko so zaposleni verjeli videoklicu z lažnimi nadrejenimi in nakazali visoke zneske. Takšni napadi kažejo, da deepfake video ni le teoretična grožnja. Prizadene lahko resnična podjetja.

Opozorilni znaki lažnega glasu ali videa

Deepfake ni nujno popoln. Pogosto ima drobne napake. Težava je, da jih pod stresom težje opazimo.

Bodite pozorni na te znake:

• klicatelj ustvarja močan časovni pritisk
• noče, da zadevo preverite pri kom drugem
• zahteva neobičajno plačilo ali spremembo računa
• trdi, da je zadeva tajna ali občutljiva
• noče preiti na drug komunikacijski kanal
• odgovori prihajajo z rahlim zamikom ali zvenijo nenaravno
• glas je pravi, čustva pa se z njim ne ujemajo
• gibi ustnic, oči ali obraza so na videu nenavadni
• kakovost klica je namerno slaba
• sogovornik se izogiba nepričakovanim vprašanjem

Najpomembnejši znak ni tehničen. Je kombinacija zaupanja vredne identitete in nujne zahteve. Ko nekdo, ki ga poznate, v naglici zahteva nekaj pomembnega, upočasnite.

Kako preveriti sumljiv klic

Najzanesljivejša obramba pred deepfake prevarami je preverjanje po drugem kanalu.

Če vas pokliče »direktor« in zahteva plačilo, prekinite klic in ga pokličite nazaj na številko, ki jo že poznate. Ne kličite nazaj na sumljivo številko. Če vam »sodelavec« piše z neznane številke, to preverite v službenem klepetu. Če vas v paniki pokliče »otrok«, mu postavite vprašanje, na katero zna odgovoriti samo on.

Podjetja naj uvedejo tudi dogovorjene varnostne fraze ali pravila preverjanja. Nujna plačila naj zahtevajo drugo odobritev. Spremembo bančnega računa dobavitelja je treba preveriti pri prvotno evidentiranem kontaktu. Občutljive zahteve se nikoli ne smejo opirati samo na glasovno sporočilo.

Če je do nakazila ali razkritja podatkov že prišlo, takoj pokličite svojo banko, prevaro prijavite policiji in jo sporočite nacionalnemu odzivnemu centru za kibernetsko varnost SI-CERT (cert.si).

Kaj naj storijo podjetja

Podjetja naj deepfake prevar ne obravnavajo več kot zanimivost. So del današnje varnostne realnosti.

Praktični ukrepi:

1. Določite pravila za nujna plačila. Nobenega plačila ne izvedite samo na podlagi telefonskega klica.
2. Za višje zneske uvedite dvojno odobritev.
3. Spremembo bančnega računa dobavitelja preverite prek neodvisnega kontakta.
4. Zaposlene izobražujte o vishingu in deepfake scenarijih.
5. Omejite javno objavljanje občutljivih internih informacij.
6. Vzpostavite preprost postopek za prijavo sumljivih klicev.
7. Zaposlene naučite, da preverjanje ni nezaupanje. Je profesionalni standard.

Kaj naj storijo družine

Glasovne deepfake prevare niso samo poslovno tveganje. Tveganje narašča tudi za družine.

Dogovorite se za preprosta pravila:

• družinsko geslo za nujne primere
• pravilo, da denarja nikoli ne nakazujete pod pritiskom
• preverjanje s povratnim klicem
• vprašanja, na katera zna odgovoriti samo družinski član
• nobenega pošiljanja kod ali osebnih podatkov v sporočilih

Starejši so lahko še posebej ranljivi za klice, ki vzbujajo strah. O takih scenarijih se je bolje pogovoriti vnaprej, ne šele po incidentu.

Sklep

Deepfake prevare so nevarne, ker napadajo zaupanje. Glasu in obrazu verjamemo že po naravi. AI lahko to zaupanje zlorabi.

Osnovno pravilo je preprosto: pri denarju, geslih, računih in občutljivih podatkih glas ni dovolj. Vedno je treba preveriti.

Nič ni narobe, če rečete: »To preverim in se vam oglasim.« Ta stavek lahko reši denar, podjetje in osebne podatke.

Povezane storitve: testi socialnega inženiringa in simulacije phishing napadov · izobraževanje zaposlenih o kibernetski varnosti