Hvordan svindlere bruger AI i bankbedrageri

AI har givet svindlere mulighed for at omgå anti-spoofing-kontroller og stemmeverifikation, så de kan producere falske identitetspapirer og finansielle dokumenter på bemærkelsesværdigt kort tid. Deres metoder er blevet mere opfindsomme, efterhånden som generativ teknologi udvikler sig. Hvordan kan forbrugere beskytte sig selv, og hvad kan finansielle institutioner gøre for at hjælpe?

1. Deepfakes forbedrer imposter-svindel

AI har gjort det muligt for svindlere at udføre den største succesfulde imposter-svindel, der nogensinde er registreret. I 2024 tabte det britisk-baserede ingeniørkonsulentfirma Arup omkring 25 millioner dollar, efter at svindlere havde tricket en medarbejder til at overføre midler under en live video-konference. De havde digitalt klonet virkelige ledere, herunder finansdirektøren.

Deepfakes bruger generator- og diskrimineringsalgoritmer til at skabe en digital kopi og evaluere realisme, hvilket gør det muligt for dem at overbevisende efterligne en persons ansigtstræk og stemme. Med AI kan kriminelle skabe en deepfake ved hjælp af blot ét minut af lyd og et enkelt billede. Da disse kunstige billeder, lydklipp eller videoer kan være forudindspillet eller live, kan de optræde hvor som helst.

2. Generative modeller sender falske svindel-advarsler

En generativ model kan samtidig sende tusindvis af falske svindel-advarsler. Forestil dig, at nogen hacker en forbruger-elektronik-website. Når store ordrer kommer ind, ringer deres AI til kunderne og siger, at banken har markeret transaktionen som svindel. Det anmoder om deres kontonummer og svarene på deres sikkerheds-spørgsmål, og siger, at det skal verificere deres identitet.

Det hastige opkald og antydningen af svindel kan overbevise kunderne om at afsløre deres bank- og personlige oplysninger. Da AI kan analysere enorme mængder data på få sekunder, kan det hurtigt henvise til virkelige fakta for at gøre opkaldet mere overbevisende.

3. AI-personalisering faciliterer konto-overtagelse

En cyberkriminel kunne bruge en kombination af gæt og liste over adgangskoder, men de bruger ofte stjålne login-oplysninger. De ændrer straks adgangskoden, backup-e-mail og multifaktor-autentificeringsnummer for at forhindre den rigtige konto-ejer i at få adgang. Cybersikkerhedseksperter kan forsvare sig mod disse taktikker, fordi de kender playbogen. AI introducerer ukendte variabler, som svækker deres forsvar.

Personalisering er det farligste våben, en svindler kan have. De sigter ofte på mennesker under peak-trafik-perioder, hvor mange transaktioner finder sted – som Black Friday – for at gøre det sværere at overvåge svindel. En algoritme kunne tilpasse sendetiderne efter en persons rutine, indkøbsvaner eller meddelelsespræferencer, hvilket gør det mere sandsynligt, at de engagerer sig.

Avanceret sproggenerering og hurtig behandling gør det muligt at generere masse-e-mails, domæne-spoofing og indholdspersonalisering. Selv hvis svindlere sender 10 gange så mange meddelelser, vil hver enkelt meddelelse synes ægte, overbevisende og relevant.

4. Generativ AI fornyer den falske website-svindel

Generativ teknologi kan gøre alt fra at designe wireframes til at organisere indhold. En svindler kan betale få øre for at skabe og redigere en falsk, kode-fri investerings-, lån- eller bank-website inden for sekunder.

I modsætning til en konventionel phishing-side kan den opdatere i næsten realtid og reagere på interaktion. For eksempel, hvis nogen ringer til det opførte telefonnummer eller bruger den live-chats-funktion, kan de blive forbundet med en model, der er trænet til at opføre sig som en finansielle rådgiver eller bankansat.

I et sådant tilfælde klonede svindlere Exante-platformen. Den globale fintech-virksomhed giver brugerne adgang til over 1 million finansielle instrumenter i dusinvis af markeder, så ofrene troede, de investerede legitimt. Men de deponerede uvidende midler i en JPMorgan Chase-konto.

Natalia Taft, Exantes chef for compliance, sagde, at virksomheden fandt “flere” lignende svindel, hvilket tyder på, at den første ikke var et isoleret tilfælde. Taft sagde, at svindlerne gjorde en fremragende job med at klone website-grænsefladen. Hun sagde, at AI-værktøjer sandsynligvis skabte den, fordi det er et “hastespil”, og de skal “ramme så mange ofre som muligt, før de bliver lukket ned”.

5. Algoritmer omgår liveness-detektionsværktøjer

Liveness-detektion bruger realtids-biometri til at bestemme, om personen foran kameraet er ægte og matcher konto-ejerens ID. I teorien bliver det sværere at omgå autentificering, hvilket forhindrer folk i at bruge gamle billeder eller videoer. Men det er ikke så effektivt, som det engang var, takket være AI-drevne deepfakes.

Cyberkriminelle kunne bruge denne teknologi til at efterligne ægte mennesker for at accelerere konto-overtagelse. Alternativt kunne de trickere værktøjet til at verificere en falsk person, hvilket faciliterer penge-muling.

Svindlere behøver ikke at træne en model til at gøre dette – de kan købe en forudtrænet version. Et software-løsning påstår, at det kan omgå fem af de mest prominente liveness-detektionsværktøjer, som fintech-virksomheder bruger, for en engangsbetaling på 2.000 dollar. Reklamer for værktøjer som dette er talrige på platforme som Telegram, hvilket demonstrerer lethed af moderne bank-svindel.

6. AI-identiteter muliggør ny konto-svindel

Svindlere kan bruge generativ teknologi til at stjæle en persons identitet. På det sorte marked findes mange steder, der tilbyder falske stats-udstedte dokumenter som pas og kørekort. Ud over det tilbyder de også falske selfies og finansielle optegnelser.

En syntetisk identitet er en fabrikeret person, der er skabt ved at kombinere ægte og falske detaljer. For eksempel kan det sociale sikkerhedsnummer være ægte, men navnet og adressen er ikke. Som resultat er de sværere at opdage med konventionelle værktøjer. 2021-rapporten om identitet og svindel-tendenser viser, at omkring 33% af de falske positive resultater, som Equifax (EFX ) ser, er syntetiske identiteter.

Professionelle svindlere med store budgetter og høje ambitioner skaber nye identiteter med generative værktøjer. De dyrker personaen, etablerer en finansielle og kredit-historie. Disse legitime handlinger trickere know-your-customer-software, så de kan forblive uopdagede. Til sidst maksimerer de deres kredit og forsvinder med en positiv indtjening.

Selvom denne proces er mere kompleks, sker den passivt. Avancerede algoritmer, der er trænet til svindel-teknikker, kan reagere i realtid. De ved, hvornår de skal købe noget, betale af på kreditkort-gæld eller tage et lån, ligesom et menneske, hvilket hjælper dem med at undgå opdagede.

Hvad banker kan gøre for at forsvare sig mod disse AI-svindel

Forbrugere kan beskytte sig selv ved at skabe komplekse adgangskoder og være forsigtige, når de deler personlige eller konto-oplysninger. Banker bør gøre endnu mere for at forsvare sig mod AI-relateret svindel, fordi de er ansvarlige for at sikre og administrere konti.

1. Anvend multifaktor-autentificeringsværktøjer

Da deepfakes har kompromitteret biometrisk sikkerhed, bør banker stole på multifaktor-autentificering i stedet. Selv hvis en svindler succesfuldt stjæler en persons login-oplysninger, kan de ikke få adgang.

Finansielle institutioner bør fortælle kunderne, at de aldrig skal dele deres MFA-kode. AI er et kraftfuldt værktøj for cyberkriminelle, men det kan ikke pålideligt omgå sikre engangskoder. Phishing er en af de eneste måder, det kan forsøge at gøre det på.

2. Forbedre know-your-customer-standarder

Know-your-customer er en finansielle service-standard, der kræver, at banker verificerer kundernes identiteter, risikoprofiler og finansielle optegnelser. Selvom tjenesteudbydere, der opererer i lovmæssige gråzoner, ikke teknisk set er underlagt know-your-customer – nye regler, der påvirker DeFi, træder ikke i kraft før 2027 – er det en branchewide bedste praksis.

Syntetiske identiteter med årelange, legitime, omhyggeligt dyrkede transaktionshistorier er overbevisende, men fejlbehæftede. For eksempel kan enkel prompt-engineering tvinge en generativ model til at afsløre sin sande natur. Banker bør integrere disse teknikker i deres strategier.

3. Brug avanceret adfærdshantering

En bedste praksis, når man kæmper mod AI, er at bekæmpe ild med ild. Adfærdshantering, der er drevet af et machine learning-system, kan samle en enorm mængde data på titusindvis af mennesker samtidig. Det kan spore alt fra musbevægelser til tidsstemplede adgangslogfiler. En pludselig ændring indikerer en konto-overtagelse.

Selvom avancerede modeller kan efterligne en persons indkøbs- eller kredit-vaner, hvis de har nok historiske data, vil de ikke vide, hvordan de skal efterligne scroll-hastighed, swipe-mønstre eller musbevægelser, hvilket giver banker en subtil fordel.

4. Udfør omfattende risikovurderinger

Banker bør udføre risikovurderinger under konto-oprettelse for at forhindre ny konto-svindel og afvise ressourcer fra penge-muling. De kan starte med at søge efter uregelmæssigheder i navn, adresse og SSN.

Selvom syntetiske identiteter er overbevisende, er de ikke fejlfrie. En grundig søgning i offentlige optegnelser og sociale medier ville afsløre, at de kun er dukket op for nylig. En professionel kunne fjerne dem, hvis de havde nok tid, og forhindre penge-muling og finansielle svindel.

En midlertidig hold eller overførselsbegrænsning, der afventer verificering, kunne forhindre svindlere i at skabe og dumppe konti massevis. Selvom processen kan være mindre intuitiv for rigtige brugere, kan det spare forbrugere tusindvis eller endda titusindvis af dollars på længere sigt.

Beskyttelse af kunder mod AI-svindel og -svindel

AI udgør en alvorlig problem for banker og fintech-virksomheder, fordi svindlere ikke behøver at være eksperter – eller endda meget teknisk kyndige – for at udføre sofistikerede svindel. Desuden behøver de ikke at bygge en specialiseret model. I stedet kan de “jailbreak” en generel formål-model. Da disse værktøjer er så tilgængelige, må banker være proaktive og omhyggelige.