Wie Betrüger KI bei Bankbetrug einsetzen

KI hat es Betrügern ermöglicht, Anti-Spoofing-Checks und Sprachverifizierung zu umgehen, um gefälschte Identitäts- und Finanzdokumente zu erstellen. Ihre Methoden sind mit der Entwicklung der generativen Technologie immer erfinderischer geworden. Wie können Verbraucher sich selbst schützen und was können Finanzinstitute tun, um gegen diese KI-Betrügereien vorzugehen?

1. Deepfakes verbessern den Impostor-Betrug

KI ermöglichte den größten erfolgreichen Impostor-Betrug, der je aufgezeichnet wurde. Im Jahr 2024 verlor das in Großbritannien ansässige Ingenieurbüro Arup etwa 25 Millionen Dollar, nachdem Betrüger einen Mitarbeiter dazu gebracht hatten, während einer Live-Video-Konferenz Geld zu überweisen. Sie hatten digitale Klone von realen Führungskräften, einschließlich des Finanzvorstands, erstellt.

Deepfakes verwenden Generator- und Diskriminator-Algorithmen, um ein digitales Duplikat zu erstellen und die Realität zu bewerten, sodass sie jemandes Gesichtszüge und Stimme überzeugend nachahmen können. Mit KI können Kriminelle ein Deepfake erstellen, indem sie nur eine Minute Audio und ein einziges Foto verwenden. Da diese künstlichen Bilder, Audio-Clips oder Videos vorab aufgezeichnet oder live sein können, können sie überall auftauchen.

2. Generative Modelle senden gefälschte Betrugswarnungen

Ein generatives Modell kann gleichzeitig Tausende von gefälschten Betrugswarnungen senden. Stellen Sie sich vor, dass jemand in eine Website für Verbraucherelektronik eindringt. Wenn große Bestellungen hereinkommen, ruft die KI der Kunden an und sagt, dass die Bank die Transaktion als betrügerisch markiert hat. Sie bittet um die Kontonummer und die Antworten auf die Sicherheitsfragen, um die Identität zu verifizieren.

Der dringende Anruf und die Andeutung von Betrug können Kunden dazu bringen, ihre Bank- und persönlichen Informationen preiszugeben. Da KI innerhalb von Sekunden große Mengen an Daten analysieren kann, kann sie sich auf reale Fakten beziehen, um den Anruf überzeugender zu machen.

3. KI-Personalisierung erleichtert die Übernahme von Konten

Während ein Cyberkrimineller auf brute-force-Methode zurückgreifen und endlos Passwörter erraten könnte, verwenden sie oft gestohlene Anmeldedaten. Sie ändern sofort das Passwort, die Backup-E-Mail und die Zwei-Faktor-Authentifizierungsnummer, um zu verhindern, dass der reale Kontoinhaber sie ausschließt. Cyber-Sicherheitsexperten können sich gegen diese Taktiken verteidigen, da sie das Spielbuch kennen. KI führt jedoch unbekannte Variablen ein, die ihre Verteidigung schwächen.

Personalisierung ist das gefährlichste Mittel, das ein Betrüger haben kann. Sie zielen oft auf Menschen ab, die während Spitzenverkehrszeiten, wie an Black Friday, viele Transaktionen durchführen, um es schwieriger zu machen, auf Betrug zu achten. Ein Algorithmus könnte die Sendezeit basierend auf den Gewohnheiten, Einkaufsvorlieben oder Nachrichtenpräferenzen einer Person anpassen, um sie eher zum Handeln zu bewegen.

Erweiterte Sprachgenerierung und schnelle Verarbeitung ermöglichen die Massenerstellung von E-Mails, Domain-Spoofing und Inhalts-Personalisierung. Selbst wenn schlechte Schauspieler zehnmal so viele Nachrichten senden, wird jede einzelne authentisch, überzeugend und relevant erscheinen.

4. Generative KI revolutioniert den Fake-Website-Betrug

Generative Technologie kann alles tun, von der Erstellung von Wireframes bis zur Organisation von Inhalten. Ein Betrüger kann für ein paar Cent eine gefälschte, keine Code-Investment-, Kredit- oder Bank-Website innerhalb von Sekunden erstellen und bearbeiten.

Im Gegensatz zu einer herkömmlichen Phishing-Seite kann sie in Echtzeit aktualisiert werden und auf Interaktionen reagieren. Wenn beispielsweise jemand die angegebene Telefonnummer anruft oder die Live-Chat-Funktion verwendet, kann er mit einem Modell verbunden werden, das wie ein Finanzberater oder Bankangestellter ausgebildet wurde.

In einem solchen Fall klonten Betrüger die Exante-Plattform. Das globale FinTech-Unternehmen bietet Benutzern Zugang zu über einer Million Finanzinstrumenten in Dutzenden von Märkten, sodass die Opfer dachten, sie investierten legitimerweise. Sie waren sich jedoch nicht bewusst, dass sie Geld auf ein JPMorgan Chase-Konto einzahlten.

Natalia Taft, Leiterin der Compliance bei Exante, sagte, dass das Unternehmen “einige” ähnliche Betrügereien gefunden habe, was darauf hindeutet, dass es sich nicht um einen isolierten Fall handelte. Taft sagte, die Betrüger hätten hervorragende Arbeit geleistet, die Website-Schnittstelle zu klonen. Sie sagte, dass KI-Tools wahrscheinlich verwendet wurden, da es ein “Spiel mit der Zeit” ist und sie so viele Opfer wie möglich treffen müssen, bevor sie abgeschaltet werden.

5. Algorithmen umgehen Liveness-Erkennungstools

Liveness-Erkennung verwendet Echtzeit-Biometrie, um zu bestimmen, ob die Person vor der Kamera real ist und der Kontoinhaber entspricht. Theoretisch wird es schwieriger, die Authentifizierung zu umgehen, was verhindert, dass Personen alte Fotos oder Videos verwenden. Es ist jedoch nicht so effektiv wie früher, dank KI-gesteuerter Deepfakes.

Cyberkriminelle könnten diese Technologie verwenden, um echte Personen nachzuahmen, um die Übernahme von Konten zu beschleunigen. Alternativ könnten sie das Tool täuschen, um eine gefälschte Person zu verifizieren, was Geldwäsche erleichtert.

Betrüger müssen kein Modell trainieren, um dies zu tun – sie können ein vorgefertigtes Modell kaufen. Eine Software-Lösung behauptet, fünf der bekanntesten Liveness-Erkennungstools, die von FinTech-Unternehmen verwendet werden, für einen einmaligen Kaufpreis von 2.000 Dollar umgehen zu können. Werbung für solche Tools ist reichlich auf Plattformen wie Telegram verfügbar, was die Leichtigkeit des modernen Bankbetrugs zeigt.

6. KI-Identitäten ermöglichen neuen Kontobetrug

Betrüger können generative Technologie verwenden, um die Identität einer Person zu stehlen. Im Dark Web gibt es viele Orte, die gefälschte staatliche Dokumente wie Pässe und Führerscheine anbieten. Darüber hinaus bieten sie gefälschte Selfies und Finanzunterlagen an.

Eine synthetische Identität ist eine gefälschte Person, die durch die Kombination von realen und gefälschten Details erstellt wird. Beispielsweise kann die Sozialversicherungsnummer real sein, aber der Name und die Adresse nicht. Als Ergebnis sind sie schwieriger zu erkennen, da herkömmliche Werkzeuge sie nicht erkennen können. Der Bericht “Identity and Fraud Trends” von 2021 zeigt, dass etwa 33 % der falschen Positivergebnisse, die Equifax (EFX ) sieht, synthetische Identitäten sind.

Professionelle Betrüger mit großzügigen Budgets und hohen Ambitionen erstellen neue Identitäten mit generativen Werkzeugen. Sie kultivieren die Person, indem sie eine Finanz- und Kreditgeschichte aufbauen. Diese legitimen Aktionen täuschen Know-Your-Customer-Software, sodass sie unentdeckt bleiben. Schließlich geben sie ihre Kredite aus und verschwinden mit positivem Gewinn.

Obwohl dieser Prozess komplexer ist, geschieht er passiv. Erweiterte Algorithmen, die auf Betrugstechniken trainiert sind, können in Echtzeit reagieren. Sie wissen, wann sie einen Kauf tätigen, Kreditkarten-Schulden bezahlen oder ein Darlehen aufnehmen sollen, wie ein Mensch, was es ihnen ermöglicht, der Entdeckung zu entgehen.

Was Banken tun können, um sich gegen diese KI-Betrügereien zu verteidigen

Verbraucher können sich selbst schützen, indem sie komplexe Passwörter erstellen und vorsichtig sind, wenn sie persönliche oder Kontoinformationen teilen. Banken sollten jedoch noch mehr tun, um sich gegen KI-gesteuerten Betrug zu verteidigen, da sie für die Sicherheit und Verwaltung von Konten verantwortlich sind.

1. Einsatz von Zwei-Faktor-Authentifizierungstools

Da Deepfakes die biometrische Sicherheit gefährdet haben, sollten Banken auf Zwei-Faktor-Authentifizierung zurückgreifen. Selbst wenn ein Betrüger erfolgreich die Anmeldedaten von jemandem stiehlt, kann er nicht auf das Konto zugreifen.

Finanzinstitute sollten Kunden mitteilen, dass sie ihren MFA-Code niemals teilen sollten. KI ist ein mächtiges Werkzeug für Cyberkriminelle, aber sie kann nicht zuverlässig sichere Einmal-Passcodes umgehen. Phishing ist eine der wenigen Möglichkeiten, wie sie dies versuchen kann.

2. Verbesserung der Know-Your-Customer-Standards

KYC ist ein Finanzdienstleistungsstandard, der von Banken verlangt, die Identität, das Risikoprofil und die Finanzunterlagen von Kunden zu überprüfen. Obwohl Dienstleister, die in grauen Bereichen operieren, nicht technisch an KYC gebunden sind – neue Regeln, die DeFi betreffen, werden nicht vor 2027 in Kraft treten – ist es eine branchenweite Best Practice.

Synthetische Identitäten mit jahrelanger, legitimer, sorgfältig kultivierter Transaktionsgeschichte sind überzeugend, aber fehlerhaft. Zum Beispiel kann einfaches Prompt-Engineering ein generatives Modell dazu zwingen, seine wahre Natur preiszugeben. Banken sollten diese Techniken in ihre Strategien integrieren.

3. Einsatz von erweiterten Verhaltensanalysen

Eine gute Praxis beim Kampf gegen KI ist, mit Feuer zu kämpfen. Verhaltensanalysen, die von einem Machine-Learning-System angetrieben werden, können eine enorme Menge an Daten von Zehntausenden von Menschen gleichzeitig sammeln. Sie können alles von Mausbewegungen bis hin zu Zeitstempeln von Zugriffsprotokollen verfolgen. Eine plötzliche Änderung weist auf eine Kontoumgehungsversuch hin.

Erweiterte Modelle können das Kauf- oder Kreditverhalten einer Person nachahmen, wenn sie genügend historische Daten haben, aber sie werden nicht wissen, wie sie Mausbewegungen, Wischmuster oder Mausbewegungen nachahmen sollen, was den Banken einen subtilen Vorteil verschafft.

4. Durchführung umfassender Risikobewertungen

Banken sollten Risikobewertungen während der Kontenerstellung durchführen, um neuen Kontobetrug zu verhindern und Ressourcen von Geldwäsche zu verwehren. Sie können damit beginnen, Ungereimtheiten in Namen, Adresse und Sozialversicherungsnummer zu suchen.

Obwohl synthetische Identitäten überzeugend sind, sind sie nicht narrensicher. Eine gründliche Suche in öffentlichen Aufzeichnungen und sozialen Medien würde zeigen, dass sie erst kürzlich entstanden sind. Ein Profi könnte sie gegebenenfalls entfernen, um Geldwäsche und Finanzbetrug zu verhindern.

Eine vorübergehende Sperre oder Übertragungsgrenze, die der Verifizierung vorausgeht, könnte verhindern, dass schlechte Schauspieler Konten en masse erstellen und dumpen. Zwar kann dieser Prozess für reale Benutzer weniger intuitiv sein, aber er könnte Verbrauchern Tausende oder sogar Zehntausende von Dollar im Laufe der Zeit sparen.

Schutz der Kunden vor KI-Betrügereien und -Betrug

KI stellt ein ernstes Problem für Banken und FinTech-Unternehmen dar, da schlechte Schauspieler keine Experten oder sogar technisch versierte Personen sein müssen, um komplexe Betrügereien durchzuführen. Sie müssen auch kein spezielles Modell erstellen. Stattdessen können sie ein allgemeines Modell knacken. Da diese Werkzeuge so zugänglich sind, müssen Banken proaktiv und gewissenhaft sein.