Είναι οι Τράπεζες Έτοιμες για την Απατεωνική Υπεξαίρεση Φωνής AI;

Η AI-γεννημένη φωνή έχει αλλάξει την οικονομία της απάτης. Αυτό που κάποτε απαιτούσε έναν εξειδικευμένο απατεώνα, ένα πειστικό σενάριο ή einen υπονομευμένο τηλεφωνικό αριθμό τώρα μπορεί να επιχειρηθεί σε κλίμακα με εργαλεία που ακούγονται συναρπαστικά ανθρώπινα.

Και αυτό που είναι ακόμα πιο ανησυχητικό, έχουν στο στόχαστρο τον χρηματοοικονομικό τομέα. Στις αρχές του 2024, ένας εργαζόμενος της Arup σε μια βίντεο-κλήση με τον CFO και συναδέλφους του, άκουσε φωνές που του ήταν οικείες, έβλεπε πρόσωπα αναγνωρίσιμα και μια αίτηση που φαινόταν πιθανή enough να περάσει τις βασικές ελέγχους. Μέχρι το τέλος της κλήσης, είχε εξουσιοδοτήσει 25 εκατομμύρια δολάρια σε μεταφορές. Οι άνθρωποι που πίστευε ότι μιλούσε, συμπεριλαμβανομένου του CFO της εταιρείας, αναφέρθηκαν αργότερα ότι ήταν AI-γεννημένες deepfakes.

Για τις χρηματοοικονομικές ιδρύματα, ο κίνδυνος δεν περιορίζεται μόνο στις εσωτερικές πληρωμές. Η ίδια κατάρρευση της εμπιστοσύνης μπορεί να αναπαραχθεί σε όλες τις πιστοποιήσεις πελατών, κλήσεις κέντρου, ελέγχους απάτης και ανακτήσεις λογαριασμών.

Οι απατεώνες έχουν εκμεταλλευτεί την tương đối ανωνυμία των τηλεφωνικών κλήσεων για να διαπράξουν απάτη για δεκαετίες. Με την AI, όμως, η προσπάθεια που απαιτείται έχει γίνει ελαφριά, και τα αποτελέσματα είναι πολύ πιο πειστικά. Για τις τράπεζες και τις εταιρείες fintech, αυτή η σύγκλιση οδηγεί σε einen ανεξέταστο χάρτη κινδύνων.

Υπάρχει μια πιο άβολη πραγματικότητα κάτω από αυτό. Ακόμη και καθώς οι επιτιθέμενοι αναζητούν τρόπους να εισέλθουν, η υποδομή AI που οι χρηματοοικονομικές ιδρύματα αναπτύσσουν για να μοντερνοποιήσουν την υποστήριξη πελατών τους κάνει την απάτη πιο εύκολη να διαπραχθεί σε φανερή θέα.

Η κλήση που ακούγεται σαν να ανήκει

Πριν από την AI, η φωνητική απάτη ήταν σχετικά εύκολη να αναγνωριστεί. Οι robocalls ήχουν πεπλατυσμένοι και ακολουθούσαν ένα σενάριο, και οι vishing απόπειρες βασίζονταν σε ανθρώπινους χειριστές που ακολουθούσαν καρτέλες κλήσεων. Σε большинство περιπτώσεων, η κλίμακα ήταν περιορισμένη από την ποιότητα του απατεώνα που επιχειρούσε την κοινωνική μηχανική. Με επαρκή εκπαίδευση και κάποια κοινή λογική, το προσωπικό μπορούσε συνήθως να αναγνωρίσει τα σημάδια.

Η AI έχει αλλάξει αυτό το γεγονός σχεδόν καταρρέοντας τον τεχνικό φραγμό για την προσωπική ταυτότητα. Με επαρκή προώθηση, η AI μπορεί να ακούγεται εξαιρετικά ανθρώπινη, πλήρης με inflection, συναισθήματα και ελαττώματα που θα αναμενόταν από ένα πραγματικό πρόσωπο. Κάνουν τα πράγματα χειρότερα, τα εργαλεία AI που μπορούν να αντιγράψουν φωνές είναι διαθέσιμα σε εμπορικές πλατφόρμες και ανοιχτές βιβλιοθήκες.

Το McAfee Labs βρήκε ότι τρία δευτερόλεπτα ήχου είναι αρκετά για ένα εργαλείο AI να παράγει ένα αντίγραφο φωνής με 85% ακρίβεια. Δέκα δευτερόλεπτα εγγραφής μπορούν να推 đẩy αυτό το ποσοστό πάνω από 95%. Το υλικό είναι παντού: κοινωνικές δημοσιεύσεις, χαιρετισμούς voicemail, ηχογραφήσεις συνεδρίων, εκδηλώσεις κερδών, ή βίντεο LinkedIn.

Εργαλεία πραγματικού χρόνου για μετατροπή φωνής έγιναν ευρέως διαθέσιμα το 2024, που σημαίνει ότι οι επιτιθέμενοι δεν χρειάζονται πλέον μια προηχογραφημένη κλίση. Μπορούν απλά να μιλήσουν σε ένα μικρόφωνο, και η έξοδος θα ακούγεται σαν όποιος προσπαθούν να μιμηθούν.

Η περίπτωση Arup είναι διδακτική: Ο εργαζόμενος είχε αμφιβολίες, αλλά η παρουσία οικείων φωνών και προσώπων στην κλήση υπερκέρασε αυτές, αλλά αποφάσισε να εμπιστευτεί τα μάτια και τα αυτιά του. Την ίδια χρονιά, οι điềušetřτες του Χονγκ Κονγκ ανακάλυψαν μια ξεχωριστή επιχείρηση που είχε κλωνοποιήσει τη φωνή ενός οικονομικού διευθυντή για να διεξαγάγει μια 18,5 εκατομμύρια δολάρια απάτη κρυπτονομισμάτων.

Μια οικεία φωνή, φαίνεται, είναι μια αξιόπιστη, και η AI έχει κάνει αυτή την υπόθεση μια nguy hiểm να την κατέχουν.

Οι αποτυχίες πιστοποίησης γίνονται ευκαιρίες απάτης

Οι χρηματοοικονομικές ιδρύματα έχουν ήδη αρχίσει να απαντούν στις εξωτερικές απειλές. Οι δαπάνες για εργαλεία διακυβέρνησης και συμμόρφωσης για AI προβλέπεται να αυξηθούν από 2,2 δισεκατομμύρια δολάρια το 2025 σε 9,5 δισεκατομμύρια δολάρια μέχρι το 2035, ένα σημάδι του πόσο σοβαρά η αγορά λαμβάνει αυτή την απειλή.

Αλλά ο πιο σημαντικός κίνδυνος δεν προέρχεται από έξω. Οι τράπεζες και οι εταιρείες fintech στρώνονται με AI στην υποστήριξη πελατών, κατασκευάζοντας συστήματα IVR, πιστοποίηση βιομετρικής φωνής και ροές κλήσεων που χειρίζονται συναλλαγές χωρίς ανθρώπινους πράκτορες. Αυτές οι προσπάθειες στοχεύουν στην βελτίωση της εμπειρίας πελατών και στη μείωση του ανθρώπινου εργατικού δυναμικού, αλλά όταν αυτά τα συστήματα αποτυγχάνουν, αφήνουν ένα αδύνατο σημείο που οι επιτιθέμενοι βρίσκουν πολύ εύκολο να εκμεταλλευτούν.

Λάθη διαδρομής, контекστ που χάνεται μεταξύ eskalacji, και συστήματα πιστοποίησης που συμπεριφέρονται απρόβλεπτα φαίνονται σαν προβλήματα εμπειρίας πελατών και καταγράφονται ως τέτοια.

Αλλά αυτά τα προβλήματα CX μπορούν να μετατραπούν σε κάτι χειρότερο κατωτέρω. Ένας πελάτης που έχει κλειδωθεί από τη βιομετρική φωνή σπάνια θα αναφέρει. Αντίθετα, είναι πολύ πιθανό ότι θα επανακαλέσει, θα βρει έναν τρόπο να μιλήσει με έναν ανθρώπινο πράκτορα και θα τον πιέσει να παραβιάσει τις ίδιες πρωτόκολλα που αυτά τα συστήματα είχαν κατασκευαστεί για να επιβάλλουν.

Το μεγαλύτερο ζήτημα είναι ότι ένας επιτιθέμενος που μιμείται έναν πελάτη μπορεί να το κάνει, επίσης. Οι χρηματοοικονομικές ιδρύματα είναι πολύ aware αυτού. Στην πραγματικότητα, 91% των τραπεζών των ΗΠΑ ανασκέφτονται τις στρατηγικές πιστοποίησης φωνής τους λόγω των κινδύνων κλωνοποίησης φωνής AI.

Η ανασκέφτηση δεν θα λύσει αυτά τα προβλήματα. Μια ιδρύματος που η πιστοποίηση φωνής αποτυγχάνει συχνά για νόμιμους πελάτες έχει ήδη δημιουργήσει τις ίδιες συνθήκες που ένας αποφασισμένος χάκερ χρειάζεται για να εκμεταλλευτεί το σύστημα.毕竟, ένας χάκερ δεν χρειάζεται να βρει μια τεχνική ευπάθεια όταν η τριβή στην εμπειρία πελάτη επιτρέπει einen τρόπο να εισέλθει.

Οι εταιρείες πρέπει να αλλάξουν την προοπτική τους, όχι το στάκ τους ασφαλείας

Τα εργαλεία που μπορούν να ανιχνεύσουν τις συνθετικές φωνές AI βελτιώνονται, αλλά ένας επιτιθέμενος που εξετάζει τα συστήματα μιας τράπεζας για ευπαθειές δεν ψάχνει για ένα μόνο σημείο αποτυχίας. Ψάχνει για περιοχές όπου τα συστήματα σκαμπάζουν και χάνουν το ένα το άλλο, όπου τα συστήματα πιστοποίησης αποτυγχάνουν να περάσουν σήματα καθαρά. Καλύτερη ανίχνευση στο περιβάλλον δεν μπορεί να κλείσει αυτό το χάσμα.

Τι μπορεί να βοηθήσει είναι η ανασκέφτηση του τρόπου με τον οποίο οι ηγέτες αντιμετωπίζουν την υποδομή φωνής. Όπως και με οποιοδήποτε μέρος του λογισμικού σας, η υποδομή φωνής απαιτεί το ίδιο επίπεδο ελέγχου όπως οι αμυντικές περιμέτρων.

Στην πράξη, μια τέτοια στάση ασφαλείας θα απαιτούσε τόσο λειτουργικές όσο και ανθεκτικές δοκιμές σε όλες τις συνθήκες που τα συστήματα IVR, βιομετρική πιστοποίηση και άλλα συστήματα φωνής θα αντιμετωπίσουν σε παραγωγή: χαμηλής ποιότητας ήχο, διαφορετικά προφορά και θόρυβους φόντου, edge-case eskalacji, και σενάρια ορίων πιστοποίησης όπου οι νόμιμοι κλήτορες είναι ακριβώς έξω από τα όρια αποδοχής του συστήματος.

Η απάντηση δεν είναι μια μια φορά διαδικασία πιστοποίησης. Οι τράπεζες χρειάζονται συνεχής επαλήθευση του πλήρους ταξιδιού φωνής, από τη διαδρομή IVR και την πιστοποίηση βιομετρικής φωνής έως την eskalation, μεταφορά και διαδρομές πτώσης. Ανεξάρτητα από το πόσο συχνά τα συστήματα φωνής ενημερώνονται, οι τακτικές απάτης θα εξελιχθούν φυσικά για να βρουν ρωγμές σε οποιαδήποτε άμυνα που συναντούν. Ένα σύστημα που περνά την επαλήθευση κατά την ανάπτυξή του πρέπει να ελέγχεται συχνά και επανειλημμένα σε πραγματικές συνθήκες για να διασφαλιστεί ότι είναι ακόμα ασφαλές ακόμη και αν η απόδοσή του έχει εξελιχθεί.

Είναι αξιοσημείωτο ότι η συνεχής δοκιμή σε κλίμακα θα έρθει με προϋπολογιστικές σκέψεις. Υπάρχει επίσης η εγγενής ένταση μεταξύ της ταχύτητας (αναπτύσσοντας νέες ικανότητες για να παραμείνει ανταγωνιστική) και της επαλήθευσης των συστημάτων πλήρως πριν αλληλεπιδράσουν με πραγματικούς πελάτες και αντιμετωπίσουν πραγματικές απόπειρες απάτης.

Ενώ είναι δύσκολο να επιλυθεί αυτή η ένταση καθαρά, καθιστά σαφές το κόστος της παραλείψεως της επαλήθευσης: Μια αποτυχία στο σύστημα σας που έχει ήδη βρει ένας πελάτης είναι ένα αδύνατο σημείο, ανεξάρτητα από το πώς η εταιρεία σας το κατηγοριοποιεί.

Οι καλύτερες εμπειρίες πελάτη γίνονται άμυνα απάτης

Οι εξωτερικοί και εσωτερικοί κίνδυνοι που περιγράφηκαν παραπάνω δεν είναι ξεχωριστά προβλήματα με διαφορετικές λύσεις. Η τριβή που παράγεται από τις αξιόπιστες εμπειρίες πελάτη δημιουργεί κενά συμπεριφοράς που η κοινωνική μηχανική σχεδιάζεται για να εκμεταλλευτεί.

Αυτό είναι ένα λύσιμο πρόβλημα, αλλά μόνο αν οι ιδρύσεις καταλάβουν ότι η επίδραση της κακής εμπειρίας πελάτη μπορεί να φτάσει πέρα από την απλή διατήρηση ή έσοδα. Οι τράπεζες δεν θα λύσουν την απάτη φωνής AI με την αντιμετώπιση της ως προβλήματος ανίχνευσης μόνο. Πρέπει επίσης να αφαιρέσουν την αμφιβολία, την τριβή και τα σημεία αποτυχίας μέσα στις δικές τους διαδρομές φωνής. Σε μια εποχή όπου μια οικεία φωνή δεν μπορεί πλέον να θεωρηθεί αξιόπιστη από προεπιλογή, η αξιοπιστία της διαδρομής καθαυτή γίνεται μέρος του μοντέλου ασφαλείας.