Ovatako pankit valmiit ääniväärennökseen?

Äänisynthesoinnin kehitys on muuttanut petosten taloutta. Aiemmin ammattitaitoisen esiintyjän, vakuuttavan käsikirjoituksen tai uhriksi joutuneen puhelinnumeron vaatinut petos voidaan nyt yrittää laajamittaisesti työkaluilla, jotka kuulostavat hämmästyttävän ihmismaisilta.

Ja mitä huolestuttavampaa, he ovat suunnannneet katseensa nimenomaan rahoitussektorille. Alkuvuonna 2024 rahoitusalan työntekijä insinööritoimisto Arupissa osallistui näennäisesti tavalliseen videopuheluun yhtiön talousjohtajan ja useiden kollegoiden kanssa. Äänet olivat tuttuja, kasvot tunnistettavissa, ja pyyntö vaikutti tarpeeksi uskottavalta perusvalvontaa varten. Puhelun lopussa hän oli valtuuttanut 25 miljoonan dollarin siirtoja. Luultiin, että puhelimessa olleet henkilöt, mukaan lukien yhtiön talousjohtaja, olisivat myöhemmin todettu tekaistuiksi äänisynteettisiksi.

Rahoituslaitoksille riski ei rajoitu vain sisäisiin maksuvahvistuksiin. Sama luottamuksen romahdus voi toistua asiakasvarmistuksessa, asiakaspalvelun eskaloitumisessa, petostarkistuksissa ja tilin palautusprosesseissa.

Huijarit ovat hyödyntäneet puheluiden suhteellista anonyymia petosten tekemiseen vuosikymmenien ajan. Äänisynthesoinnin myötä kuitenkin vaadittu ponnistelu on muuttunut merkittäväksi, ja tulokset ovat paljon vakuuttavampia. Pankkien ja rahoitusalan yritysten näkökulmasta tämä yhdistyminen johtaa karttoihin, joissa on tuntemattomia riskejä.

On olemassa epämukavampi totuus tämän alla. Vaikka hyökkääjät etsivät heikkouksia, rahoituslaitokset ovat jo nyt käyttänyt älykkäitä järjestelmiä asiakastukeensa modernisointiin, mikä tekee petoksista helpompia toteuttaa avoimesti.

Puhelu, joka kuulostaa kuuluvan sinne

Ennen äänisynthesointia äänipetokset olivat suhteellisen helppoja tunnistaa. Robokutsut kuulostivat tasaisilta ja seurasivat käsikirjoitusta, ja vishing-yrittäjät riippuivat ihmisistä, jotka seurasivat puheluluetteloita. Useimmissa tapauksissa mittakaava oli rajoitettu huijarin sosiaalisen insinöörityön laadun mukaan. Riittävällä koulutuksella ja järjenkäytöllä henkilöstö pystyi yleensä havaitsemaan merkit.

Äänisynthesointi on muuttanut tämän lähes romahduttamalla teknisen esteen henkilöllisyyden varastamiselle. Tarpeeksi ohjatulla älykkäällä järjestelmällä voidaan saada aikaan ääni, joka on erittäin ihmismäinen, sisältäen sävyt, tunteet ja virheet, joita odottaisi oikealta ihmiseltä. Asiaa pahentaa se, että äänenkloonauksella varustetut työkalut ovat helposti saatavilla kaupallisilla alustoilla ja avoimissa lähdekoodirepositorioissa.

McAfee Labs havaitsi, että kolme sekuntia äänitallennetta riittää älykkäälle järjestelmälle tuottamaan ääniklooni, jolla on 85 prosentin tarkkuus. Kymmenen sekuntia äänitallennetta voi nostaa tämän lukeman yli 95 prosenttiin. Lähdeaineisto on joka paikassa: sosiaalisen median julkaisut, vastaajaviestit, konferenssitaltioinnit, tuloksien esittelyt tai LinkedIn-videot.

Reaaliaikaiset äänimuunnostyökalut tulivat laajasti saataville vuonna 2024, mikä tarkoittaa, että hyökkääjillä ei enää ole tarve esitäytettyyn ääniklippiin. He voivat yksinkertaisesti puhua mikrofoniin, ja ulostulo kuulostaa siltä, ketä he yrittävät matkia.

Arup-tapaus on opettavainen: Rahoitusalan työntekijä epäili, mutta tuttujen äänien ja kasvojen läsnäolo puhelussa ohitti epäilynsä, ja hän päätti luottaa silmiinsä ja korviinsa. Samana vuonna Hongkongin tutkijat paljastivat erillisen operaation, jossa oli kloonattu rahoitusjohtajan ääni 18,5 miljoonan dollarin kryptovaluuttapetoksen suorittamiseksi.

Tuttu ääni osoittautuu luottamukselliseksi, ja äänisynthesointi on tehnyt tämän oletuksen vaaralliseksi.

Varmistusvirheet muuttuvat petosmahdollisuuksiksi

Rahoituslaitokset ovat jo nyt reagoimassa ulkoisiin uhkiin. Yritysten käyttämien älykkäiden järjestelmien hallinta- ja noudattamistyökalujen menot ennustetaan kasvavan 2,2 miljardista dollariin vuonna 2025 ja 9,5 miljardiin dollariin vuoteen 2035 mennessä, mikä osoittaa, kuinka vakavasti markkinat ottaa tämän.

Itse asiassa suurempi riski ei kuitenkaan ole ulkoinen. Pankit ja rahoitusalan yritykset lisäävät älykästä teknologiaa asiakastukijärjestelmiinsä, luoden älykkäitä IVR-järjestelmiä, äänitunnistusautentikointia ja agenteja, jotka käsittelevät transaktioita ilman ihmisten apua. Nämä pyrkimykset pyrkivät parantamaan asiakaskokemusta ja vähentämään ihmistyötä, mutta kun nämä järjestelmät epäonnistuvat, ne jättävät heikkouden, jota uhka-aktöörit löytävät liian helposti hyväksikäyttää.

Reititysvirheet, konteksti, joka katoaa eskaloitumisen välissä, ja autentikointijärjestelmät, jotka käyttäytyvät odottamattomasti, näyttävät asiakaskokemusongelmilta ja kirjataan sellaisiksi.

Näyttää siltä, että nämä asiakaskokemusongelmat voivat muuttua pahemmaksi myöhemmin. Asiakas, joka on lukittu äänitunnistuksella, ei yleensä ilmoita siitä. Sen sijaan on todennäköistä, että he soittavat uudelleen, löytävät tavan puhua ihmisen kanssa, ja pakottavat heidät ohittamaan juuri ne protokollat, joiden vuoksi nämä järjestelmät on luotu.

Suurempi ongelma on, että hyökkääjä, joka esiintyy asiakkaana, voi tehdä samoin. Rahoituslaitokset ovat tietoisia tästä. Itse asiassa 91 prosenttia Yhdysvaltain pankeista on uudelleenarvioimassa äänitunnistusautentikointistrategioitaan äänikloonauksen riskejä vastaan.

Tämän uudelleenarvioinnin ei voida ratkaista näitä ongelmia. Laitos, jonka äänitunnistusautentikointi epäonnistuu säännöllisesti oikeille asiakkaille, on jo luonut olosuhteet, joita määrätietoinen hyökkääjä tarvitsee hyödyntääkseen järjestelmää. Kaiken kaikkiaan hyökkääjällä ei tarvitse olla teknistä haavoittuvuutta, kun asiakaskokemusjärjestelmän kitka antaa heille pääsyn.

Yritysten on muutettava näkökulmaa, ei turvallisuuspakettia

Työkalut, jotka voivat havaita älykkään syntetisen äänen, paranevat, mutta uhka-aktööri, joka etsii pankin järjestelmistä heikkouksia, ei etsi yksittäistä heikkoutta. He etsivät alueita, joilla järjestelmät kompastuvat ja eivät havaitse toisiaan, joilla autentikointijärjestelmät eivät välitä selkeästi signaaleja. Parannettu havaitseminen reunalla ei voi sulkea tätä aukkoa.

Mitä auttaa, on uudelleenarviointi äänirakenteen käsittelyä. Kuten minkä tahansa ohjelmistopinoosi osan, äänirakenteen vaatii samaa tarkkuutta kuin reunan puolustus.

Käytännössä tällainen turvallisuusasenne edellyttää sekä toiminnallista että kestävyyden testausta kaikissa olosuhteissa, joita IVR, biometriset tunnistusjärjestelmät ja muut äänijärjestelmät kohtaavat tuotannossa: matala äänenlaatu, erilaiset aksentit ja taustamelut, reunatapaukset ja autentikointirajatilanteet, joissa legitiimit soittajat ovat juuri järjestelmän hyväksymisen rajojen ulottumattomissa.

Vastaus ei ole yksittäinen sertifioimisprosessi. Pankeilla on jatkuvasti validoitava koko äänimatka, IVR-reitityksestä biometriseen tunnistukseen, eskaloitumiseen, siirtämiseen ja palautuspoluihin. Riippumatta siitä, kuinka usein äänijärjestelmiä päivitetään, petostaktiikat kehittyvät luonnollisesti löytääkseen heikkouksia, joita he kohtaavat. Järjestelmä, joka läpäisee validoinnin käyttöönoton aikana, on testattava usein ja toistuvasti todellisissa olosuhteissa, jotta voidaan varmistaa, että se on edelleen turvallinen, vaikka sen suorituskyky on kehittynyt.

On syytä huomata, että jatkuvan testaamisen laajuus tulee johtamaan budjettimäärittelyihin. On myös sisäänrakennettu jännite nopean toiminnan (uusien ominaisuuksien käyttöönotto pysyäkseen kilpailukykyisinä) ja järjestelmien perusteellisen validoinnin välillä ennen kuin ne ovat vuorovaikutuksessa oikeiden asiakkaiden ja todellisten petosyritysten kanssa.

Vaikka tämä jännite on vaikea ratkaista selkeästi, se tekee kuitenkin selväksi validoinnin laiminlyönnin kustannukset: Järjestelmän epäonnistuminen, jota asiakkaat ovat jo löytäneet tiensä, on heikkous, riippumatta siitä, miten yritys luokittelee sen.

Parannetut asiakaskokemukset muuttuvat petospuolustukseksi

Edellä kuvatut ulkoiset ja sisäiset riskit eivät ole erillisiä ongelmia, joilla on erilaiset ratkaisut. Kitka, jota epäluotettavat asiakaskokemukset tuottavat, luo käyttäytymisen aukkoja, joita sosiaalinen insinööritaito on tarkoitettu hyväksikäyttämään.

Tämä on ratkaistavissa, mutta ainoastaan, jos laitokset ymmärtävät, että heikkokokoinen asiakaskokemus voi ulottua pidemmälle kuin pelkästään asiakastyytyväisyyteen tai tuottoon. Pankit eivät ratkaise ääniväärennöksiä ainoastaan kohdistamalla havaintoa yksin. Heidän on myös poistettava epävarmuus, kitka ja epäonnistumisen kohdat omista äänimatkoistaan. Aikakaudella, jolloin tuttu ääni ei voi enää luottaa oletusarvoisesti, matkan luotettavuus itse muodostaa osan turvallisuusmallia.