क्या बैंक एआई वॉइस फ्रॉड के लिए तैयार हैं?

एआई-जनरेटेड वॉइस ने धोखाधड़ी की अर्थव्यवस्था को बदल दिया है। जो पहले एक कुशल प्रतिरूपक, एक आश्वस्त पटकथा या एक समझौता फोन नंबर की आवश्यकता थी, अब बड़े पैमाने पर उन उपकरणों के साथ किया जा सकता है जो चौंकाने वाले मानव जैसे लगते हैं।

और जो चिंता का विषय है, वे वित्तीय क्षेत्र को सीधे निशाने पर ले रहे हैं। 2024 की शुरुआत में, इंजीनियरिंग फर्म आरूप के एक वित्त कर्मचारी ने कंपनी के सीएफओ और कई सहयोगियों के साथ एक नियमित वीडियो कॉल में शामिल हुए। आवाजें परिचित थीं, चेहरे पहचानने योग्य थे, और अनुरोध पर्याप्त रूप से विश्वसनीय था कि वह मूलभूत जांच पास कर सके। कॉल के अंत में, उसने $25 मिलियन के हस्तांतरण को अधिकृत किया। जिन लोगों को उसने सोचा था कि वे बात कर रहे थे, उनमें कंपनी के सीएफओ भी शामिल थे, जो बाद में एआई-जनरेटेड डीपफेक्स के रूप में बताए गए थे।

वित्तीय संस्थानों के लिए, जोखिम केवल आंतरिक भुगतान अनुमोदन तक सीमित नहीं है। उसी तरह का विश्वास का पतन ग्राहक प्रमाणीकरण, कॉल सेंटर वृद्धि, धोखाधड़ी जांच और खाता पुनर्प्राप्ति यात्राओं में भी हो सकता है।

धोखेबाजों ने दशकों से फोन कॉल की सापेक्ष गुमनामी का फायदा उठाकर धोखाधड़ी की है। हालांकि, एआई के साथ, प्रयास अब बहुत आसान हो गया है, और परिणाम बहुत अधिक आश्वस्त हैं। बैंकों और फिनटेक के लिए, यह संगम जोखिम का एक अनचार्टेड मैप बना रहा है।

एक और असहज वास्तविकता इसके नीचे है। जब हमलावर अपने तरीके से जांच कर रहे हैं, तो वित्तीय संस्थानों द्वारा तैनात की जा रही एआई बुनियादी ढांचा जो उनके ग्राहक समर्थन को आधुनिक बनाने के लिए है, धोखाधड़ी को स्पष्ट रूप से करना आसान बना रहा है।

वह कॉल जो संबंधित लगता है

एआई से पहले, वॉइस धोखाधड़ी को पहचानना अपेक्षाकृत आसान था। रोबोकॉल सपाट लगते थे और एक पटकथा का पालन करते थे, और विशिंग प्रयास मानव ऑपरेटरों पर निर्भर करते थे जो कॉल शीट का पालन करते थे। अधिकांश मामलों में, पैमाना धोखाधड़ी की गुणवत्ता से सीमित था जो सोशल इंजीनियरिंग का प्रयास कर रहा था। पर्याप्त प्रशिक्षण और कुछ सामान्य ज्ञान के साथ, कर्मचारी आमतौर पर संकेतों को पहचान सकते थे।

एआई ने इसे बदल दिया है कि यह व्यक्तिगत करने के लिए तकनीकी बाधा को लगभग समाप्त कर दिया है। पर्याप्त प्रेरणा के साथ, एआई बहुत मानव जैसा लग सकता है, जिसमें विचलन, भावना और दोष शामिल हैं जो आप एक वास्तविक व्यक्ति से उम्मीद करेंगे। चीजों को और खराब बनाने के लिए, आवाज की प्रतिलिपि बनाने वाले एआई टूल व्यावसायिक प्लेटफार्मों और ओपन-सोर्स रिपॉजिटरी पर आसानी से उपलब्ध हैं।

मैकएफी लैब्स ने पाया कि तीन सेकंड की ऑडियो रिकॉर्डिंग एक एआई टूल के लिए पर्याप्त है जो 85% सटीकता के साथ एक वॉइस क्लोन बना सकता है। दस सेकंड की रिकॉर्डिंग उस आंकड़े को 95% से ऊपर धकेल सकती है। स्रोत सामग्री हर जगह है: सोशल मीडिया पोस्ट, वॉइसमेल ग्रीटिंग, सम्मेलन रिकॉर्डिंग, आय अर्जन कॉल या लिंक्डइन वीडियो।

रियल-टाइम वॉइस रूपांतरण टूल 2024 में व्यापक रूप से उपलब्ध हो गए, जिसका अर्थ है कि हमलावरों को अब एक पूर्व-रिकॉर्डेड क्लिप की आवश्यकता नहीं है। वे बस एक माइक्रोफोन में बोल सकते हैं, और आउटपुट वही होगा जो वे प्रतिरूपित करने की कोशिश कर रहे हैं।

आरूप मामला सिखाने वाला है: वित्त कर्मचारी को संदेह था, लेकिन परिचित आवाजों और चेहरों की उपस्थिति ने उसे ओवरराइड कर दिया, लेकिन उसने अपनी आंखों और कानों पर विश्वास करने का फैसला किया। उसी वर्ष, हांगकांग के जांचकर्ताओं ने एक अलग ऑपरेशन का पता लगाया जिसने एक वित्त प्रबंधक की आवाज को क्लोन किया था ताकि $18.5 मिलियन की क्रिप्टोक्यूरेंसी घोटाला चलाया जा सके।

एक परिचित आवाज, यह पता चलता है, एक विश्वसनीय है, और एआई ने उस धारणा को एक खतरनाक एक बना दिया है।

प्रमाणीकरण विफलताएं धोखाधड़ी के अवसर बन रही हैं

वित्तीय संस्थान पहले से ही बाहरी खतरों का जवाब दे रहे हैं। एआई के लिए उद्यम शासन और अनुपालन उपकरण पर व्यय 2025 में $2.2 बिलियन से 2035 में $9.5 बिलियन तक बढ़ने का अनुमान है, जो इस बात का संकेत है कि बाजार इसे कितनी गंभीरता से ले रहा है।

हालांकि, अधिक महत्वपूर्ण जोखिम बाहरी नहीं है। बैंक और फिनटेक अपने ग्राहक समर्थन स्टैक में एआई की परतें जोड़ रहे हैं, एआई-सहायता प्राप्त आईवीआर सिस्टम, वॉइस बायोमेट्रिक प्रमाणीकरण और एजेंटिक कॉल प्रवाह बना रहे हैं जो मानव एजेंटों के बिना लेनदेन को संभालते हैं। ये प्रयास ग्राहक अनुभव में सुधार और मानव श्रम को कम करने के लिए हैं, लेकिन जब ये सिस्टम विफल होते हैं, तो वे एक कमजोर बिंदु छोड़ देते हैं जिसे खतरा अभिनेता बहुत आसानी से शोषण करते हैं।

मार्गदर्शन त्रुटियां, संक्रमण के बीच खोया हुआ संदर्भ, और प्रमाणीकरण प्रणाली जो अप्रत्याशित रूप से व्यवहार करती हैं ग्राहक अनुभव की समस्याओं की तरह दिखती हैं, और उन्हें इस तरह से लॉग किया जाता है।

हालांकि, ये सीएक्स समस्याएं आगे चलकर कुछ और खराब हो सकती हैं। एक ग्राहक जो वॉइस बायोमेट्रिक्स द्वारा बाहर रखा गया है वह शायद इसकी रिपोर्ट नहीं करेगा। इसके बजाय, संभावना है कि वे वापस कॉल करेंगे, एक मानव एजेंट से बात करने का तरीका ढूंढेंगे, और उन्हें उन प्रोटोकॉल को बायपास करने के लिए दबाव डालेंगे जिन्हें इन प्रणालियों को लागू करने के लिए बनाया गया था।

बड़ा मुद्दा यह है कि एक हमलावर ग्राहक की नकल कर सकता है। वित्तीय संस्थान इसके बारे में अच्छी तरह से जानते हैं। वास्तव में, 91% अमेरिकी बैंक एआई क्लोनिंग जोखिमों के प्रकाश में अपनी वॉइस बायोमेट्रिक प्रमाणीकरण रणनीतियों पर पुनर्विचार कर रहे हैं।

पुनर्विचार इन समस्याओं का समाधान नहीं करेगा। एक संस्थान जिसका वॉइस प्रमाणीकरण नियमित रूप से वैध ग्राहकों को विफल करता है, उसने पहले ही उस कमजोर बिंदु को बना दिया है जिसे एक निर्धारित हैकर को शोषण करने की आवश्यकता है। आखिरकार, एक हैकर को एक तकनीकी कमजोरी खोजने की आवश्यकता नहीं है जब ग्राहक यात्रा में घर्षण उन्हें एक तरीका देता है।

कंपनियों को अपने दृष्टिकोण को बदलने की आवश्यकता है, न कि अपने सुरक्षा स्टैक को

एआई-जनरेटेड सिंथेटिक वॉइस का पता लगाने वाले उपकरण सुधर रहे हैं, लेकिन एक खतरा अभिनेता जो बैंक की प्रणालियों में कमजोरियों के लिए जांच कर रहा है, एकल बिंदु विफलता की तलाश में नहीं है। वे उन क्षेत्रों की तलाश में हैं जहां प्रणालियां लड़खड़ाती हैं और एक दूसरे को याद करती हैं, जहां प्रमाणीकरण प्रणाली स्पष्ट रूप से संकेतों को पारित करने में विफल होती हैं। परिधि पर बेहतर पता लगाने से उस अंतर को बंद नहीं किया जा सकता है।

जो मदद कर सकता है वह यह है कि नेता वॉइस बुनियादी ढांचे के साथ कैसा व्यवहार करते हैं। जैसे कि अपने सॉफ्टवेयर स्टैक के किसी भी हिस्से के साथ, वॉइस बुनियादी ढांचे को परिधि की रक्षा के समान स्तर की जांच की आवश्यकता है।

अभ्यास में, ऐसी सुरक्षा मुद्रा के लिए कार्यात्मक और लचीलापन परीक्षण की आवश्यकता होगी जो आईवीआर, बायोमेट्रिक प्रमाणीकरण और अन्य वॉइस प्रणालियों को उत्पादन में面 करने वाली स्थितियों के साथ-साथ कम गुणवत्ता वाले ऑडियो, विभिन्न उच्चारण और पृष्ठभूमि शोर, एज-केस एस्केलेशन और प्रमाणीकरण सीमा परिदृश्यों में भी होगी।

उत्तर एक बार का प्रमाणीकरण अभ्यास नहीं है। बैंकों को पूरी वॉइस यात्रा का निरंतर मूल्यांकन करने की आवश्यकता है, आईवीआर रूटिंग और बायोमेट्रिक प्रमाणीकरण से लेकर एस्केलेशन, ट्रांसफर और फॉलबैक पथ तक। चाहे वॉइस सिस्टम को कितनी बार अपडेट किया जाए, धोखाधड़ी की रणनीतियां स्वाभाविक रूप से उन रक्षाओं को पार करने के लिए विकसित होंगी जिनका सामना वे करते हैं। एक प्रणाली जो तैनाती पर मूल्यांकन पास करती है, उसे वास्तविक दुनिया की स्थितियों में बार-बार परीक्षण किया जाना चाहिए ताकि यह सुनिश्चित किया जा सके कि यह अभी भी सुरक्षित है, भले ही इसका प्रदर्शन विकसित हो गया हो।

यह ध्यान देने योग्य है कि बड़े पैमाने पर निरंतर परीक्षण के साथ बजट विचार होंगे। वहाँ एक अंतर्निहित तनाव है जो तेजी से आगे बढ़ने (प्रतिस्पर्धी बने रहने के लिए नई क्षमताएं तैनात करना) और प्रणालियों को व्यापक रूप से मूल्यांकन करने के बीच है।

जबकि यह तनाव को साफ-साफ हल करना मुश्किल है, यह स्पष्ट करता है कि मूल्यांकन को छोड़ने की लागत क्या है: आपकी प्रणाली में एक विफलता जिसे ग्राहक पहले ही अपने तरीके से पार कर चुके हैं वह एक कमजोर बिंदु है, चाहे आपकी कंपनी इसे कैसे वर्गीकृत करती है।

बेहतर ग्राहक यात्राएं धोखाधड़ी का बचाव बन रही हैं

उपरोक्त बाहरी और आंतरिक जोखिम अलग-अलग समस्याएं नहीं हैं जिनके अलग-अलग समाधान हैं। अस्थिर ग्राहक यात्राओं द्वारा उत्पन्न घर्षण सामाजिक इंजीनियरिंग का शोषण करने के लिए डिज़ाइन किए गए व्यवहार अंतराल पैदा कर रहा है।

यह एक हल करने योग्य समस्या है, लेकिन केवल तभी जब संस्थान यह महसूस करते हैं कि खराब ग्राहक अनुभव का प्रभाव केवल प्रतिधारण या राजस्व से आगे बढ़ सकता है। बैंक एआई वॉइस फ्रॉड को केवल एक पता लगाने की समस्या के रूप में मानकर हल नहीं करेंगे। उन्हें अपनी वॉइस यात्राओं के भीतर अस्पष्टता, घर्षण और विफलता बिंदुओं को भी हटाने की आवश्यकता है। एक युग में जहां एक परिचित आवाज अब डिफ़ॉल्ट रूप से विश्वसनीय नहीं है, यात्रा की विश्वसनीयता स्वयं सुरक्षा मॉडल का हिस्सा बन जाती है।