Come gli scammers utilizzano l’AI nelle frodi bancarie

L’AI ha dotato gli impostori di strumenti per superare i controlli anti-spoofing e la verifica vocale, consentendo loro di produrre documenti di identificazione e finanziari contraffatti in modo sorprendentemente rapido. I loro metodi sono diventati sempre più inventivi man mano che la tecnologia generativa evolve. Come possono i consumatori proteggersi e cosa possono fare le istituzioni finanziarie per aiutarli?

1. I Deepfakes migliorano la truffa dell’impostore

L’AI ha reso possibile la più grande truffa di impostore mai registrata. Nel 2024, la società di ingegneria britannica Arup – ha perso circa 25 milioni di dollari dopo che gli impostori hanno ingannato un dipendente per trasferire fondi durante una conferenza video live. Avevano clonato digitalmente i leader di alto livello, compreso il direttore finanziario.

I Deepfakes utilizzano algoritmi generatore e discriminatore per creare un duplicato digitale e valutare la realtà, consentendo loro di imitare in modo convincente le caratteristiche facciali e la voce di qualcuno. Con l’AI, i criminali possono creare uno utilizzando solo un minuto di audio e una singola fotografia. Poiché queste immagini artificiali, clip audio o video possono essere preregistrati o live, possono apparire ovunque.

2. I modelli generativi inviano avvisi di frode falsi

Un modello generativo può inviare contemporaneamente migliaia di avvisi di frode falsi. Immagina qualcuno che viola un sito web di elettronica di consumo. Mentre arrivano grandi ordini, il loro AI chiama i clienti, dicendo che la banca ha segnalato la transazione come fraudolenta. Chiede il loro numero di conto e le risposte alle loro domande di sicurezza, dicendo che deve verificare la loro identità.

La chiamata urgente e l’implicazione di frode possono convincere i clienti a fornire le loro informazioni bancarie e personali. Poiché l’AI può analizzare grandi quantità di dati in pochi secondi, può rapidamente fare riferimento a fatti reali per rendere la chiamata più convincente.

3. La personalizzazione AI facilita l’acquisizione di account

Mentre un cybercriminale potrebbe forzare la sua strada dentro provando innumerevoli volte le password, spesso utilizza credenziali di accesso rubate. Cambia immediatamente la password, l’indirizzo e-mail di backup e il numero di autenticazione a più fattori per impedire al vero titolare dell’account di cacciarlo. I professionisti della sicurezza informatica possono difendersi da queste tattiche perché conoscono il copione. L’AI introduce variabili sconosciute, che indeboliscono le loro difese.

La personalizzazione è l’arma più pericolosa che uno scammers può avere. Spesso prendono di mira le persone durante i periodi di traffico di picco quando si verificano molte transazioni – come il Black Friday – per renderlo più difficile monitorare la frode. Un algoritmo potrebbe adattare gli orari di invio in base alla routine di una persona, alle abitudini di shopping o alle preferenze dei messaggi, rendendoli più propensi a impegnarsi.

La generazione di linguaggio avanzata e l’elaborazione rapida consentono la generazione di massa di e-mail, il spoofing di domini e la personalizzazione dei contenuti. Anche se gli attori malintenzionati inviano 10 volte più messaggi, ognuno sembrerà autentico, persuasivo e pertinente.

4. L’AI generativa rinnova la truffa del sito web falso

La tecnologia generativa può fare tutto, dal progettare wireframe all’organizzare contenuti. Uno scammers può pagare pochi centesimi per creare e modificare un sito web di investimento, prestito o bancario falso senza codice all’interno di pochi secondi.

A differenza di una pagina di phishing convenzionale, può essere aggiornato in tempo reale e rispondere all’interazione. Ad esempio, se qualcuno chiama il numero di telefono elencato o utilizza la funzione di chat live, potrebbe essere collegato a un modello addestrato per agire come un consulente finanziario o un dipendente di una banca.

In un caso del genere, gli scammers hanno clonato la piattaforma Exante. La società di tecnologia finanziaria globale fornisce agli utenti l’accesso a oltre 1 milione di strumenti finanziari in decine di mercati, quindi le vittime pensavano di stare investendo legittimamente. Tuttavia, stavano inconsapevolmente depositando fondi in un conto JPMorgan Chase.

Natalia Taft, capo della conformità di Exante, ha detto che la società ha trovato “diversi” schemi di truffa simili, suggerendo che il primo non fosse un caso isolato. Taft ha detto che gli scammers hanno fatto un ottimo lavoro clonando l’interfaccia del sito web. Ha detto che gli strumenti AI hanno probabilmente creato perché è un “gioco di velocità” e devono “colpire il maggior numero possibile di vittime prima di essere chiusi”.

5. Gli algoritmi superano gli strumenti di rilevamento di vivacità

Il rilevamento di vivacità utilizza la biometria in tempo reale per determinare se la persona di fronte alla telecamera è reale e corrisponde all’ID del titolare dell’account. In teoria, superare l’autenticazione diventa più difficile, impedendo alle persone di utilizzare vecchie foto o video. Tuttavia, non è più efficace come lo era in precedenza, grazie ai Deepfakes alimentati da AI.

I cybercriminale potrebbero utilizzare questa tecnologia per imitare persone reali per accelerare l’acquisizione di account. In alternativa, potrebbero ingannare lo strumento per verificare una persona finta, facilitando il money muling.

Gli scammers non devono addestrare un modello per fare ciò – possono pagare per una versione pre-addestrata. Una soluzione software afferma di poter superare cinque degli strumenti di rilevamento di vivacità più prominenti utilizzati dalle società di tecnologia finanziaria per un acquisto una tantum di 2.000 dollari. Gli annunci per strumenti come questo sono abbondanti su piattaforme come Telegram, dimostrando la facilità della moderna frode bancaria.

6. Le identità AI consentono nuove frodi di account

Gli scammers possono utilizzare la tecnologia generativa per rubare l’identità di una persona. Sul web oscuro, ci sono molti posti che offrono documenti contraffatti emessi dallo stato, come passaporti e patenti di guida. Oltre a ciò, forniscono selfie e registri finanziari falsi.

Un’identità sintetica è una persona fittizia creata combinando dettagli reali e falsi. Ad esempio, il numero di previdenza sociale potrebbe essere reale, ma il nome e l’indirizzo non lo sono. Di conseguenza, sono più difficili da rilevare con strumenti convenzionali. Il rapporto sulle tendenze di identità e frode del 2021 mostra che circa il 33% dei falsi positivi che Equifax (EFX ) vede sono identità sintetiche.

Gli scammers professionisti con budget generosi e ambizioni elevate creano nuove identità con strumenti generativi. Coltivano la persona, stabilendo una storia finanziaria e di credito. Queste azioni legittime ingannano il software di conoscenza del cliente, consentendo loro di rimanere non rilevati. Alla fine, esauriscono il loro credito e scompaiono con guadagni netti positivi.

Sebbene questo processo sia più complesso, si verifica in modo passivo. Gli algoritmi avanzati addestrati su tecniche di frode possono reagire in tempo reale. Sanno quando effettuare un acquisto, pagare il debito della carta di credito o richiedere un prestito come un essere umano, aiutandoli a sfuggire alla rilevazione.

Cosa possono fare le banche per difendersi da queste truffe AI

I consumatori possono proteggersi creando password complesse ed esercitando cautela quando condividono informazioni personali o di account. Le banche dovrebbero fare di più per difendersi dalla frode legata all’AI perché sono responsabili della sicurezza e della gestione degli account.

1. Utilizzare strumenti di autenticazione a più fattori

Poiché i Deepfakes hanno compromesso la sicurezza biometrica, le banche dovrebbero affidarsi all’autenticazione a più fattori. Anche se uno scammers riesce a rubare le credenziali di accesso di qualcuno, non può accedere.

Le istituzioni finanziarie dovrebbero dire ai clienti di non condividere mai il loro codice MFA. L’AI è uno strumento potente per i cybercriminale, ma non può superare in modo affidabile i codici di passaggio sicuri a tempo. Il phishing è uno dei pochi modi in cui può tentare di farlo.

2. Migliorare gli standard di conoscenza del cliente

La conoscenza del cliente è uno standard di servizio finanziario che richiede alle banche di verificare l’identità dei clienti, i profili di rischio e i registri finanziari. Sebbene i fornitori di servizi che operano in aree grigie non siano tecnicamente soggetti alla conoscenza del cliente – le nuove regole che influenzano DeFi non entreranno in vigore fino al 2027 – è una pratica consigliata a livello di settore.

Le identità sintetiche con storie di transazione legittime e coltivate nel corso di anni sono convincenti ma propense a errori. Ad esempio, un semplice prompt engineering può costringere un modello generativo a rivelare la sua vera natura. Le banche dovrebbero integrare queste tecniche nelle loro strategie.

3. Utilizzare analisi comportamentali avanzate

Una buona pratica quando si combatte l’AI è combattere il fuoco con il fuoco. Le analisi comportamentali alimentate da un sistema di apprendimento automatico possono raccogliere una grande quantità di dati su decine di migliaia di persone contemporaneamente. Possono tracciare tutto, dal movimento del mouse ai log di accesso con timestamp. Un cambiamento improvviso indica un’acquisizione di account.

Sebbene i modelli avanzati possano imitare gli acquisti o le abitudini di credito di una persona se hanno abbastanza dati storici, non sapranno come imitare la velocità di scorrimento, i modelli di scorrimento o i movimenti del mouse, dando alle banche un vantaggio sottile.

4. Condurre valutazioni di rischio complete

Le banche dovrebbero condurre valutazioni di rischio durante la creazione di un account per prevenire la frode di nuovo account e negare risorse ai money mule. Possono iniziare cercando incongruenze nel nome, nell’indirizzo e nel numero di previdenza sociale.

Sebbene le identità sintetiche siano convincenti, non sono infallibili. Una ricerca approfondita dei registri pubblici e dei social media rivelerà che sono apparsi di recente. Un professionista potrebbe rimuoverli dato abbastanza tempo, impedendo il money muling e la frode finanziaria.

Un blocco temporaneo o un limite di trasferimento in attesa di verifica potrebbe impedire agli attori malintenzionati di creare e scaricare account in massa. Sebbene rendere il processo meno intuitivo per gli utenti reali possa causare attrito, potrebbe salvare ai consumatori migliaia o addirittura decine di migliaia di dollari nel lungo termine.

Proteggere i clienti dalle truffe e frodi AI

L’AI rappresenta un problema serio per le banche e le società di tecnologia finanziaria perché gli attori malintenzionati non devono essere esperti – o anche solo molto versati tecnicamente – per eseguire truffe sofisticate. Inoltre, non devono costruire un modello personalizzato. Invece, possono violare una versione a scopo generale. Poiché questi strumenti sono così accessibili, le banche devono essere proattive e diligenti.