Er deepfakes det nye spam-telefonoppretter? Her er hvordan du beskytter deg mot dem

Hvis du så en deepfake av ditt selskaps CEO, ville du være i stand til å se at det ikke var ekte? Dette er en bekymringsfull utfordring som organisasjoner over hele verden har å gjøre med på en hyppig basis. I virkeligheten, så nylig var et reklamegigant målet for en deepfake av sin CEO. Et offentlig tilgjengelig bilde av sjefen ble brukt til å sette opp en Microsoft Teams-møte hvor en stemmeklon av sjefen – hentet fra en YouTube-video – ble brukt. Selv om dette angrepet var mislykket, maler det et større bilde av de nye taktikkene som cyberkriminelle bruker med offentlig tilgjengelig informasjon – og dette er bare toppen av isfjellet.

Teknologien har blitt så sofistikert at bare om lag halvparten av IT-lederne i dag har stor tillit til sin evne til å oppdage en deepfake av sin CEO. Dette gjør saken verre, cyberkriminelle er ikke bare å imiterer CEO-er, men hele ledelseslaget, med CFO-er som blir populære mål, også. Deepfakes blir stadig enklere å lage. Faktisk, en rask Google-søk på “hvordan lage en deepfake” produserer forskjellige artikler og YouTube-tutoriale på hvordan man kan lage en. Kostnadene blir nærmest ubetydelige, noe som betyr at deepfakes i praksis er det nye spam-telefonoppretter.

Spam-telefonopprettere er allfor vanlige i dag. Faktisk, hevder Federal Communications Commission (FCC) at amerikanske forbrukere mottar omtrent 4 milliarder robocall per måned, og fremgangen i teknologien gjør dem ekstremt billige og høyt lønnsomme, selv med en lav suksessrate. Deepfakes følger samme mønster. Cyberkriminelle vil bruke deepfake-teknologi til å lure uoppmerksomme ansatte enda mer enn de gjør i dag, og deepfakes vil til slutt bli en hverdagsforeteelse for den gjennomsnittlige forbrukeren. La oss se på strategier som ledere kan implementere for å beste beskytte sin organisasjon, ansatte og kunder mot disse truslene.

Etablere sterke retningslinjer

Først og fremst trenger ledere å etablere sterke retningslinjer innenfor sin organisasjon. Disse retningslinjene må komme fra toppen, startende med CEO-en, og kommuniseres ofte. For eksempel, må CEO-en tydelig forklare til hele selskapet at de aldri vil gjøre en merkelig eller tilfeldig forespørsel til en ansatt, som å kjøpe flere gavekort til 100 dollar – en vanlig fiske-taktikk. Disse angrepene er ofte suksessfulle fordi de kommer fra en ledelsesposisjon og ikke blir spurt om. Imidlertid, da CEO-deepfakes blir mer vanlige, blir vi mer bevisste på at de faktisk ikke er ekte. Som følge, forventer jeg at de vil arbeide seg nedover organisasjonen, inkludert visepresidenter, direktører, frontlinjeledere og til og med kolleger.

Bare tenk: å ha en kollega eller din nærmeste leder som ber deg om en forespørsel, er ganske vanlig. Hvorfor skulle du ha en grunn til å spørre om det? Retningslinjene kan også være relatert til bruken av disse deepfake-verktøyene innenfor organisasjonen, inkludert å forbyde bruken av dem på selskapseid teknologi. Å sette disse retningslinjene og sikkerhetsskranker er bare det første skrittet.

Bekrefte forespørsler gjennom flere kanaler

Andre, når forespørsler må gjøres, bør det være en strategi på plass for å bekrefte dem via flere kommunikasjonskanaler. Et eksempel kan være hvis en forespørsel kommer fra CEO-en, at forespørselen vil bli delt via e-post og vil også inkludere en oppfølgning via en øyeblikkelig meldingsplattform som brukes på arbeidsplassen. Hvis det ikke er noen oppfølgning, bør ansatt enten ignorere forespørselen eller aktivt bekrefte den selv via Slack, og deretter varsle interne sikkerhetsteam etter deres sikkerhetspolitikk. På samme måte, hvis en forespørsel gjøres via en Teams-møte, lik den taktikken som ble brukt for reklamegigantens deepfake. Denne forespørselen må da ha en e-postbekreftelse og/eller en Slack-bekreftelse. Enda bedre, bekreftet via et raskt telefonoppretter hvis å gå over til deres fysiske skrivebord ikke er en mulighet. Disse prosessene bør kommuniseres ofte og til hele organisasjonen for å holde dem øverst i tankene. Deretter, når et forsøk er kjent, etabler en prosess for å dele eksempelet bredt gjennom hele organisasjonen for å skape mønsterkjennelse av de typene trusler alle bør være klar over.

Holde hyppige opplæringsprogrammer

Tredje, organisasjoner bør implementere hyppige selskapsomfattende opplæringsprogrammer for å holde deepfakes og andre typer identitetsangrep øverst i ansattes tanker. Disse er nyttige av flere grunner. En ansatt må kanskje ikke engang vite hva en deepfake er, eller kanskje ikke vite at stemmer og videoer kan bli forfalsket. I tillegg kan ansatte henfalle til “utenfor syne, utenfor sinn”-mentalet – hvis deepfakes ikke er øverst i tankene, kan de lett bli offer for et angrep. Forskning viser at ansatte som mottok kyber-sikkerhetsopplæring demonstrerte en betydelig forbedret evne til å gjenkjenne potensielle kyber-trusler.

Deepfakes er ikke på vei bort, og de blir stadig vanligere og vanskeligere å oppdage. Imidlertid, ved å etablere retningslinjer, bekrefte forespørsler via flere ruter, og implementere konsistente opplæringsprogrammer over hele organisasjonen, kan vi være bedre forberedt og beskytte oss mot disse truslene. I en økende digital verden, vår flid til å stole mindre og verifisere mer vil være essensiell i å opprettholde sikkerheten og integriteten til vår digitale identitet.