Prăpastia din camera de consiliu: De ce CISO-ii se luptă să vorbească despre Deepfakes — și cum să le prezinte

Securitatea cibernetică intră într-un moment crucial, determinat de adoptarea pe scară largă a inteligenței artificiale de către întreprinderi, guverne și persoane fizice. Cu 82% din companiile din SUA care folosesc sau explorează utilizarea inteligenței artificiale în afacerile lor, organizațiile deblochează noi eficiențe, dar și atacatorii. Uneltele care alimentează inovația sunt, de asemenea, capabile să genereze conținut sintetic cu o ușurință și o realitate alarmantă. Această nouă realitate a introdus provocări semnificative, inclusiv capacitatea de a crea conținut sintetic (imagini, audio și video) și deepfakes malefice (audio, video sau imagini manipulate pentru a impersona o persoană reală) cu o viteză și o sofisticare fără precedent. În doar câteva clicuri, oricine are acces la un computer și la internet poate manipula imagini, audio și videoclipuri, introducând neîncredere și îndoială în etosul informațional. 

Într-o epocă în care companiile, guvernele și organizațiile media se bazează pe comunicarea digitală pentru a-și câștiga existența, nu există loc pentru eroare în subestimarea riscurilor pe care le reprezintă deepfakes, frauda de identitate sintetică și atacurile de impersonare. Aceste amenințări nu mai sunt hipotetice – pierderile financiare din cauza fraudei enterprise cu deepfakes au depășit 200 de milioane de dolari în primul trimestru al anului 2025, subliniind amploarea și urgența problemei. Un nou peisaj de amenințări necesită o abordare nouă a securității cibernetice, iar CISO-ii trebuie să acționeze rapid pentru a se asigura că compania lor rămâne securizată. Cu toate acestea, solicitarea de noi capital și comunicarea clară a expunerii la amenințări a organizației către un consiliu de administrație cu niveluri variate de cunoaștere a gravității amenințărilor deepfakes poate fi intimidant. Pe măsură ce atacurile deepfakes continuă să evolueze și să ia forma, fiecare CISO trebuie să fie în fruntea aducerii acestei conversații în camera de consiliu. 

Mai jos este prezentat un cadru pentru CISO-i și executivi pentru a facilita conversațiile cu stakeholderii la nivelul consiliului, organizației și comunității. 

Folosiți cadre familiare: Deepfakes ca inginerie socială avansată

Consiliile au fost condiționate să gândească despre securitatea cibernetică în termeni familiari: e-mail-uri de phishing, atacuri de ransomware și întrebarea dacă compania lor va fi compromisă. Această mentalitate modelează modul în care prioritizează amenințările și alocă bugete de securitate. Dar atunci când vine vorba de conținut generat de inteligență artificială, în special deepfakes, nu există un punct de referință încorporat. Prezentarea deepfakes ca o amenințare independentă, nouă, duce adesea la confuzie, scepticism sau inacțiune.

Pentru a combate acest lucru, CISO-ii ar trebui să ancoreze conversația în ceva pe care consiliile îl înțeleg deja: ingineria socială. La nivelul său fundamental, amenințarea deepfakes nu este cu totul nouă; este o formă evoluată, mai periculoasă de phishing care a existat în industrie de-a lungul anilor și continuă să fie cel mai important vector de atac al ingineriei sociale. Consiliile recunosc deja phishing-ul ca un risc credibil și sunt confortabile aprobând resurse pentru a se apăra împotriva lui. În multe privințe, deepfakes reprezintă o formă mai convingătoare, mai scalabilă și mai capabilă de inginerie socială, țintind atât organizații, cât și persoane fizice cu o precizie devastatoare. 

Prezentarea deepfakes în acest mod permite CISO-ilor să se bazeze pe educația existentă, liniile de buget și memoria musculară instituțională. În loc să solicite resurse noi, pot reformula solicitarea ca o evoluție a investițiilor de securitate deja aprobate. Cu cât CISO-ii se pot baza mai mult pe această narativă, cu atât sunt mai probabil să primească resursele necesare pentru a aborda această problemă mai mare și mai urgentă. 

Ancorează riscul în realism, nu în sensaționalism

Indicarea unor exemple din lumea reală este o modalitate excelentă de a facilita înțelegerea consiliului cu privire la impactul pe care amenințările deepfakes le pot avea asupra organizațiilor. Cu toate acestea, este important să se țină cont de exemplele pe care CISO-ii le prezintă consiliilor, deoarece acestea pot avea efectul invers. Povești celebre, cum ar fi incidentul de fraudă cu deepfakes de 25 de milioane de dolari din Hong Kong, fac titluri excelente, dar pot backfiri în camera de consiliu. Aceste exemple extreme adesea par îndepărtate sau nerealiste, creând o senzație că “ceva atât de catastrofic nu ne-ar putea afecta niciodată.” Prejudecățile se declanșează imediat și elimină senzația de urgență de a investi în protecție. 

În schimb, CISO-ii ar trebui să utilizeze scenarii mai plauzibile pentru a arăta cum acest risc ar putea fi jucat intern, cum ar fi impersonarea executivului sau frauda de interviu.

Într-un caz, actorii de amenințare din Coreea de Nord au creat un apel Zoom fals, cu executivi generați de inteligență artificială, pentru a păcăli un angajat al unei companii de criptomonede să descarce programe malware pentru a accesa informații sensibile ale companiei, cu intenția de a fura criptomonede. În final, hackerii nu au putut obține accesul, dar amenințarea pe care o reprezintă aceste atacuri pentru integritatea unei mărci ar trebui să fie un semnal de alarmă pentru consiliile din cadrul întreprinderilor. 

O tactică în creștere implică candidați fictivi care utilizează identități și credențiale deepfakes generate de inteligență artificială pentru a pătrunde în organizații. Acești indivizi adesea acționează în numele adversarilor Statelor Unite, cum ar fi Rusia, Coreea de Nord sau China, căutând acces la sisteme și date sensibile. Această tendință epuizează resursele interne și expune organizațiile la riscuri de securitate națională și exploatare financiară. 

Adesea, aceste amenințări trec neobservate. Pentru fiecare exemplu din știri, zeci rămân neraportate, făcând dificilă înțelegerea amploarei acestei amenințări. Cu cât atacul este mai mundan, cu atât este mai neliniștitor – și mai plauzibil. Prin împărtășirea unor exemple de acest fel – realiste, plauzibile și mai aproape de casă – CISO-ii pot ancora conversația despre deepfakes în operațiunile zilnice ale afacerilor și întări de ce această amenințare în evoluție necesită o atenție serioasă la nivelul consiliului. 

Legătura apărării deepfakes de metricele de reziliență existente

CISO-ii sunt întrebați în mod constant de consiliile lor: Care este probabilitatea de a fi compromiși? Unde suntem cei mai vulnerabili? Cum putem reduce riscul? În timp ce phishing-ul, ransomware-ul și breșele de date continuă să existe, este important să se sublinieze schimbarea fundamentală care a avut loc în cadrul acestor vulnerabilități și cum acestea se extind mult dincolo de suprafețele de atac tradiționale. 

Echipele de resurse umane, financiare și de achiziții – roluri care nu sunt considerate în mod tradițional ca apărători de linia întâi – sunt acum ținte frecvente ale impersonării sintetice, iar capacitatea medie a unui om de a detecta aceste amenințări este extrem de scăzută. De fapt, doar 1 din 1.000 de persoane pot detecta cu acuratețe conținutul generat de inteligență artificială. CISO-ii sunt acum însărcinați cu abordarea cererii de educație avansată de inginerie socială și de reziliență cibernetică sporită în cadrul întregii organizații, deoarece toată lumea din organizație trebuie să fie instruită, testată și conștientizată pentru a ajuta la mitigare. 

Apărarea deepfakes trebuie să devină o extensie a rezilienței la nivelul întregii organizații și necesită o educație continuă, în același mod în care echipele sunt instruite prin simulări de phishing, programe de conștientizare și exerciții de echipă roșie. CISO-ii ar trebui să utilizeze metrice din antrenamente și simulări pentru a ajuta la încadrarea problemei în metrice pe care consiliul le înțelege. Dacă un consiliu a cumpărat deja reziliența ca o prioritate strategică pentru organizație, deepfakes devin un frontier natural următor.

Amenințările generate de inteligență artificială nu vin. Ele sunt deja aici. Este timpul să ne asigurăm că camera de consiliu este pregătită să asculte și să conducă. Datorită adoptării inteligenței artificiale, amploarea și frecvența atacurilor de deepfakes și a atacurilor bazate pe identitate au transformat peisajul de amenințări într-unul imprevizibil și în continuă evoluție. 

Dar consiliile nu au nevoie de o prezentare generală a deepfakes sau a clonării vocale. Au nevoie de un context de afaceri clar și de o înțelegere mai bună a amenințărilor pe care le reprezintă pentru organizațiile lor. CISO-ii ar trebui să ancoreze conversația în risc, cost și continuitate operațională. Cei care aliniază narativa deepfakes cu paradigme familiare – phishing, inginerie socială, reziliență – oferă consiliului un cadru și un context în care pot acționa, nu doar reacționa.