Bankalar AI Ses Dolandırıcılığına Hazır mı?

AI tarafından oluşturulan ses, dolandırıcılığın ekonomisini değiştirdi. Bir zamanlar yetenekli bir sahtekâr, ikna edici bir senaryo veya tehlikeye açık bir telefon numarası gerektiren şeyler, şimdi alarmingly insan gibi sesler üretebilen araçlarla büyük ölçekte denenmektedir.

Ve daha da endişe verici olan, finans sektörünü doğrudan hedef almalarıdır. 2024 yılı başlarında, mühendislik firması Arup’ta çalışan bir finans çalışanı, şirketin CFO’su ve birkaç meslektaşıyla görünen bir video konferansa katıldı. Sesler tanıdıktı, yüzler tanınabilir ve talepte temel bir incelemeden geçmek için yeterli görünüyordu. Aramaların sonunda, 25 milyon dolar tutarında transferi yetkilendirdi. İnanılan kişiler, şirketin CFO’su dahil, daha sonra AI tarafından oluşturulan deepfake’ler olduğu bildirildi.

Finansal kurumlar için risk, yalnızca dahili ödeme onaylarıyla sınırlı değildir. Aynı güven kaybı, müşteri kimlik doğrulaması, çağrı merkezi yükseltme, dolandırıcılık kontrolleri ve hesap kurtarma yolculuklarında da ortaya çıkabilir.

Dolandırıcılar, on yıllardır telefon görüşmelerinin göreli anonimliğini dolandırıcılık için kullanmışlardır. Ancak AI ile, gereken çaba artık önemsiz hale gelmiştir ve sonuçlar çok daha inandırıcıdır. Bankalar ve fintech şirketleri için bu birleşim, risklerin bilinmeyen bir haritasına yol açmaktadır.

Altında daha rahatsız edici bir gerçeklik vardır. Saldırganlar sistemlerindeki açıkları ararken, finansal kurumların müşteri desteğini modernleştirmek için dağıttıkları AI altyapısı, dolandırıcılığın açıkça işlenmesini kolaylaştırmaktadır.

Ait gibi görünen arama

AI’den önce, ses dolandırıcılığı nispeten kolayca tespit edilebilirdi. Otomatik aramalar düzgün ve bir senaryoya uyuyordu, vishing girişimleri ise sosyal mühendislik için insan operatörlerin çağrı kağıtlarını takip etmesini gerektiriyordu. Çoğu durumda, ölçek, dolandırıcılık girişimindeki kaliteyle sınırlıydı. Yeterli eğitim ve bazı ortak sentido ile personel genellikle işaretleri tespit edebilirdi.

AI, bu teknik bariyeri neredeyse çökerterek değiştirdi. Yeterli promts ile AI, insan gibi, infleksiyon, duygu ve hatalarla birlikte çok insan gibi sesler üretebilir. Durumu daha da kötüleştiren, ses kopyalayabilen AI araçlarının ticari platformlarda ve açık kaynak depolarında kolayca bulunabilmesidir.

McAfee Labs, bir AI aracının yalnızca %85 doğruluk ile bir ses klonu üretebileceğini buldu. On saniye kaydedilen ses, bu oranı %95’in üzerine çıkarabilir. Kaynak materyal her yerdedir: sosyal medya gönderileri, sesli mesaj selamları, konferans kayıtları, kazanç çağrıları veya LinkedIn videoları.

Gerçek zamanlı ses dönüşüm araçları 2024 yılında yaygın olarak kullanıma sunuldu, bu da saldırganların artık önceden kaydedilmiş bir klibe ihtiyaç duymadığı anlamına geliyor. Sadece bir mikrofonla konuşabilir ve çıktı, taklit etmeye çalıştıkları kişinin sesi gibi olacaktır.

Arup olayı öğreticidir: Finans çalışanı şüpheleri vardı, ancak tanıdık sesler ve yüzlerin varlığı, onu güvenmeye yöneltti, ancak gözlerine ve kulağına güvenmeye karar verdi. Aynı yıl, Hong Kong’daki soruşturmacılar, bir finans yöneticisinin sesini klonlayarak 18.5 milyon dolar tutarında bir kripto para dolandırıcılığına karışan ayrı bir operasyonu ortaya çıkardı.

Tanıdık bir ses, aslında güvenilir bir ses gibi görünmektedir ve AI, bu varsayımı tehlikeli bir varsayıma dönüştürmüştür.

Kimlik doğrulama hataları dolandırıcılık fırsatlarına dönüşüyor

Finansal kurumlar zaten dış tehditlere yanıt vermektedir. AI için yönetim ve uyum araçlarına yapılan kurumsal harcamalar 2025’te 2.2 milyar dolardan 2035 yılına kadar 9.5 milyar dolara çıkması beklenmektedir, bu da piyasaların bu konuya verdiği önem düzeyini göstermektedir.

Ancak daha önemli risk, kurumların dışındaki değil, içindeki risktir. Bankalar ve fintech şirketleri, müşteri desteklerini modernleştirmek için AI’yi katmanlıyor, AI destekli IVR sistemleri, ses biyometrik kimlik doğrulama ve insansız çağrı akışları oluşturuyorlar. Bu çabalar, müşteri deneyimini iyileştirmek ve insan emeğini azaltmaya yöneliktir, ancak bu sistemler başarısız olduğunda, tehdit aktörlerinin kolayca yararlanabileceği zayıf noktalar bırakırlar.

Yönlendirme hataları, kaybedilen bağlam ve öngörülemez şekilde davranan kimlik doğrulama sistemleri, müşteri deneyimi sorunları gibi görünür ve bu şekilde kaydedilir.

Ancak bu CX sorunları, aşağı akışta daha kötü bir şeye dönüşebilir. Ses biyometrik kimlik doğrulama tarafından kilitlenen bir müşteri, bunu nadiren rapor edecektir. Bunun yerine, yüksek olasılıkla geri arayacak, bir insan operatörüyle konuşmanın bir yolunu bulacak ve bu protokollerin uygulanmasını bypass etmesini talep edecektir.

Daha büyük sorun, bir saldırganın da bir müşteriyi taklit edebilmesidir. Finansal kurumlar bunun farkındadır. Aslında, ABD’deki 91 banka, AI klonlama riskleri nedeniyle ses biyometrik kimlik doğrulama stratejilerini yeniden değerlendirmektedir.

Yeniden değerlendirme bu sorunları çözmez. Müşteri kimlik doğrulaması düzenli olarak başarısız olan bir kurum, zaten bir saldırganın sistemini sömürebilmesi için gereken koşulları yaratmıştır. Sonuçta, bir saldırganın teknik bir açıklık bulmasına gerek yoktur, çünkü müşteri yolculuğundaki sürtüşme, ona bir girme yolu sağlar.

Şirketler güvenlik yığınlarını değiştirmek yerine bakış açısını değiştirmelidir

AI tarafından oluşturulan sentetik sesleri tespit edebilen araçlar gelişmektedir, ancak bir tehdit aktörünün bir bankanın sistemlerini zayıflıklar için araştırması, tek bir başarısızlık noktası aramayı içermez. Sistemlerin birbirini kaçırdığı, kimlik doğrulama sistemlerinin sinyalleri net bir şekilde iletemediği alanları aramaktadır. Çevredekilerde daha iyi algılama, bu açığı kapatamaz.

Yardımcı olabilecek şey, ses altyapısına karşı liderlerin bakış açısını yeniden değerlendirmeleridir. Herhangi bir yazılım yığınının bir parçası gibi, ses altyapısı da çevre savunmalarının aynı düzeyde incelemesini gerektirir.

Uygulamada, böyle bir güvenlik duruşu, IVR, biyometrik kimlik doğrulama ve diğer ses sistemlerinin üretim koşullarında karşılaşacağı koşullar boyunca fonksiyonel ve dayanıklılık testlerini gerektirecektir: düşük kaliteli ses, farklı aksanlar ve arka plan gürültüleri, kenar durumları yükseltme, kimlik doğrulama sınır senaryoları ve sistemlerin kabul eşiği dışındaki meşru arayanlar.

Cevap, bir kerelik bir sertifika egzersizi değildir. Bankalar, IVR yönlendirmesi, biyometrik kimlik doğrulama, yükseltme, transfer ve geri dönüş yolları da dahil olmak üzere tam ses yolculuğunun sürekli doğrulamasına ihtiyaç duyar. Ses sistemleri ne kadar sık güncellenirse güncellensin, dolandırıcılık taktikleri, karşılaştıkları savunmalardaki açıkları bulmak için doğal olarak evrilir. Bir sistem, dağıtımda doğrulandıktan sonra, gerçek dünya koşullarında güvenli olduğundan emin olmak için sık sık ve tekrarlayan olarak test edilmelidir.

Ölçeklendirilmiş sürekli testlerin bütçe dikkate alınması gerektiği unutulmamalıdır. Ayrıca, hızlı hareket etme (rekabetçi kalma için yeni yetenekler dağıtma) ile sistemleri tam olarak doğrulama arasında içkin bir gerilim vardır.

Bu gerilimi temiz bir şekilde çözmek zor olsa da, doğrulamayı atlamak maliyetini net bir şekilde ortaya koyar: Müşterilerin zaten bulduğu ve sisteminin zayıf bir noktası olan bir sistem hatası.

Daha iyi müşteri yolculukları dolandırıcılık savunması haline geliyor

Yukarıda tanımlanan dış ve iç riskler, ayrı sorunlar değildir. Güvensiz müşteri yolculukları, sosyal mühendisliğin yararlanabileceği davranış boşlukları yaratmaktadır.

Bu, çözülebilecek bir sorundur, ancak kurumlar, kötü müşteri deneyiminin yalnızca müşteri tutma veya gelir üzerinde değil, daha da ötesinde bir etkiye sahip olabileceğini anlamalıdır. Bankalar, AI ses dolandırıcılığını yalnızca bir algılama problemi olarak ele almazlar. Ayrıca, kendi ses yolculukları içindeki belirsizliği, sürtüşmeyi ve başarısızlık noktalarını ortadan kaldırmalıdır. Bir zamanlar varsayılan olarak güvenilen bir sesin artık güvenilir olamayacağı bir dönemde, yolculuğun kendisi güvenlik modelinin bir parçası haline gelir.