Пропуск у раді: Чому CISO не можуть говорити про Deepfakes — і як їх представити

Кібербезпека вступає в переломний момент, підштовхнутий широким впровадженням штучного інтелекту підприємствами, урядами та окремими особами. З 82% компаній у США, які або використовують, або досліджують використання штучного інтелекту в своїй діяльності, організації відкривають нові можливості, але й атакувальники. Ті самі інструменти, які підтримують інновації, також дозволяють загрозам створювати синтетичний контент з небаченою легкістю та реалізмом. Ця нова реальність ввела значні виклики, включаючи можливість створення синтетичного контенту (зображень, аудіо та відео) та зловмисних deepfakes (маніпульованих аудіо, відео чи зображень, використовуваних для імітації реальної людини) з безпрецедентною швидкістю та складністю. За кілька кліків будь-хто з доступом до комп’ютера та інтернету може маніпулювати зображеннями, аудіо та відео, вводячи недовіру та сумнів у інформаційну етику.

У добу, коли компанії, уряди та медійні організації залежать від цифрового спілкування для свого існування, немає місця для помилок у недооцінці ризиків, пов’язаних з deepfakes, синтетичною ідентифікаційною шахрайством та атаками на особу. Ці загрози вже не гіпотетичні – фінансові втрати від deepfakes-дозволеного корпоративного шахрайства перевищили 200 мільйонів доларів у першому кварталі 2025 року, підкреслюючи масштаб і терміновість питання. Нова загроза вимагає нового підходу до кібербезпеки, і CISO повинні діяти швидко, щоб забезпечити безпеку своєї компанії. Однак прохання про новий капітал і ясне пояснення загрози deepfakes керівництву компанії з різним рівнем знань про серйозність цієї загрози може бути складним. Оскільки атаки deepfakes продовжують еволюціонувати, кожен CISO повинен бути на чолі розмови про це в раді.

Нижче наведено рамки для CISO та керівників для проведення розмов з зацікавленими сторонами на рівні ради, організації та спільноти.

Використовуйте знайомі рамки: Deepfakes як просунута соціальна інженерія

Ради звикли думати про кібербезпеку у знайомих термінах: фішингові електронні листи, атаки з вимаганням викупу та постійне питання про те, чи буде компанія зламана. Такий спосіб мислення формує їхнє сприйняття загроз і розподілення бюджету на безпеку. Але коли мова йде про штучно створений контент, особливо deepfakes, немає вбудованої точки відліку. Представлення deepfakes як окремої, нової загрози часто призводить до плутанини, скептицизму чи бездіяльності.

Щоб протидіяти цьому, CISO повинні закріпити розмову в чомусь, що ради вже розуміють: соціальна інженерія. У своїй основі загроза deepfakes не зовсім нова; це еволюційна, більш небезпечна форма фішингу, яка існувала в галузі протягом років і продовжує бути основним вектором атак соціальної інженерії. Ради вже визнають фішинг як достовірну загрозу та комфортно затверджують ресурси для захисту проти неї. У багатьох аспектах deepfakes представляють більш переконливу, масштабовану та здатну форму соціальної інженерії, спрямовану як на організації, так і на окремих осіб з руйнівною точністю.

Представлення deepfakes в такому ключі дозволяє CISO використовувати існуючу освіту, бюджетні лінії та інституційну пам’ять. Замість прохання про нові ресурси вони можуть переформулювати прохання як еволюцію вже затверджених інвестицій у безпеку. Чим більше CISO можуть опиратися на цю розповідь, тим більша ймовірність того, що їм буде надано ресурси для вирішення цієї великої та термінової проблеми.

Закріпіть ризик у реалізмі, а не сенсаціоналізмі

Наведення реальних прикладів є хорошим способом подальшого розуміння ради про вплив deepfakes на організації. Однак важливо враховувати, які приклади CISO представляють раді, оскільки вони можуть мати протилежний ефект. Знамениті історії, такі як інцидент з шахрайством на 25 мільйонів доларів у Гонконзі, роблять хороші заголовки, але вони можуть зайти в раді too. Ці екстремальні приклади часто здаються віддаленими або нереалістичними, створюючи відчуття того, що “щось подібне не може статися з нами”. Уявлення про це відразу ж викликає відчуття відсутності терміновості інвестування у захист.

Натомість CISO повинні використовувати більш реалістичні сценарії, щоб показати, як ця загроза може розігратися всередині компанії, наприклад, імітуючи виконавців або шахрайство під час інтерв’ю.

У одному випадку північнокорейські загрози створили фальшивий відеозв’язок з виконавцями, створеними штучним інтелектом, щоб обманути співробітника криптовалютної компанії та змусити його завантажити зловмисне програмне забезпечення для доступу до конфіденційних даних компанії з метою викрадення криптовалюти. У підсумку хакери не змогли отримати доступ, але загроза, яку ці атаки становлять для репутації компанії, повинна бути сигналом для ради підприємств.

Іншим зростаючим тактикою є фальшиві кандидати на роботу, які використовують штучно створені ідентифікатори та deepfakes для проникнення у підприємства. Ці особи часто діють від імені американських противників, таких як Росія, Північна Корея чи Китай, шукаючи доступу до конфіденційних систем та даних. Цей тренд виснажує внутрішні ресурси та піддає організації національним ризикам безпеки та фінансовому використанню.

Часто ці загрози залишаються непоміченими. Для кожного прикладу в новинах десятки залишаються неповідомленими, що робить важким повне розуміння масштабу цієї загрози. Чим більш буденна атака, тим більш тривожною та реалістичною вона стає. Розповідаючи про такі приклади – реалістичні, близькі до дому та зрозумілі – CISO можуть закріпити розмову про deepfakes у повсякденних бізнес-операціях та підкреслити, чому ця еволюційна загроза вимагає серйозної уваги на рівні ради.

Зв’яжіть захист від deepfakes з існуючими показниками стійкості

CISO постійно запитують одні й ті самі питання від своєї ради: Яка ймовірність нашого зламу? Де ми найбільш уразливі? Як ми можемо зменшити ризик? Хоча фішинг, атаки з вимаганням викупу та порушення даних продовжують існувати, важливо показати фундаментальну зміну, яка відбулася в цих уразливостях, і як вони тепер виходять далеко за межі традиційних поверхонь атак.

Команди HR, фінансів та закупівель – ролі, які традиційно не вважаються передовими захисниками, – тепер часто стають цілями синтетичної імітації, а середня людина має дуже низьку здатність виявляти ці загрози. Фактично, тільки 1 людина з 1000 може точно виявити штучно створений контент. CISO тепер повинні займатися питаннями просунутої соціальної інженерії та підвищення кібербезпеки по всій організації, оскільки кожна людина в організації повинна бути навчена, протестована та інформована, щоб допомогти у мінімізації.

Захист від deepfakes повинен стати частиною загальної стійкості підприємства та вимагає постійної освіти так само, як команди проходять навчання за допомогою симуляцій фішингу, навчальних програм та тренувань червоних команд. CISO повинні використовувати метрики з тренувань та симуляцій, щоб допомогти сформулювати питання в метриках, які рада розуміє. Якщо рада вже погодилася з тим, що стійкість є стратегічною пріоритетністю для організації, deepfakes стають природним наступним фронтом.

Штучно створені загрози вже не прийдуть. Вони вже тут. Час забезпечити, щоб раді було готово слухати та керувати. Завдяки впровадженню штучного інтелекту масштаб і частота атак deepfakes та ідентифікаційних атак перетворили ландшафт загроз на той, який є непередбачуваним та постійно еволюціонуючим.

Але раді не потрібно вступу про deepfakes чи голосову клонування. Їм потрібно ясний бізнес-контекст та глибше розуміння загроз, які вони становлять для своїх організацій. CISO повинні закріпити розмову в ризику, вартості та оперативній безперебійності. Ті, хто визначає свою розповідь про deepfakes у знайомих парадигмах – фішингу, соціальної інженерії, стійкості – дають раді рамки та контекст, у яких вони можуть діяти, а не просто реагувати.