Воры используют deepfakes для обмана компаний, заставляя посылать себе деньги

Воры используют deepfakes для обмана компаний, заставляя посылать себе деньги Информационная безопасность, Машинное обучение, Искусственный интеллект, Длиннопост, Deepfake, Habr

C момента своего появления в декабре 2017-го дипфейки, видео с почти идеальной заменой лица, созданные нейросетью, наводили на экспертов панику. Многие, например, тогда боялись, что теперь еще проще станет «порно-месть», когда бывший бойфренд с достаточно мощным ПК может смастерить любое грязное порно с подругой. А Натали Портман и Скарлетт Йоханссон, о которых порно с deepfake снимали особенно много, публично прокляли интернет.


Чтобы бороться с подступающей угрозой, Facebook и Microsoft недавно собрали коалицию для борьбы с дипфейками, объявив призовой фонд $10 млн тем разработчикам, которые придумают лучшие алгоритмы для их обнаружения. Это помимо DARPA, управления исследованиями Министерства обороны США, выделившего на эту цель $68 млн за последние два года.


Ну так вот, уже поздно. Первое deepfake-преступление уже состоялось.

Воры используют deepfakes для обмана компаний, заставляя посылать себе деньги Информационная безопасность, Машинное обучение, Искусственный интеллект, Длиннопост, Deepfake, Habr

По данным Wall Street Journal, в марте этого года управляющий директор британской энергетической компании был ограблен на €220 000 (около $240 000). Он отправил эти деньги фирме-поставщику из Венгрии, потому что его босс, глава материнской фирмы в Германии, несколько раз подтвердил ему такую инструкцию. Но на самом деле какой-то хитрый злоумышленник просто использовал софт с AI-технологиями, чтобы в режиме реального времени заменять голос руководителя, и требовать, чтобы тот заплатил ему в течение часа.


Программа, которую использовал вор, смогла полностью имитировать голос человека: тон, пунктуацию, даже немецкий акцент. Сообщение исходило с адреса босса в Германии, в подтверждение британскому директору был направлен e-mail с контактами. Предположить, что что-то идёт не так, можно было разве что по требованию босса провести всю сделку как можно быстрее, но это далеко не первый аврал, который случался в их бизнесе.


В итоге – все деньги пропали. Из венгерского аккаунта их перевели в Мексику, а потом рассеяли по всему миру. Но воры на этом не остановились. Они попросили второй срочный перевод, чтобы «поставки из Венгрии» «пошли еще быстрее». Тут уж британский директор почуял неладное, и позвонил своему настоящему боссу. Получился какой-то сюр: он по очереди принимал звонки то от фейкового, то от настоящего руководителя, говорящих одинаковыми голосами. Название компании и её сотрудников не разглашаются, поскольку по этому делу ведется расследование, и воры еще не найдены.

Воры используют deepfakes для обмана компаний, заставляя посылать себе деньги Информационная безопасность, Машинное обучение, Искусственный интеллект, Длиннопост, Deepfake, Habr

Возможно, это даже не первая кража с использованием Deepfake AI (или его продвинутых последователей). Symantec сообщает, что она засекла как минимум три случая, в которых замена голоса помогла ворам обхитрить компании и заставить их послать им деньги. В одном из этих случаев ущерб составил миллионы долларов. Причем, судя по косвенным признакам, этот трюк был проделан другими злоумышленниками – не теми, которые обокрали британского СЕО. То есть, deepfake-преступления постепенно становятся общим достоянием, это не придумка какого-то одного гениального хакера.


На самом деле, скоро такую процедуру сможет проделать любой школьник. Главное – найти достаточно доверчивую жертву, и собрать нужное количество сэмплов видео/аудио, чтобы имперсонировать, кого потребуется. Google Duplex уже успешно мимикрирует под голос реального человека, чтобы делать звонки от его имени. Многие небольшие стартапы, в основном из Китая, работают над тем, чтобы предлагать похожие на deepfake сервисы бесплатно. Разные программы-дипфейки даже соревнуются друг с другом, кто сможет сгенерировать достаточно убедительное видео с человеком, используя минимальный объем данных. Некоторые заявляют, что скоро им будет достаточно одного вашего фото.


В июле Израильское национальное управление защиты от киберугроз выпустило предупреждение о принципиально новом виде кибератак, которые могут быть направлены на руководство компаний, ответственных сотрудников и даже высокопоставленных чиновников. Это первая и на данный момент самая реальная AI-угроза. Они говорят, уже сейчас есть программы, способные идеально передать ваш голос и акцент, прослушав вас 20 минут. Если где-то в сети есть запись с вашей речью в течение получаса, или если кто-то немного посидел рядом с вами в кафе с диктофоном, ваш голос теперь может быть использован, чтобы сказать кому угодно что угодно.


Пока что инструментов для борьбы с этим нет. Вариант защититься только один. Если вам кто-то звонит и просит перевести существенную сумму денег, – не будет лишним подтвердить, что это тот самый человек, по другому каналу. Через мессенджеры, Скайп, e-mail, корпоративные каналы или соцсети. А в идеале, конечно же, – лицом к лицу.


Ну а если у вас есть глубокие познания в машинном обучении и вы не прочь получить кусок от пирога в $10 млн – можно попробовать себя в конкурсе Microsoft и Facebook. Или основать свой стартап, предлагающий государству и солидным компаниям бизнес-решение для определения дипфейков по картинке или по голосу. Без этого нам скоро будет не обойтись.

Источник: Хабр

Информационная безопасность IT

1.4K постов25.5K подписчиков

Добавить пост

Правила сообщества

Обязательно к прочтению для авторов:

1. Если вы добавляете пост, утверждающий об утечке данных или наличии дыр в системе, предоставьте ссылку на источники или технически подкованное расследование. Посты из разряда "Какой-то банк слил данные, потому что мне звонили мошенники" будут выноситься в общую ленту.
2. Все вопросы "Как обезопасить сервер\приложение\устройство" - в лигу "Компьютер это просто".

Обязательно к прочтению для всех:

Добавление ссылки разрешено если она не содержит описание коммерческих (платных) продуктов и/или идентификаторов для отслеживания перехода и для доступа не нужен пароль или оплата в т.ч. интернет-ресурсы, каналы (от 3-х тематических видео), блоги, группы, сообщества, СМИ и т.д.


Запрещены политические holy wars.

По решению модератора или администратора сообщества пользователь будет забанен за:

1. Флуд и оскорбление пользователя, в т.ч. провокация спора, флуда, холивара (высказывание без аргументации о конкретной применимости конкретного решения в конкретной ситуации), требование уже данного ответа, распространение сведений порочащих честь и репутацию, принижающих квалификацию оппонента, переходы на личности.

2. Публикацию поста/комментария не соответствующего тематике сообщества, в том числе обсуждение администраторов и модераторов сообщества, для этого есть специальное сообщество.

3. За обвинение в киберпреступной деятельности.

4. За нарушение прочих Правил Пикабу.

Вы смотрите срез комментариев. Показать все
430
Автор поста оценил этот комментарий

В первом случае у нас бухгалтера бы сказали а где допка с реквизитами для валютного контроля ? И вся схема бы накрылась. Ну и пароль и отзыв никто не отменял.

раскрыть ветку (23)
355
Автор поста оценил этот комментарий

- Жопа Андреевна, срочно надо отправить дохуярд хуеблей  в  ООО"соси и заглатывай"

- Да мне срать! По фз7.40 без договора или допника ничего не сделаю. Особенно с ООО и без НДС!!! А то потом ещё и акты собирай с вас!!!

раскрыть ветку (10)
205
Автор поста оценил этот комментарий
Скорее:
- Да мне срать! Я на обеде. После обеда налоговый отчет. Звоните завтра. Лучше через месяц. А лучше никогда.
45
Автор поста оценил этот комментарий

Прошли те времена когда главбух так мог общаться с руководством. Ссут под себя при виде начальника они сейчас

раскрыть ветку (8)
60
Автор поста оценил этот комментарий

это если главбух фейковый... с нормальным профессионалом - не забалуешь

раскрыть ветку (2)
7
Автор поста оценил этот комментарий

Ох, совсем все наоборот, бухгалтера имеют большое влияние

11
DELETED
Автор поста оценил этот комментарий
Бухгалтер, адвокат и врач у умного человека, самые "облизываемые" люди
14
Автор поста оценил этот комментарий
Поверь они есть, но для "молодых и ебанутых начальников" они помеха, от которой они быстро стараются избавится, и насрать что человек работает уже 20 лет на контору и идеально выполняет свою работу.
раскрыть ветку (4)
9
Автор поста оценил этот комментарий

Ну так это проблема начальников, они же деньги теряют

раскрыть ветку (3)
2
Автор поста оценил этот комментарий
Они теряют? Пффф, им насрать, они выбивают дерьмо из оставшихся, а потом дерьмо из их дерьма. Все что их интересует - цифры на бумаге и куда они отправятся в командировку, а что реально происходит их обычно не интересует.

Пример: музей заповедник на юго-востоке столицы. Людей мониторят и даже угрожают чтобы в сеть ничего не утекло. А по факту за время "правления" новой "царицы", 50% сотрудников сами написали увольнительные.
раскрыть ветку (2)
1
Автор поста оценил этот комментарий

если прибыль увеличивается, то все нормально

раскрыть ветку (1)
2
Автор поста оценил этот комментарий
Да-да, первые полгода... А потом как обычно вместо 10 уволенных наймут 40 неизвестно кого, потому что жопа на горизонте.
48
Автор поста оценил этот комментарий
Ага.. И пароль от учетки 1С наклеенный на монитор становится все более и более надежным
раскрыть ветку (9)
13
Автор поста оценил этот комментарий

ну а что может дать знание пароля учетки 1С-ки... без печати и личной подписи директора и глав буха на документах
проще уж сертификаты и лцп с флешек потырить, сейчас еще для удобства в реестр сертификаты закрытого ключа ставят - так еще проще копернуть через крипто про

раскрыть ветку (8)
4
Автор поста оценил этот комментарий
Тем более что пароль с 1с, что раньше снимался в два клика, что сейчас.
раскрыть ветку (6)
1
Автор поста оценил этот комментарий

Только хотел написать, а тут ты уже. Доброе утро кстати

раскрыть ветку (1)
Автор поста оценил этот комментарий
Здарова
Автор поста оценил этот комментарий

С серверной и за 10 не снимешь.

раскрыть ветку (3)
Автор поста оценил этот комментарий
Зависит от степени доступа к серверу, если права админскии тоже пара минут.
раскрыть ветку (2)
Автор поста оценил этот комментарий

Если права УЖЕ админские, то о каком снятии пароля идёт речь?

раскрыть ветку (1)
Автор поста оценил этот комментарий

Ну полагаю здесь ситуация такая: Администратор забыл пароль от 1С и хочет восстановить доступ. Я имею ввиду админские права на сервер - компьютер, а не от 1С сервера.

DELETED
Автор поста оценил этот комментарий

Спасибо за идею.

76
Автор поста оценил этот комментарий

Мои бы в первую очередь 3 раза ввели пароль на другой раскладке и заблокировали доступ в личному кабинету.

5
Автор поста оценил этот комментарий
Бюрократия наше всё... где наши 10 млн...
Вы смотрите срез комментариев. Чтобы написать комментарий, перейдите к общему списку