Securitywatch: les arnaqueurs vont au phishing avec deepfakes

Je n'ai pas beaucoup de questions sur mon travail de la part de ma famille. Naturellement, ils sont beaucoup plus intéressés par les hijinks de mes rats et de mon chien. Mais quand on me pose des questions sur la sécurité, les gens veulent invariablement savoir pourquoi les mauvaises choses arrivent. Il y a beaucoup de réponses à cette question, mais celle sur laquelle je reviens toujours est simple: l'argent.

Ransomware? Cash facile pour les attaquants. Hameçonnage? Rien que de l'argent. Spam? Toutes sortes de façons de monétiser les gens en cliquant sur les liens. Failles de données? Ce matériel est utilisé pour la fraude et le reste est vendu (pour être utilisé pour plus de fraude). Attaques par l'État-nation? Bien sûr, il y a une idéologie, mais lorsque vous considérez que les sanctions américaines ont sans aucun doute joué un rôle dans la motivation de la Russie d'attaquer l'élection de 2016, l'argent est dans l'équation. Et cela ne doit pas mentionner les pirates informatiques des États-nations au noir pour de l'argent supplémentaire.

Deepfakes, les vidéos qui ont été falsifiées, utilisent généralement une technologie basée sur l'IA. Nous avons vu des visages de célébrités intervertis sur des corps de stars du porno, ainsi que des visages et des voix de politiciens manipulés pour leur donner l’impression de dire des choses qu’ils n’ont pas réellement dites. Parfois, ils sont faits pour promouvoir des conspirations follement inflammatoires; plus insidieux sont les moments où ils sont manipulés pour dire des choses suggestibles aux téléspectateurs peuvent avoir du mal à distinguer de la vérité.

On a beaucoup parlé de Deepfakes au cours des derniers mois, par crainte d’être utilisé dans des campagnes de désinformation pour confondre les électeurs. Cela n’a pas encore été le cas à grande échelle, mais de nombreuses personnes ont déjà été victimes du deepfake pornographique. Alors, pourquoi appelons-nous cela une menace émergente? Probablement parce qu'il n'y avait pas de moyen évident de les monétiser directement. Cela a changé cette semaine, car il a été rapporté que les deepfakes ont été utilisés pour tromper les entreprises pour des centaines de milliers de dollars.

Nouveaux outils, même vieux con

Avec le recul, j'aurais dû le voir venir. L'ingénierie sociale - une manière élégante de dire "trompant les gens" - est un outil reconnu pour violer la sécurité numérique ou simplement gagner de l'argent rapidement. L'ajout de deepfakes dans la supercherie est un ajustement parfait.

Le Wall Street Journal a rapporté que certains assaillants assaillants avaient construit un modèle de voix en imitation qui leur avait permis de convaincre un autre employé de s’adresser au PDG de la société. L’employé a ensuite autorisé un virement bancaire de quelque 243 000 $. Dans son propre reportage, le Washington Post a écrit: "Des chercheurs de la société de cybersécurité, Symantec, ont déclaré avoir découvert au moins trois cas où la voix de leurs dirigeants était imitée pour escroquer des entreprises". La distance estimée est mesurée en millions de dollars.

Pour ma propre édification, je me suis assis et j'ai essayé de retracer l'histoire de deepfakes. C’est vraiment un concept à l’ère des fausses informations, qui a vu le jour à la fin de 2017 dans un article de Vice sur la pornographie échangée au visage posté sur Reddit. La première utilisation de "deepfakes" était en fait le nom d'utilisateur de l'individu qui publiait les vidéos pornographiques mettant en vedette le visage, mais pas le corps, de Gal Gadot, Scarlett Johansson et d'autres.

En quelques mois à peine, l'inquiétude suscitée par deepfakes est passée à la politique. Des vidéos ont paru éclater devant des personnalités politiques, et c’est là que je (et la plupart des autres membres de la communauté de la sécurité) me suis retrouvé coincé. À la suite de la désinformation de la Russie lors de l'élection américaine de 2016, l'idée de quasi-indiscernables fausses vidéos inondant le cycle électoral de 2020 était (et est toujours) terrible. Il fait également la une des journaux et fait partie des projets d'intérêt général que les entreprises de sécurité apprécient vraiment.

Je m'en voudrais de ne pas souligner les limites de deepfakes. D'une part, vous avez besoin de clips audio de la personne à imiter. C'est pourquoi les célébrités et les politiciens à l'honneur national sont des cibles évidentes pour la deepfakery. Les chercheurs ont cependant déjà démontré qu’il ne faut qu’une minute d’audio pour créer un deepfake audio convaincant. Écouter un appel des investisseurs publics, une interview d'actualités ou (que Dieu vous aide), une conversation TED serait probablement plus que suffisant.

De plus, je me demande dans quelle mesure votre modèle deepfake doit même fonctionner pour être efficace. Par exemple, un employé de niveau inférieur peut ne pas avoir la moindre idée de ce que le PDG ressemble (ou même ressemble), ce qui me fait me demander si une voix plausible et autoritaire raisonnable suffit pour faire le travail.

Pourquoi l'argent compte

Les criminels sont intelligents. Ils veulent gagner le plus d'argent possible, rapidement, facilement et avec le moins de risque possible. Quand quelqu'un trouve une nouvelle façon de faire ces choses, les autres suivent. Ransomware est un excellent exemple. Le cryptage existe depuis des décennies, mais une fois que les criminels ont commencé à le transformer en armes pour de l’argent facile, il a entraîné une explosion de ransomware.

Deepfakes, utilisé avec succès comme outil dans le cadre d’une attaque spécialisée de chasse sous-marine, est la preuve d’un nouveau concept. Peut-être que cela ne se déroulera pas de la même manière que les ransomwares - cela demande tout de même des efforts considérables, et des arnaques plus simples fonctionnent. Mais les criminels ont prouvé que les deepfakes peuvent fonctionner de cette manière nouvelle, nous devrions donc au moins nous attendre à des expériences criminelles supplémentaires.

• Comment protéger les élections américaines avant qu'il ne soit trop tard Comment protéger les élections américaines avant qu'il ne soit trop tard
• Campagnes d'influence électorale: Trop bon marché pour les fraudeurs Ignorer des campagnes d'influence électorale: Trop chers pour les fraudeurs
• Les agences russes d'Intel sont un ragoût toxique de la concurrence et le sabotage Les agences russes d'Intel sont le ragoût toxique de la concurrence et du sabotage

Au lieu de cibler les PDG, les arnaqueurs pourraient cibler les personnes ordinaires pour des paiements plus modestes. Il n’est pas difficile d’imaginer un fraudeur qui utilise des vidéos postées sur Facebook ou Instagram pour créer des modèles de voix profonds et convaincants afin de convaincre les membres de leur famille d’avoir besoin de beaucoup d’argent envoyé par virement bancaire. Ou peut-être que l'industrie des appels automatisés en plein essor obtiendra une couche profonde pour créer davantage de confusion. Vous pouvez entendre la voix d'un ami en plus de voir un numéro de téléphone familier. Il n'y a également aucune raison pour que ces processus ne puissent pas être automatisés dans une certaine mesure, créant des modèles de voix et exécutant des scripts prédéfinis.

Rien de tout cela ne consiste à exclure les dommages potentiels causés par les crimes graves lors des élections, ni l’argent bloqué dans ces opérations. À mesure que les criminels deviennent plus à l'aise avec les outils de deepfake, et que ces outils deviennent de mieux en mieux, il est possible qu'un marché du deepfakes-for-hire puisse émerger. Tout comme les méchants peuvent passer du temps sur des réseaux de zombies à des fins néfastes, des sociétés criminelles vouées à créer des deepfakes à contrat peuvent apparaître.

Heureusement, un incitatif monétaire pour les méchants en crée un pour les bons. L'essor des ransomwares a conduit à un meilleur antimalware pour détecter le chiffrement malveillant et l'empêcher de s'emparer des systèmes. Des travaux sont déjà en cours pour détecter les "deepfakes" et, espérons-le, ces efforts ne seront surchargés que par l'arrivée de l'hameçonnage "deepfake". C'est peu réconfortant pour les gens qui ont déjà été arnaqués, mais c'est une bonne nouvelle pour le reste d'entre nous.