Phát hiện Deepfake: Phishing 3.0 là gì và bạn có thể chuẩn bị như thế nào?

Đầu năm nay, chúng tôi đã cảnh báo rằng niềm tin đang lung lay trong hộp thư đến. Kể từ đó, hộp thư đến của bạn đã học được một thủ thuật mới: diễn xuất. GenAI không chỉ viết ra sự quyến rũ; nó sản xuất người gửi. Chỉ với vài giây âm thanh hoặc một số hình ảnh, kẻ tấn công có thể sao chép giọng nói và khuôn mặt quen thuộc rồi đưa chúng vào các quy trình làm việc hàng ngày: chuỗi email, lời mời trên lịch, thư thoại, ghi chú trò chuyện nhanh. Nó trông có vẻ bình thường vì nó đến từ các công cụ bạn đã tin tưởng. Mục tiêu cũng giống như BEC cổ điển: chuyển tiền, đánh cắp quyền truy cập, lọc dữ liệu. Sự khác biệt là mức độ bằng chứng xã hội.

Điều gì đang thúc đẩy sự thay đổi

GenAI đã giảm chi phí và kỹ năng cần thiết để lừa đảo. Các mẫu âm thanh hoặc video ngắn là đủ để sao chép một giám đốc điều hành, một khách hàng hoặc một quan chức. Nội dung nghe có vẻ trôi chảy bằng bất kỳ ngôn ngữ nào. Thời gian và giọng điệu có thể được điều chỉnh để phù hợp với một sự kiện lịch hoặc thời điểm kết thúc quý. Kết quả là một cuộc tấn công tổng hợp trông và có cảm giác như hoạt động kinh doanh bình thường cho đến khi một khoản thanh toán được gửi hoặc một đặc quyền được cấp.

Tìm hiểu về Deepfake

Deepfake là gì. Deepfake là hình ảnh, giọng nói hoặc video bị thao túng bởi AI để mạo danh một người thật hoặc tạo ra một người tổng hợp. Những ví dụ tốt nhất rất khó phân biệt với phương tiện truyền thông đích thực.

Các phương pháp tạo Deepfake phổ biến

• Morphing khuôn mặt một phần: Pha trộn hoặc thay đổi các bộ phận của một khuôn mặt với một khuôn mặt khác. Thường được sử dụng trong gian lận ảnh ID để vượt qua kiểm tra độ giống nhau nhanh chóng.
• Khuôn mặt do AI tạo hoàn toàn: Toàn bộ khuôn mặt tổng hợp do các mô hình tạo sinh hiện đại tạo ra. Hữu ích để tạo ra những danh tính thuyết phục nhưng không tồn tại.
• Hoán đổi khuôn mặt: Thay thế khuôn mặt này bằng khuôn mặt khác trong hình ảnh hoặc video, ánh xạ khuôn mặt “người hiến tặng” lên một người mạo danh.
• Diễn lại khuôn mặt hoặc đồng bộ hóa môi: Thay đổi biểu cảm hoặc chuyển động của miệng để một đối tượng dường như nói điều gì đó mới hoặc làm cho một bức ảnh tĩnh “nói”.

Tại sao số lượng lại tăng? Các ứng dụng thân thiện với người dùng và các công cụ đăng ký giúp việc hoán đổi khuôn mặt và tạo hình đại diện chỉ bằng một vài cú nhấp chuột. Giờ đây, chúng ta thấy mọi thứ, từ công việc Photoshop thô sơ đến phương tiện truyền thông cực kỳ thực tế với một vài đồ tạo tác có thể nhìn thấy.

Cách chúng xâm nhập vào hệ thống

• Các cuộc tấn công trình bày: Một hình ảnh giả mạo được hiển thị cho máy ảnh như một người thật, chẳng hạn như một video được phát lại trên màn hình có độ phân giải cao. Các hệ thống sinh trắc học khuôn mặt mạnh mẽ sử dụng Phát hiện tấn công trình bày để phát hiện các dấu hiệu của việc phát lại hoặc hình ảnh phẳng.
• Các cuộc tấn công tiêm nhiễm: Phương tiện truyền thông bị thao túng được đưa trực tiếp vào các đường ống chụp hoặc mạng, bỏ qua máy ảnh và các bước ghi bình thường.

Ai đang bị tấn công ngay bây giờ?

• Chính phủ. Việc mạo danh các quan chức cấp cao và các cơ quan đang được sử dụng để thúc đẩy số lượt nhấp, thu thập thông tin đăng nhập và đẩy phần mềm độc hại. Chúng thường đến dưới dạng các cuộc gọi khẩn cấp, thư thoại hoặc tin nhắn đề cập đến các chương trình hoặc sự kiện thực tế.
• Các tổ chức tài chính, bao gồm cả trung tâm cuộc gọi. BEC cổ điển đã phát triển thành gian lận hỗ trợ deepfake trên các cuộc gọi trực tiếp và trong các công cụ cộng tác. Các trung tâm cuộc gọi xứng đáng được quan tâm đặc biệt. Bản sao giọng nói đang gây áp lực buộc các tổng đài viên phải bỏ qua các kiểm tra dựa trên kiến thức, đặt lại tài khoản hoặc thay đổi chi tiết người thụ hưởng.
• Nền tảng xã hội và mạng truyền thông. Video deepfake và phát trực tiếp đang quảng bá các ưu đãi giả mạo và lừa đảo đầu tư bằng cách sử dụng hình ảnh của những nhân vật nổi tiếng. Những clip này gieo niềm tin sau này bị khai thác bằng email hoặc tin nhắn trực tiếp.
• Các công ty quản lý PR và người nổi tiếng. Các chứng thực trái phép, tuyên bố bịa đặt và clip bị chú thích sai đang gây ra các cuộc khủng hoảng uy tín và ứng phó sự cố. Tốc độ khuếch đại trên mạng xã hội biến một tuyên bố sai sự thật thành một tiêu đề trước khi các nhóm có thể xác minh.

Cách các cuộc tấn công Deepfake hiển thị trong tổ chức của bạn

• Âm thanh hoặc video được gửi qua email. Email trông có vẻ bình thường. Tệp đính kèm hoặc liên kết phát “bản cập nhật của CEO”, “thông báo của hội đồng quản trị” hoặc “thư thoại của khách hàng” yêu cầu hành động.
• Vishing thời gian thực với người nói được nhân bản. Kẻ tấn công gọi đến bộ phận trợ giúp hoặc người quản lý quan hệ bằng giọng của một giám đốc điều hành hoặc khách hàng VIP. Kịch bản chặt chẽ và khẩn cấp.
• Ghi chú thoại bên trong các công cụ cộng tác. Một chuỗi trò chuyện bắt đầu trong email, sau đó chuyển sang tin nhắn thoại nhanh trong Teams, Google Chat, Zoom hoặc Slack. Đường dẫn leo thang là điểm mấu chốt.
• Mời họp với người tham gia tổng hợp. Việc giữ chỗ trên lịch có vẻ hợp pháp. Trong cuộc họp, một giọng nói hoặc khuôn mặt thực tế yêu cầu chuyển khoản, đặt lại MFA hoặc chia sẻ tệp.
• Kết hợp giữa xã hội và email. Một video deepfake chạy như một quảng cáo hoặc lan truyền. Email hoặc DM tiếp theo tham khảo nội dung đó để tăng thêm độ tin cậy và đẩy mục tiêu vượt qua ranh giới.

5 Đề xuất hàng đầu cho Chính phủ, Truyền thông và Tổ chức Tài chính

1. Giả định giọng nói và video có thể nói dối
   Thông qua đường cơ sở “không phê duyệt bằng giọng nói”. Xác minh mọi yêu cầu về tiền, thông tin đăng nhập hoặc quyền truy cập bằng một kênh đã biết. Sử dụng mật khẩu dùng chung cho các tình huống rủi ro cao. Cấm các thay đổi khẩn cấp qua ghi chú thoại hoặc trò chuyện trong cuộc họp.
2. Khóa các thay đổi về tiền và đặc quyền
   Mã hóa ủy quyền kép và gọi lại bắt buộc đối với người nhận thanh toán mới, chỉnh sửa chi tiết ngân hàng, chuyển khoản trên một ngưỡng, quyền truy cập khẩn cấp và thay đổi chủ nhà cung cấp. Yêu cầu xác minh tăng cường cho các giao dịch lần đầu hoặc khác thường.
3. Thêm kiểm tra danh tính thực vào giao tiếp trực tiếp
   Đối với các đánh giá tài chính, công việc CNTT đặc quyền và các cuộc gọi hoạt động khẩn cấp, hãy yêu cầu một trong những điều sau: MFA khi tham gia, mã PIN một lần được chia sẻ qua một hệ thống riêng biệt hoặc sinh trắc học đã kiểm tra độ sống động nếu khả thi. Mặc định là “tạm dừng và xác minh” đối với bất kỳ yêu cầu cấp bách nào.
4. Làm cứng lớp người trên các kênh
   Viết chính sách rằng chỉ email hoặc giọng nói không thể chuyển tiền hoặc thay đổi quyền truy cập. Đào tạo đến các điểm quyết định như gọi lại và làm chậm, không phải thủ thuật. Thực thi đặc quyền tối thiểu và thắt chặt các biện pháp kiểm soát đối với các nhóm di chuyển tiền hoặc cấp quyền, bao gồm cả trung tâm cuộc gọi.
5. Biến gian lận hỗ trợ AI thành một số liệu của hội đồng quản trị và thực hành nó
   Theo dõi thời gian xác minh, phần trăm các luồng rủi ro cao được kiểm soát bởi các kiểm tra tăng cường, tỷ lệ gọi lại thanh toán lần đầu và tỷ lệ báo cáo của nhân viên. Chạy một bảng hàng quý. Một kịch bản thực tế là “ghi chú thoại của giám đốc điều hành cộng với chuyển khoản khẩn cấp”. Ưu tiên các kiểm tra nâng cao cho các nhân vật có rủi ro cao như giám đốc điều hành, kho bạc, mua sắm, nhân viên bầu cử hoặc tài trợ và khách hàng VIP.

Giải pháp Deepfake của IRONSCALES

Deepfake biến danh tính thành một bề mặt tấn công. Chúng tôi đã xây dựng biện pháp bảo vệ coi danh tính là một tín hiệu hạng nhất và đáp ứng mọi người ở nơi họ làm việc.

• Phát hiện deepfake trực tiếp cho âm thanh và video. Phân tích thời gian thực phát hiện giọng nói và khuôn mặt tổng hợp và xác minh người đứng sau tương tác.
• Phân tích tạo tác, sinh trắc học và hành vi. Nhiều phương pháp phát hiện tìm kiếm các tạo tác tổng hợp, xác thực độ sống động và so sánh tông giọng và thời gian với các mẫu đã biết.
• Bảo vệ cấp hộp thư đến mà không cần thay đổi MX. Kết nối với Microsoft 365 hoặc Google Workspace bằng API. Bảo vệ nơi các cuộc tấn công bắt đầu.
• Thiết lập nhanh chóng với khả năng khắc phục tự động. Nhóm và loại bỏ các cuộc tấn công tương tự trên các hộp thư trong vài giây. Giải phóng các nhà phân tích khỏi việc dọn dẹp lặp đi lặp lại.
• AI cộng với thông tin chi tiết của con người. Các mô hình thích ứng học hỏi từ mọi hộp thư và từ phản hồi của SOC. Một cộng đồng quản trị viên toàn cầu giúp khám phá các thủ thuật hoàn toàn mới nhanh hơn.
• Một nền tảng cho toàn bộ phản hồi. Báo cáo, biểu ngữ, mô phỏng và khắc phục sự cố sống trong cùng một quy trình làm việc. Các nhà phân tích của bạn không cần phải xoay vòng các công cụ để chuyển từ phát hiện sang huấn luyện sang dọn dẹp.

Điều này có ý nghĩa gì đối với người dùng cuối của bạn?

• Các yêu cầu xác định danh tính trong email, cuộc họp và giọng nói được xác minh, không được giả định.
• Nhân viên nhận được hướng dẫn rõ ràng vào thời điểm đó, vì vậy họ hành động một cách tự tin.
• Các nhà phân tích thấy ít vé ồn ào hơn và nhiều tín hiệu có giá trị cao hơn.
• Việc triển khai được đo bằng phút, không phải quý.

Sẵn sàng kiểm tra nó trên hộp thư của bạn?

Chúng tôi đang trong quá trình triển khai điều này cho các đối tác và khách hàng được chọn. Nếu bạn quan tâm đến việc dùng thử giải pháp Bảo vệ Deepfake của chúng tôi, hãy liên hệ với nhóm của chúng tôi. Trải nghiệm khả năng khắc phục tự động giúp giảm thời gian thực hành trong khi kiểm tra danh tính ngăn chặn hành vi mạo danh tổng hợp trước khi nó biến thành thua lỗ.

Bạn muốn tìm hiểu thêm? Truy cập Trung tâm học tập Deepfake của chúng tôi để tự trang bị kiến thức về vectơ tấn công ngày càng tăng này.

Giải thích thuật ngữ:

• Deepfake: Là các video, hình ảnh hoặc âm thanh đã bị chỉnh sửa bằng trí tuệ nhân tạo (AI) để tạo ra một hình ảnh hoặc âm thanh giả mạo rất khó để phân biệt với thật.

• Phishing: Là một hình thức tấn công mạng, trong đó kẻ tấn công cố gắng lừa người dùng cung cấp thông tin cá nhân, chẳng hạn như tên người dùng, mật khẩu và số thẻ tín dụng.

• GenAI: Là một loại trí tuệ nhân tạo có thể tạo ra nội dung mới, chẳng hạn như văn bản, hình ảnh và video.

• BEC (Business Email Compromise): Là một loại tấn công lừa đảo, trong đó kẻ tấn công mạo danh một người có thẩm quyền trong một tổ chức để lừa nhân viên chuyển tiền hoặc cung cấp thông tin nhạy cảm.

• Presentation Attack Detection: Là một công nghệ được sử dụng để phát hiện các cuộc tấn công trình bày, trong đó kẻ tấn công cố gắng sử dụng một hình ảnh hoặc video giả mạo để mạo danh một người thật.

• Injection Attacks: Là một loại tấn công mạng, trong đó kẻ tấn công chèn mã độc vào một hệ thống để kiểm soát hệ thống đó.

• Vishing: Là một hình thức tấn công lừa đảo, trong đó kẻ tấn công sử dụng điện thoại để lừa người dùng cung cấp thông tin cá nhân.

• MFA (Multi-Factor Authentication): Là một phương pháp xác thực yêu cầu người dùng cung cấp nhiều hơn một yếu tố để xác minh danh tính của họ.

• SOC (Security Operations Center): Là một trung tâm điều hành an ninh mạng, nơi các chuyên gia bảo mật giám sát và ứng phó với các sự cố an ninh mạng.