Тысячеликий злодей: большинство российских компаний не готовы к дипфейк-атакам

Об этом рассказал исполнительный директор MTS AI ПАО "МТС" Дмитрий Марков 4 декабря во время дискуссии "Лучшие практики и риски эпохи экономики данных и искусственного интеллекта" на площадке Форума инновационных центров 2024. По его словам, более 70% российских компаний, использующих системы видео-конференц-связи для обслуживания клиентов, не готовы к атакам с использованием дипфейков.

"Разница между лайкнесс-атакой и дипфейк-атакой заключается в том, что при первой злоумышленник, показывая фотографию лица человека ИИ-банкомату или надевая 3D-маску, атакует камеру, а используя дипфейк, он атакует систему. Он создает виртуальную камеру внутри какого-то устройства, и оно атакует саму систему", - сказал он.

Дмитрий Марков отметил, что технология дипфейка стала частью киноиндустрии и рекламы. По его словам, в создание этой технологии инвестируются огромные деньги, в отличие от защиты от нее. Это приводит к тому, что у злоумышленников появляется преимущество.

"В Индии кандидаты на выборах показывали избирателям ролики, в которых их поддерживали знаменитые актеры и ученые, созданные при помощи дипфейков. Я считаю, что в наше время обилия медийных каналов, которые соревнуются за просмотры, новостям нужна проверка на дипфейк для сохранения их релевантности. Всем видеосервисам нужна маркировка контента с дипфейком", - заявил он.

Дмитрий Марков рассказал корреспонденту ComNews, что злоумышленники используют технологию для замены лиц, когда лицо одного человека вставляется вместо другого в видеофайле. Чаще всего такой прием используют в видеозвонках или "кружочках" в мессенджерах. Другой способ - перенос мимики, когда под движение губ человека из оригинального видеоролика подставляется другой голос, таким образом создавая иллюзию, что он говорит что-то другое. Наконец третий способ - создание несуществующих лиц, которые используются для анонимного мошенничества или дезинформации.

"Представьте себе банк, который обслуживает клиентов по видео. Создается дипфейк с лицом человека - клиента банка. Производится операция по замене телефонного номера, привязанного к карте. После этого берется кредит с подтверждением по SMS", - сказал Дмитрий Марков.

"Из развивающихся и набирающих популярность способов мошенничества действительно можно выделить дипфейки, то есть генерацию визуала и голоса. Сейчас возможны различные форматы их использования, чаще всего это сценарии, когда к потенциальной жертве обращается начальник или руководитель компании-работодателя с просьбой переслать деньги или документы. Создается ли новая технология, появляется ли площадка, обязательно в уязвимых местах будут орудовать те, кто хочет легкой наживы", - отметил директор регионального инжинирингового центра SafeNet ("Сейфнет") Национальной технологической инициативы (НТИ) Денис Кувиков.

Менеджер по развитию ООО "Юзергейт" (UserGate) Александр Луганский отметил, что дипфейк - технологически более продвинутый инструмент для того, чтобы втереться в доверие и убедить жертву что-то сделать. Продвинутые технологии способны неплохо имитировать как голос, так и изображение человека, которому жертва доверяет.

"Основные сценарии не изменились: злоумышленники используют страх и давят на эмоции, не давая жертве времени осмыслить ситуацию. В корпоративном секторе, пожалуй, самым распространенным сценарием является использование образа руководителя, который просит подчиненного совершить то или иное действие: совершить платеж, предоставить доступ или конфиденциальную информацию", - рассказал он.

По словам руководителя R&D-лаборатории центра технологий кибербезопасности группы компаний "Солар" Максима Бузинова, жертвами дипфейк-атаки могут стать любые компании, потому что точкой входа являются сотрудники. Целью атаки могут стать топ-менеджеры, финансовые, коммерческие и HR-директора и сотрудники этих подразделений из-за их доступа к конфиденциальной информации.

"Такие дипфейки в 2024 г. уже поставлены на поток, так как преступники усовершенствовали технологии создания фейков, используя базы голосов, записи войсов и сторис, которыми люди делятся в мессенджерах. Мошенники более тщательно прорабатывают "жертву", выясняют детали, которые могут вызвать доверие, тщательно прорабатывают качество дипфейка, чтобы склонить в ходе звонка или ВКС к нужным действиям - вывести деньги "доверенному" лицу на специальный счет или в иностранную юрисдикцию", - рассказал Максим Бузинов.

Заместитель директора Центра компетенций НТИ "Технологии доверенного взаимодействия" на базе ТУСУР Руслан Пермяков обратил внимание, что для синтеза речи нужно около пары минут записи разговора. Если же потенциальная жертва ограничит разговор с мошенниками фразой "не звоните мне больше" или если ответов будет немного, то подделать речь не удастся.

"Недобросовестные сотрудники фирм также могут продавать мошенникам голоса. Это касается всех звонков от компаний, где звучит фраза "ваш разговор может быть записан". Но здесь надо понимать, что для успешного использования такой записи, надо иметь номера тех людей, которые могут среагировать на этот голос, поэтому пока с такими утечками проблем немного", - отметил он.

Чтобы защититься от дипфейк-угроз и фишинга, по словам директора ООО "Айдеко Софтвер" (Ideco) Дмитрия Хомутова, компаниям нельзя пренебрегать обучением сотрудников кибербезопасности. Он рассказал, что занятия с реальной симуляцией фишинговых атак, чтобы сотрудники могли на практике применить знания и навыки, - один из лучших способов обеспечить конфиденциальность данных, при условии их регулярности.

"Компаниям важно защищать внутреннюю сеть от внешних фишинговых атак. Для этого необходимо подключить NGFW, который сканирует сетевой трафик в режиме реального времени и анализирует поведение приложений, URL-адресов и других данных на наличие подозрительной активности. Межсетевые экраны позволяют выявлять фишинговые атаки на ранних стадиях, немедленно блокируя их проникновение в сеть", - отметил он.

"Компании, которые всерьез задумываются о безопасности, просто обязаны проводить тренинги для сотрудников. В идеале - время от времени устраивать киберучения, в которых среди прочих будут присутствовать вопросы, связанные с мошенничеством. Это не только снижает риски для компании, но и повышает лояльность сотрудников, которые получают универсальные знания и навыки защиты от мошенников, которые вполне применимы и за пределами работы. При этом стоимость таких мероприятий, как правило, несопоставима с потерями, которые ждут компанию в случае, если атака против нее окажется успешной", - заключил Александр Луганский.