Deepfake i scam – jak się bronić
Deepfake i scam – jak się bronić, czyli co możemy zrobić, by utrudnić życie cyberprzestępcom. Dokładniej rzecz biorąc, jakie środki zastosować, żeby nasza firma nie dała się nabrać na fikcyjny telefon, video rozmowę czy email ze scamem.
Deepfake i zagrożenia
Deepfake to zbitek dwóch wyrażeń. „Deep” od „Deep learning”, czyli „głębokie uczenie” (uczenie maszynowe AI) oraz „Fake” – „fałszywy”. W skrócie „po naszemu” – głębokie fałszerstwo. Pozostańmy jednak przy nazwie własnej, czyli Deepfake. Żeby się zbytnio nie rozwodzić i powtarzać tematu, odsyłam do tego artykułu.
Jakie zagrożenie „Deepfake” może stanowić dla firm? Może on np. spowodować poważne szkody wizerunkowe i finansowe. Dobrym przykładem niech będą tutaj reklamy wyświetlane w różnych social mediach. Zawierają one często wizerunek „rozpoznawalnych w świecie” ludzi, bez ich własnej wiedzy. Tutaj z kolei posłużę się artykułem o Stevie Wozniaku i reklamie kryptowalut.
Drugim istotnym elementem jest „scam„. Oszustwo to polega na podszywaniu się pod inne osoby bądź firmy, granie na emocjach i wyłudzanie potrzebnych danych do np.:
- Przejęcia konta w banku ofiary oszustwa;
- Przejęcia dostępu do danych wrażliwych zapisanych na serwerach firmy (dane osobowe, numery ubezpieczeń, telefony, dane medyczne itp);
- Przejęcia kontroli nad stronami bądź aplikacjami webowymi i zażądanie okupu;
- Klonowanie głosu bądź wizerunku ważnych osób w firmie, celem wymuszenia dostępu do innych informacji.
Występuje w wielu formach. Od rozmowy telefonicznej (fałszywy operator, administracja banku, wydział policji itp.), poprzez fałszywe emaile, a skończywszy na informacjach w social mediach. Ouch… Dużo tego. Jak się zatem przed tym bronić?
Podstawy obrony
Pozwólcie, że przytoczę tu tylko kilka podstawowych zasad (ogólnikowo), które powinny być zastosowane w każdej dziś działającej firmie. Oczywiście każdy administrator bezpieczeństwa ma ich znacznie więcej w zanadrzu, niemniej jednak zacznijmy od najprostszych.
- Uwierzytelnianie wieloskładnikowe (warstwowe mechanizmy kontroli uwierzytelniania) – Oczywiście wiem jak wielkim problemem jest w większych firmach przedzieranie się poprzez wieloskładnikowe formy uwierzytelnienia. Obsługujący komputery w sieci firmowej użytkownicy zawsze na to narzekają. Często gubią hasła i proszą o reset. Blokują komputery, wkurzają się na czas reakcji administratorów i ogólnie są wielce niezadowoleni. Co nie zmienia faktu, że owe zabezpieczenia poprawiają znacznie bezpieczeństwo firmy;
- Cykliczne sprawdzanie sieci i jej elementów składowych w postaci urządzeń końcowych oraz aktualizacji ich sterowników – Często i gęsto osoby odpowiedzialne za bezpieczeństwo teleinformatyczne zapominają o urządzeniach końcowych. Wszelkiego rodzaju switche, routery itp. mają też swoje własne sterowniki. Nieaktualizowane, mogą stanowić furtkę do ataku. Wystarczy, że cyberprzestępca dowie się poprzez scam, na czym pracuje firma. Poza tym w przypadku monitoringu sieci i np. stwierdzonego skokowego wzrostu przesyłu danych, administrator może zareagować odcięciem dostępu i zatrzymaniem możliwego wycieku informacji. Warto przy tym punkcie pomyśleć o „planie awaryjnym” jaki musi być zastosowany w przypadku stwierdzenia ataku;
- Natychmiastowe reagowanie na fałszywe treści w internecie – Niestety firmy muszą teraz monitorować to co się dzieje w sieci. Im większy mają zasięg, tym częściej padają ofiarą fałszywych reklam ich dotyczących. Jedyną formą obrony jest kontakt z administracją danego medium i usuwanie tych treści. Przy braku reakcji – postępowanie sądowe.
- Szkolenie użytkowników – Użytkownicy (użyszkodnicy 😉 są (niestety) najsłabszym ogniwem w zabezpieczeniach firmy. Charakteryzują się marną odpornością na ataki scamu i phishingu. Jak każdy człowiek ulegają emocjom i są łatwi do zmanipulowania przez zatwardziałych cyberprzestępców, działających bez żadnych skrupułów. Dlatego tak ważne jest cykliczne ich szkolenie w temacie odporności i wykrywania oraz rozpoznawania prób wyłudzenia informacji. Tutaj kładę zdecydowany nacisk na „cykliczność” i powtarzalność tego procesu. Jest on konieczny ze względu na proces pamięciowy użytkownika oraz częste zmiany kierunku i formy ataku cyberprzestępców (np. Deepfake i klonowanie wizerunku oraz głosu).
Tak przy okazji, wiecie że w 88% organizacji przetrenowanych w wykrywaniu i reagowaniu na oszustwa typu „Deepfake” w 2025 roku, poległo w 20-60% na symulacji ataku phishingowego? Tak, tak… Słabe ogniwo dało o sobie znać.
Podsumowanie
Przedstawione powyżej przykłady zagrożeń i formy obrony przed nimi, to tylko „czubek góry lodowej”. Nie staram się Was nastraszyć, ale dzisiejszy świat nie jest już taki jak dawniej. Wszystko ewoluuje i zmienia technologię oraz swoją formę, nawet przestępstwa.
Czy można inaczej podejść do tego tematu? Nie da się np. powiedzieć osobie dzwoniącej z banku, że „oddzwonimy na numer infolinii podany w samym banku”? Może uda się potwierdzić bądź zaprzeczyć intencjom piszącego do nas na maila przedstawiciela innej firmy poprzez dodatkową formę autoryzacji? Czy da się zadzwonić pod „dodatkowy numer” by potwierdzić, że rozmowa video faktycznie pochodziła od naszego szefa?
Owszem, są to już jakieś zabezpieczenia. Problem w tym, by ich używać i o nich nie zapominać, czego Wam i sobie życzę, a póki co…
Do następnego!
