Formazione sulla consapevolezza dei deepfake: una guida rapida

I deepfakes stanno diventando sempre più un enorme rischio informatico per le organizzazioni. Tutti abbiamo visto video come quello qui sotto, in cui personaggi famosi vengono mostrati mentre dicono le cose più stravaganti. Spesso è facile capire che si tratta di un falso, il che lo rende in qualche modo divertente. Ma con il passare delle settimane e dei mesi, i modelli di intelligenza artificiale che creano questi video diventano sempre più bravi a ingannarci.

In questo articolo spiegheremo cosa sono i deepfake, perché rappresentano un rischio così serio per le aziende e come potete preparare i vostri dipendenti con una formazione sulla consapevolezza dei deepfake.

Partiamo dall'inizio.

Cosa sono i deepfake e perché sono pericolosi?

I deepfakes sono media sintetici (video o audio) generati o manipolati utilizzando l'intelligenza artificiale per far sembrare che le persone dicano o facciano cose che in realtà non hanno mai detto o fatto. I volti possono essere scambiati e le voci possono essere clonate per sembrare inquietantemente convincenti. Un deepfake può convincere gli altri che una persona ha detto o fatto cose che non ha mai fatto. Come mangiare spaghetti in spiaggia.

Nel corso degli anni, tutti abbiamo imparato a non fidarci sempre di ciò che leggiamo. Tuttavia, le persone non hanno ancora imparato a diffidare di tutto ciò che vedono e sentono. Questo aspetto viene attualmente sfruttato dai criminali informatici. Che si tratti di un falso video di un amministratore delegato che fa una dichiarazione controversa o di una voce clonata che richiede urgentemente informazioni sensibili, i deepfakes possono causare danni reali.

I rischi principali dei deepfake per le organizzazioni

I deepfakes creano minacce a più livelli per le aziende. I rischi principali includono:

Frodi e perdite finanziarie del CEO

Una delle principali minacce è la frode del CEO alimentata da deepfake. I criminali utilizzano una voce o un video clonato di un dirigente senior per indurre i dipendenti a trasferire denaro. Questi attacchi si stanno già verificando. Per esempio:

• Nel 2019, un'azienda energetica britannica ha perso 243.000 dollari in seguito a una finta chiamata vocale da parte di un "CEO".
• Nel 2020, i truffatori hanno utilizzato la tecnologia deepfake voice per rubare 35 milioni di dollari.
• Nel 2024, un'azienda ingegneristica britannica ha perso oltre 20 milioni di sterline dopo che una falsa videochiamata ha impersonato un dirigente di alto livello.

I dipendenti tendono naturalmente a obbedire alle richieste urgenti dei dirigenti, soprattutto sotto pressione. I falsi profondi sfruttano questo istinto, aggirando le consuete procedure di verifica.

Danni alla reputazione e disinformazione

I deepfake possono anche essere usati come arma per distruggere la reputazione. Immaginate un video falso del vostro amministratore delegato che fa commenti razzisti o una prova falsa che il vostro prodotto non è sicuro, che diventa virale online. Anche se successivamente smentito, il danno alla fiducia e alla percezione pubblica può essere irreversibile.

L'Europol avverte che i deepfake potrebbero essere utilizzati per diffondere informazioni false sulle aziende, creando panico tra gli azionisti, boicottaggi dei clienti o persino indagini normative.

phishing mirato e ingegneria sociale

I deepfakes portano il social engineering a un livello completamente nuovo. Invece di un'e-mail sospetta, immaginate di ricevere una videochiamata convincente dal vostro "reparto IT" che vi chiede di accedere a una pagina phishing . Oppure un messaggio vocale del "direttore finanziario" che richiede informazioni riservate e urgenti.

• Il vishing ( phishing vocale) e il video phishing sono minacce in aumento.
• Agli aggressori basta una breve clip audio (ad esempio, dai social media) per clonare la voce di una persona in modo convincente.

I deepfake creano autenticità emotiva, rendendo più difficile per i dipendenti individuare le frodi basandosi solo sull'istinto.

Nella vita privata, molte persone sono già state prese di mira da deepfakes dei loro figli o genitori. Se la voce inconfondibile di vostro figlio vi dice che è in pericolo e ha bisogno di denaro, siete abbastanza calmi e consapevoli da ricontrollare la sua identità?

Perché la security awareness tradizionale non è più sufficiente

La maggior parte delle aziende offre una formazione annuale di security awareness , che copre il phishing, l'igiene delle password e l'igiene informatica di base. Ma questo non è più sufficiente contro i deepfakes:

• I deepfake sono una nuova minaccia in rapida evoluzione. I dipendenti devono imparare a mettere in dubbio anche le fonti attendibili, come video e telefonate.
• La maggior parte dei programmi di formazione tradizionali non menziona nemmeno i deepfakes.
• Le ricerche dimostrano che, anche dopo essere stati avvertiti dei deepfakes, le persone non sono in grado di individuarli.
• La formazione tradizionale sulla sicurezza è statica, mentre le tecniche di deepfake si evolvono mensilmente.
• Gli incidenti relativi ai deepfake richiedono nuove risposte procedurali, come la verifica delle chiamate sospette tramite canali alternativi e la disponibilità di meccanismi di segnalazione chiari.

Senza una formazione specifica sulla consapevolezza dei deepfake, i dipendenti possono cadere negli attacchi perché sottovalutano quanto possano essere convincenti i media sintetici.

Consigli pratici: preparare i dipendenti agli incidenti deepfake

Ecco come le organizzazioni possono iniziare a prepararsi oggi:

• Campagne di sensibilizzazione con esempi reali: Mostrate ai dipendenti esempi reali di deepfakes. Il confronto tra video veri e falsi aiuta a creare un sano scetticismo. La chiave è la ripetizione. Una formazione annuale viene dimenticata dopo poche settimane.
• Insegnare le abilità di rilevamento: Addestrare il personale a individuare le incongruenze più sottili (ad esempio, movimenti delle labbra non corrispondenti, illuminazione strana, voci monotone).
• Definire procedure di segnalazione chiare: I dipendenti devono sapere come verificare le richieste insolite e segnalare i sospetti senza temere di essere incolpati.
• Utilizzare strumenti tecnici: Esplorate i software in grado di rilevare i supporti sintetici o di implementare la verifica a due fattori per le richieste sensibili.

Come offrire un'efficace formazione di security awareness deepfake

Guardey aiuta le organizzazioni a costruire una resilienza informatica continua con una formazione di security awareness facile da usare e gamificata che include la consapevolezza dei deepfake:

• Gamification: i dipendenti guadagnano punti, badge e competono in classifiche amichevoli, rendendo l'apprendimento divertente e memorabile.
• Apprendimento continuo: Invece di una sessione annuale, Guardey offre microlearning settimanali o mensili, per aiutare i dipendenti a rimanere aggiornati sull'evoluzione delle minacce deepfake.
• Contenuti pertinenti: Guardey adatta gli scenari al settore di ciascun cliente, rendendo le lezioni altamente relazionabili.

Il modello continuo e gamificato di Guardey incoraggia i dipendenti a pensare in modo critico a ciò che vedono e sentono, creando abitudini durature di scetticismo.

→ Per saperne di più su Guardey durante una demo

Conclusione: agire ora per essere all'avanguardia

I deepfakes non sono più fantascienza. A destra e a sinistra, i criminali informatici tentano di ingannare i dipendenti per indurli a compiere azioni che possono danneggiare le finanze o la reputazione della vostra organizzazione. Investire in formazione ricorrente è l'unica opzione per preparare i vostri dipendenti.