Deepfake awareness training: een snelle gids

Deepfakes worden steeds vaker een groot cyberrisico voor organisaties. We hebben allemaal video's gezien zoals die hieronder, waarin beroemde mensen de meest bizarre dingen zeggen. Vaak kon je makkelijk zien dat het nep was, wat het enigszins grappig maakte. Maar naarmate de weken en maanden verstrijken, worden de AI-modellen die deze video's maken steeds beter in het misleiden van ons.

In dit artikel leggen we uit wat deepfakes zijn, waarom ze zo'n ernstig risico vormen voor bedrijven, en hoe je je medewerkers kunt voorbereiden door middel van deepfake awareness training.

Laten we beginnen bij het begin.

Wat zijn deepfakes en waarom zijn ze gevaarlijk?

Deepfakes zijn synthetische media (video of audio) die zijn gegenereerd of gemanipuleerd met behulp van kunstmatige intelligentie om mensen dingen te laten zeggen of doen die ze nooit echt hebben gezegd of gedaan. Gezichten kunnen worden verwisseld en stemmen kunnen worden gekloond om griezelig overtuigend te klinken. Een deepfake kan anderen ervan overtuigen dat een persoon dingen heeft gezegd of gedaan die ze nooit hebben gedaan. Zoals spaghetti eten op het strand.

Door de jaren heen hebben we allemaal geleerd om niet altijd te vertrouwen wat we lezen. Mensen hebben echter nog niet geleerd om alles wat ze zien en horen te wantrouwen. Dit wordt momenteel uitgebuit door cybercriminelen. Of het nu een nepvideo is van een CEO die een controversiële verklaring aflegt, of een gekloonde stem die dringend om gevoelige informatie vraagt, deepfakes kunnen reële schade veroorzaken.

Belangrijkste risico's van deepfakes voor organisaties

Deepfakes creëren meerlaagse bedreigingen voor bedrijven. De belangrijkste risico's zijn onder andere:

CEO fraud en financieel verlies

Een grote bedreiging is deepfake-gestuurde CEO fraud. Criminelen gebruiken een gekloonde stem of video van een senior executive om medewerkers te misleiden geld over te maken. Deze aanvallen vinden al plaats. Bijvoorbeeld:

• In 2019 verloor een Brits energiebedrijf $243.000 na een deepfake-stemoproep van een “CEO”.
• In 2020 gebruikten fraudeurs deepfake-stemtechnologie om $35 miljoen te stelen.
• In 2024 verloor een Brits ingenieursbureau meer dan £20 miljoen na een nep-videogesprek waarin een hooggeplaatste executive werd geïmiteerd.

Medewerkers zijn van nature geneigd om dringende verzoeken van het management op te volgen, vooral onder druk. Deepfakes buiten dit instinct uit, waarbij gebruikelijke verificatieprocedures worden omzeild.

Reputatieschade en desinformatie

Deepfakes kunnen ook worden ingezet om reputaties te vernietigen. Stel je een nepvideo voor van je CEO die racistische opmerkingen maakt—of nepbewijs dat je product onveilig is—die online viraal gaat. Zelfs als het later wordt weerlegd, kan de schade aan vertrouwen en publieke perceptie onomkeerbaar zijn.

Europol waarschuwt dat deepfakes kunnen worden gebruikt om valse informatie over bedrijven te verspreiden, wat paniek onder aandeelhouders, klantenboycots of zelfs regelgevende onderzoeken kan veroorzaken.

Gerichte phishing en social engineering

Deepfakes tillen social engineering naar een heel nieuw niveau. In plaats van een verdachte e-mail, stel je voor dat je een overtuigend videogesprek ontvangt van je “IT-afdeling” waarin je wordt gevraagd in te loggen op een phishing-pagina. Of een spraakbericht van je “CFO” waarin dringend om vertrouwelijke informatie wordt gevraagd.

• Vishing (voice phishing) en video phishing zijn toenemende bedreigingen.
• Aanvallers hebben slechts een korte audioclip nodig (bijv. van social media) om de stem van een persoon overtuigend te klonen.

Deepfakes creëren emotionele authenticiteit, waardoor het voor medewerkers moeilijker wordt om fraude te detecteren alleen op basis van instinct.

In het privéleven zijn veel mensen al het doelwit geweest van deepfakes van hun kinderen of ouders. Als de onmiskenbare stem van je zoon je vertelt dat hij in gevaar is en nu geld nodig heeft, ben je dan kalm en alert genoeg om zijn identiteit te dubbelchecken?

Waarom traditionele security awareness niet langer voldoende is

De meeste bedrijven bieden jaarlijkse Security Awareness Training aan, die phishing, wachtwoordhygiëne en basis cyberhygiëne omvat. Maar dat is niet langer voldoende tegen deepfakes:

• Deepfakes zijn een nieuwe, snel evoluerende dreiging. Werknemers moeten leren om zelfs vertrouwde bronnen, zoals video's en telefoongesprekken, in twijfel te trekken.
• De meeste traditionele training programma's vermelden deepfakes niet eens.
• Onderzoek toont aan dat mensen, zelfs na te zijn gewaarschuwd voor deepfakes, moeite hebben om ze te detecteren.
• Traditionele security training is statisch, terwijl deepfake technieken maandelijks evolueren.
• Deepfake-incidenten vereisen nieuwe procedurele reacties, zoals het verifiëren van verdachte oproepen via alternatieve kanalen en duidelijke rapportagemechanismen.

Zonder specifieke deepfake awareness training kunnen medewerkers ten prooi vallen aan aanvallen omdat ze onderschatten hoe overtuigend synthetische media kunnen zijn.

Praktische tips: medewerkers voorbereiden op deepfake-incidenten

Zo kunnen organisaties vandaag nog beginnen met voorbereiden:

• Awareness campagnes met echte voorbeelden: Laat medewerkers praktijkvoorbeelden van deepfakes zien. Het vergelijken van echte versus nepvideo's helpt bij het opbouwen van een gezonde scepsis. De sleutel hier is herhaling. Een jaarlijkse training is na slechts enkele weken vergeten.
• Leer detectievaardigheden aan: Train personeel om subtiele inconsistenties te herkennen (bijv. niet-overeenkomende lipbewegingen, vreemde belichting, monotone stemmen).
• Definieer duidelijke meldingsprocedures: Werknemers moeten weten hoe ze ongebruikelijke verzoeken kunnen verifiëren en vermoedens kunnen melden zonder angst voor beschuldiging.
• Gebruik technische tools: Verken software die synthetische media kan detecteren of implementeer tweefactorauthenticatie voor gevoelige verzoeken.

Hoe je effectieve deepfake Security Awareness Training aanbiedt

Guardey helpt organisaties bij het opbouwen van continue cyberresilience met gebruiksvriendelijke, gamified Security Awareness Training die deepfake awareness omvat:

• Gamification: Werknemers verdienen punten, badges en strijden in vriendschappelijke leaderboards, waardoor leren leuk en memorabel wordt.
• Continu leren: In plaats van één jaarlijkse sessie biedt Guardey wekelijkse of maandelijkse microlearning, waardoor werknemers up-to-date blijven naarmate deepfake-dreigingen evolueren.
• Relevante content: Guardey stemt scenario's af op de sector van elke klant, waardoor de lessen zeer herkenbaar zijn.

Het continue, gamified model van Guardey moedigt werknemers aan om kritisch na te denken over wat ze zien en horen, en bouwt zo duurzame gewoonten van scepsis op.

→ Meer leren over Guardey tijdens een demo

Conclusie: handel nu om voorop te blijven

Deepfakes zijn geen sciencefiction meer. Overal proberen cybercriminelen medewerkers te misleiden om dingen te doen die de financiën of reputatie van je organisatie kunnen schaden. Investeren in terugkerende training is de enige optie om je medewerkers voor te bereiden.