Szkolenie uświadamiające Deepfake: krótki przewodnik

Fałszerstwa stają się coraz większym zagrożeniem cybernetycznym dla organizacji. Wszyscy widzieliśmy filmy takie jak ten poniżej, w których znani ludzie mówią najbardziej dziwaczne rzeczy. Często można było łatwo zauważyć, że jest to podróbka, co czyniło ją nieco zabawną. Ale w miarę upływu tygodni i miesięcy modele sztucznej inteligencji, które tworzą te filmy, stają się coraz lepsze w oszukiwaniu nas.

W tym artykule wyjaśnimy, czym są deepfake'i, dlaczego stanowią tak poważne zagrożenie dla firm i jak możesz przygotować swoich pracowników poprzez szkolenie w zakresie świadomości deepfake'ów.

Zacznijmy od początku.

Czym są deepfakes i dlaczego są niebezpieczne?

Deepfakes to syntetyczne media (wideo lub audio) generowane lub manipulowane przy użyciu sztucznej inteligencji, aby ludzie wydawali się mówić lub robić rzeczy, których w rzeczywistości nigdy nie powiedzieli ani nie zrobili. Twarze mogą być zamieniane, a głosy klonowane, aby brzmiały niesamowicie przekonująco. Deepfake może przekonać innych, że dana osoba powiedziała lub zrobiła rzeczy, których nigdy nie zrobiła. Na przykład jedzenie spaghetti na plaży.

Przez lata wszyscy nauczyliśmy się nie zawsze ufać temu, co czytamy. Jednak ludzie nie nauczyli się jeszcze nie ufać wszystkiemu, co widzą i słyszą. Jest to obecnie wykorzystywane przez cyberprzestępców. Niezależnie od tego, czy jest to fałszywy film przedstawiający dyrektora generalnego wygłaszającego kontrowersyjne oświadczenie, czy też sklonowany głos pilnie proszący o poufne informacje, deepfake może spowodować rzeczywiste szkody

Kluczowe zagrożenia związane z podróbkami dla organizacji

Deepfakes stwarzają wielowarstwowe zagrożenia dla firm. Główne zagrożenia obejmują:

Oszustwa CEO i straty finansowe

Jednym z głównych zagrożeń są oszustwa typu "deepfake CEO". Przestępcy wykorzystują sklonowany głos lub nagranie wideo kierownika wyższego szczebla, aby nakłonić pracowników do przelania pieniędzy. Takie ataki już się zdarzają. Na przykład:

• W 2019 r. brytyjska firma energetyczna straciła 243 000 USD po fałszywym połączeniu głosowym od "dyrektora generalnego".
• W 2020 r. oszuści wykorzystali technologię deepfake voice do kradzieży 35 milionów dolarów.
• W 2024 r. brytyjska firma inżynieryjna straciła ponad 20 milionów funtów po tym, jak fałszywe połączenie wideo podszyło się pod kierownika wysokiego szczebla.

Pracownicy mają naturalną tendencję do wykonywania pilnych próśb kierownictwa, zwłaszcza pod presją. Deepfakes wykorzystują ten instynkt, omijając zwykłe procedury weryfikacji.

Szkody wizerunkowe i dezinformacja

Deepfakes mogą być również wykorzystywane do niszczenia reputacji. Wyobraź sobie, że fałszywy film przedstawiający dyrektora generalnego wygłaszającego rasistowskie uwagi lub fałszywe dowody na to, że Twój produkt jest niebezpieczny, rozprzestrzeniają się w Internecie. Nawet jeśli zostanie to później obalone, uszczerbek na zaufaniu i percepcji publicznej może być nieodwracalny.

Europol ostrzega, że deepfakes mogą być wykorzystywane do rozpowszechniania fałszywych informacji o firmach, wywołując panikę wśród akcjonariuszy, bojkot klientów, a nawet dochodzenia regulacyjne.

Ukierunkowany phishing i inżynieria społeczna

Deepfakes przenoszą inżynierię społeczną na zupełnie nowy poziom. Zamiast podejrzanej wiadomości e-mail, wyobraź sobie, że otrzymujesz przekonującą rozmowę wideo od "działu IT" z prośbą o zalogowanie się na stronie phishing . Lub wiadomość głosową od twojego "dyrektora finansowego" z prośbą o pilne poufne informacje.

• Vishing ( phishing głosowy) i phishing wideo to rosnące zagrożenia.
• Atakujący potrzebują jedynie krótkiego klipu audio (np. z mediów społecznościowych), aby przekonująco sklonować głos danej osoby.

Deepfakes tworzą emocjonalną autentyczność, utrudniając pracownikom wykrywanie oszustw wyłącznie na podstawie instynktu.

W życiu prywatnym wiele osób padło już ofiarą deepfake'ów ze strony swoich dzieci lub rodziców. Jeśli twój syn mówi ci, że jest w niebezpieczeństwie i potrzebuje pieniędzy, czy jesteś wystarczająco spokojny i świadomy, aby dokładnie sprawdzić jego tożsamość?

Dlaczego tradycyjna security awareness już nie wystarcza

Większość firm oferuje coroczne szkolenia w security awareness , obejmujące phishing, higienę haseł i podstawową higienę cybernetyczną. Ale to już nie wystarcza w walce z deepfake'ami:

• Fałszerstwa to nowe, szybko ewoluujące zagrożenie. Pracownicy muszą nauczyć się kwestionować nawet zaufane źródła, takie jak filmy i rozmowy telefoniczne.
• Większość tradycyjnych programów szkoleniowych nawet nie wspomina o deepfake'ach.
• Badania pokazują, że nawet po otrzymaniu ostrzeżenia o deepfake'ach, ludzie są słabi w ich wykrywaniu.
• Tradycyjne szkolenia z zakresu bezpieczeństwa są statyczne, podczas gdy techniki deepfake ewoluują z miesiąca na miesiąc.
• Incydenty związane z deepfake wymagają nowych procedur reagowania, takich jak weryfikacja podejrzanych połączeń za pośrednictwem alternatywnych kanałów oraz wprowadzenie jasnych mechanizmów zgłaszania takich przypadków.

Bez specjalnego szkolenia w zakresie świadomości deepfake, pracownicy mogą dać się nabrać na ataki, ponieważ nie doceniają tego, jak przekonujące mogą być syntetyczne media.

Praktyczne wskazówki: przygotowanie pracowników na incydenty typu deepfake

Oto jak organizacje mogą rozpocząć przygotowania już dziś:

• Kampanie uświadamiające z prawdziwymi przykładami: Pokaż pracownikom rzeczywiste przykłady deepfake'ów. Porównywanie prawdziwych i fałszywych filmów pomaga budować zdrowy sceptycyzm. Kluczem jest tutaj powtarzalność. Roczne szkolenie jest zapominane po zaledwie kilku tygodniach.
• Naucz umiejętności wykrywania: Przeszkol personel w wykrywaniu subtelnych niespójności (np. niedopasowanych ruchów warg, dziwnego oświetlenia, monotonnych głosów).
• Zdefiniuj jasne procedury raportowania: Pracownicy powinni wiedzieć, w jaki sposób weryfikować nietypowe żądania i zgłaszać podejrzenia bez obawy, że zostaną obarczeni winą.
• Korzystaj z narzędzi technicznych: Zapoznaj się z oprogramowaniem, które może wykrywać nośniki syntetyczne lub wdrożyć weryfikację dwuskładnikową dla poufnych żądań.

Jak zaoferować skuteczne szkolenie w security awareness deepfake security awareness

Guardey pomaga organizacjom budować ciągłą odporność cybernetyczną dzięki przyjaznym dla użytkownika, gamifikowanym szkoleniom w security awareness , które obejmują świadomość deepfake:

• Grywalizacja: Pracownicy zdobywacie punkty, odznaki i rywalizujecie w przyjaznych rankingach, dzięki czemu nauka staje się przyjemnością i pozostaje w pamięci.
• Ciągła nauka: Zamiast jednej corocznej sesji, Guardey oferuje cotygodniowe lub comiesięczne mikroszkolenia, pomagając pracownikom być na bieżąco w miarę ewolucji zagrożeń deepfake.
• Istotna treść: Guardey dostosowuje scenariusze do sektora każdego klienta, dzięki czemu lekcje są bardzo przydatne.

Ciągły, gamifikowany model Guardey zachęca pracowników do krytycznego myślenia o tym, co widzą i słyszą, budując trwałe nawyki sceptycyzmu.

→ Dowiedz się więcej o Guardey podczas demonstracji

Wniosek: działaj teraz, aby pozostać na czele

Deepfakes to już nie science fiction. Na prawo i lewo cyberprzestępcy próbują nakłonić pracowników do zrobienia rzeczy, które mogą zaszkodzić finansom lub reputacji Twojej organizacji. Inwestowanie w cykliczne szkolenia jest jedyną opcją przygotowania Twoich pracowników.