Treinamento de conscientização sobre Deepfake: um guia rápido

Os deepfakes estão se tornando cada vez mais um grande risco cibernético para as organizações. Todos nós já vimos vídeos como o abaixo, em que pessoas famosas são mostradas dizendo as coisas mais estranhas. Muitas vezes, era possível ver facilmente que se tratava de uma falsificação, o que a tornava um tanto engraçada. Mas, com o passar das semanas e dos meses, os modelos de IA que criam esses vídeos ficam melhores em nos enganar.

Neste artigo, explicaremos o que são deepfakes, por que eles representam um risco tão sério para as empresas e como você pode preparar seus funcionários por meio de um treinamento de conscientização sobre deepfake.

Vamos começar do início.

O que são deepfakes e por que são perigosos?

Deepfakes são mídias sintéticas (vídeo ou áudio) geradas ou manipuladas usando inteligência artificial para fazer com que as pessoas pareçam dizer ou fazer coisas que nunca disseram ou fizeram de fato. Os rostos podem ser trocados e as vozes podem ser clonadas para soar assustadoramente convincentes. Um deepfake pode convencer os outros de que uma pessoa disse ou fez coisas que nunca fez. Como comer espaguete na praia.

Com o passar dos anos, todos nós aprendemos a nem sempre confiar no que lemos. Entretanto, as pessoas ainda não aprenderam a desconfiar de tudo o que veem e ouvem. Atualmente, isso está sendo explorado por criminosos cibernéticos. Seja um vídeo falso de um CEO fazendo uma declaração polêmica ou uma voz clonada solicitando informações confidenciais com urgência, os deepfakes podem causar danos no mundo real

Principais riscos das deepfakes para as organizações

As deepfakes criam ameaças em várias camadas para as empresas. Os principais riscos incluem:

Fraude e perda financeira do CEO

Uma das principais ameaças é a fraude de CEO com deepfake. Os criminosos usam uma voz ou um vídeo clonado de um executivo sênior para induzir os funcionários a transferir dinheiro. Esses ataques já estão ocorrendo. Por exemplo:

• Em 2019, uma empresa de energia do Reino Unido perdeu US$ 243.000 após uma chamada de voz deepfake de um "CEO".
• Em 2020, os fraudadores usaram a tecnologia de voz deepfake para roubar US$ 35 milhões.
• Em 2024, uma empresa de engenharia do Reino Unido perdeu mais de £ 20 milhões depois que uma chamada de vídeo falsa se fez passar por um executivo de alto nível.

Os funcionários tendem naturalmente a obedecer às solicitações urgentes da liderança, especialmente sob pressão. As falsificações profundas exploram esse instinto, contornando os procedimentos usuais de verificação.

Danos à reputação e desinformação

Os deepfakes também podem ser usados como arma para destruir reputações. Imagine um vídeo falso de seu CEO fazendo comentários racistas - ou uma prova falsa de que seu produto não é seguro - viralizando on-line. Mesmo que seja desmentido posteriormente, o dano à confiança e à percepção do público pode ser irreversível.

A Europol alerta que os deepfakes podem ser usados para divulgar informações falsas sobre as empresas, criando pânico entre os acionistas, boicotes de clientes ou até mesmo investigações regulatórias.

phishing direcionado e engenharia social

Os deepfakes levam a engenharia social a um nível totalmente novo. Em vez de um e-mail suspeito, imagine receber uma chamada de vídeo convincente do seu "departamento de TI" solicitando que você faça login em uma página phishing . Ou uma mensagem de voz de seu "CFO" solicitando informações confidenciais urgentes.

• O vishing ( phishing por voz) e phishing vídeo são ameaças crescentes.
• Os invasores precisam apenas de um clipe de áudio curto (por exemplo, de mídia social) para clonar a voz de uma pessoa de forma convincente.

Os deepfakes criam autenticidade emocional, tornando mais difícil para os funcionários detectar fraudes com base apenas no instinto.

Na vida privada, muitas pessoas já foram alvo de deepfakes de seus filhos ou pais. Se a voz inconfundível de seu filho lhe disser que ele está em perigo e precisa de dinheiro agora, você está calmo e consciente o suficiente para verificar a identidade dele?

Por que security awareness tradicional security awareness não é mais suficiente

A maioria das empresas oferece treinamento anual de security awareness sobre security awareness , abrangendo phishing, higiene de senhas e higiene cibernética básica. Mas isso não é mais suficiente contra deepfakes:

• Os deepfakes são uma ameaça nova e em rápida evolução. Os funcionários devem aprender a questionar até mesmo fontes confiáveis, como vídeos e chamadas telefônicas.
• A maioria dos programas de treinamento tradicionais nem sequer menciona deepfakes.
• Pesquisas mostram que, mesmo depois de serem avisadas sobre deepfakes, as pessoas não conseguem detectá-las.
• O treinamento de segurança tradicional é estático, enquanto as técnicas de deepfake evoluem mensalmente.
• Os incidentes de deepfake exigem novas respostas processuais, como a verificação de chamadas suspeitas por meio de canais alternativos e a existência de mecanismos claros de denúncia.

Sem um treinamento específico de conscientização sobre deepfake, os funcionários podem cair em ataques porque subestimam o quanto a mídia sintética pode ser convincente.

Dicas práticas: preparando os funcionários para incidentes de deepfake

Veja como as organizações podem começar a se preparar hoje mesmo:

• Campanhas de conscientização com exemplos reais: Mostre aos funcionários exemplos reais de deepfakes. A comparação entre vídeos reais e falsos ajuda a criar um ceticismo saudável. A chave aqui é a repetição. Um treinamento anual é esquecido após algumas semanas.
• Ensine habilidades de detecção: Treine a equipe para detectar inconsistências sutis (por exemplo, movimentos labiais incompatíveis, iluminação estranha, vozes monótonas).
• Definir procedimentos claros de denúncia: Os funcionários devem saber como verificar solicitações incomuns e relatar suspeitas sem medo de serem culpados.
• Use ferramentas técnicas: Explore softwares que possam detectar mídia sintética ou implementar a verificação de dois fatores para solicitações confidenciais.

Como oferecer um treinamento eficaz de security awareness deepfake

O Guardey ajuda as organizações a criar resiliência cibernética contínua com treinamento security awareness gamificado e fácil de usar, que inclui conscientização sobre deepfake:

• Gamificação: Os funcionários ganham pontos, distintivos e competem em tabelas de classificação amigáveis, tornando o aprendizado divertido e memorável.
• Aprendizado contínuo: Em vez de uma sessão anual, o Guardey oferece microaprendizagem semanal ou mensal, ajudando os funcionários a se manterem atualizados à medida que as ameaças de deepfake evoluem.
• Conteúdo relevante: O Guardey adapta os cenários ao setor de cada cliente, tornando as lições altamente relacionáveis.

O modelo contínuo e gamificado do Guardey incentiva os funcionários a pensar criticamente sobre o que veem e ouvem, criando hábitos duradouros de ceticismo.

→ Saiba mais sobre o Guardey durante uma demonstração

Conclusão: aja agora para se manter à frente

Os deepfakes não são mais ficção científica. A torto e a direito, os criminosos cibernéticos estão tentando enganar os funcionários para que façam coisas que podem prejudicar as finanças ou a reputação da sua organização. Investir em treinamento recorrente é a única opção para preparar seus funcionários.