Todos os materiais e ferramentas necessários para fazer vídeos deepfake – desde o código-fonte até imagens publicamente disponíveis e serviços de desvio de autenticação de conta – estão prontamente disponíveis e à venda na Internet pública e em fóruns clandestinos.
Os criminosos cibernéticos estão aproveitando esse fácil acesso a recursos e usando deepfakes para aproveitar as técnicas de crime atuais, como o comprometimento de e-mail comercial (BEC), para ganhar ainda mais dinheiro, de acordo com Pesquisadores da Trend Micro. Não só isso, mas deepfakes estão sendo usados em anúncios da web para fazer Elon Musk, especialistas em segurança e outros parecerem estar endossando produtos com os quais não têm conexão.
“A aparência crescente de ataques deepfake está reformulando significativamente o cenário de ameaças para organizações, instituições financeiras, celebridades, figuras políticas e até pessoas comuns”, alertaram Vladimir Kropotov, Fyodor Yarochkin, Craig Gibson e Stephen Hilt, da equipe de segurança, em pesquisa publicada na terça-feira.
Especificamente, as corporações precisam se preocupar com deepfakes, conforme os criminosos começam a usá-los para criar indivíduos falsos, como candidatos a emprego para conseguir cargos ou se passar por executivos em videochamadas para enganar funcionários a transferir fundos ou dados da empresa.
Durante o verão, o FBI disse que recebeu um número crescente de reclamações relacionadas ao uso de vídeos deepfake durante entrevistas para empregos de tecnologia que envolvem acesso a se sistemas e informações nsitivos.
Depois de convencer alguém a contratá-los, os atores de deepfake podem usar identidades falsas para enganar clientes ou colegas de trabalho desavisados a compartilhar informações de pagamento ou usar esse acesso à rede para explorar ativos de TI, roubar dados corporativos, entregar ransomware ou pior.
No mês passado, um executivo de relações públicas da Binance alegou que os bandidos criaram um “holograma de IA” profundamente falso dele para enganar projetos de criptomoeda por meio de videochamadas Zoom.
“Acontece descobriu que uma sofisticada equipe de hackers usou entrevistas anteriores e aparições na TV ao longo dos anos para criar uma ‘falsidade profunda’ de mim”, afirmou Patrick Hillmann, diretor de comunicações do hipermercado de criptomoedas, na época. “Além dos 15 quilos que ganhei durante o COVID estarem visivelmente ausentes, esse deep fake foi refinado o suficiente para enganar vários membros da comunidade cripto altamente inteligentes.”
O deepfake da Binance é notável, pois a Trend Micro diz que o O tópico de como contornar a verificação usando deepfakes tem sido um tema quente em fóruns clandestinos desde 2021. Em geral, muitos dos usuários desses fóruns estão procurando maneiras de enganar a verificação bancária on-line e de finanças digitais, de acordo com os pesquisadores de segurança. Eles explicam:
Além disso, as ferramentas de produção deepfake são compradas e vendidas em souks on-line nefastos – ou disponíveis abertamente no GitHub – junto com bots que podem facilitar a criação de vídeos deepfake, acrescentaram os pesquisadores, citando o bot Telegram RoundDFbot como um exemplo.
Deepfake + scam existente = mais dinheiro para bandidos
Trend Micro diz que criminosos estão usando deepfakes para uma variedade de métodos de ataque e golpes testados e comprovados, e os pesquisadores esperam ver mais deles em um futuro próximo.
Isso inclui golpes de mensagens e BEC, que se mostraram extremamente lucrativos mesmo sem vídeos falsos. Os criminosos podem usar deepfakes para se passar por executivos ou parceiros de negócios para solicitar transferências de dinheiro, tornando esses golpes ainda mais críveis para as vítimas visadas.
Além disso, os criminosos podem usar identidades roubadas em combinação com vídeos deepfake para abrir novas contas bancárias ou criar contas de serviços governamentais, alertam os pesquisadores de segurança. Da mesma forma, os criminosos podem assumir contas que usam videochamadas para verificar a identidade.
“Eles podem sequestrar uma conta financeira e simplesmente retirar ou transferir fundos”, escreveram Kropotov, Yarochkin, Gibson e Hilt. “Algumas instituições financeiras exigem verificação de vídeo on-line para ter certos recursos habilitados em aplicativos bancários on-line. Obviamente, essas verificações também podem ser alvo de ataques de deepfake.”
Embora já tenhamos visto deepfakes sendo usados em campanhas de desinformação, notadamente relacionadas à invasão russa da Ucrânia, esses vídeos falsos também podem ser usados em ataques relacionados à extorsão – imagine “provas” falsas sendo criadas para forçar as organizações a pagar um resgate, observam os pesquisadores.
A Trend Micro também coloca o Alexa da Amazon “na lista de alvos de criminosos deepfake”. Alexa não está sozinha, no entanto. Qualquer dispositivo que use reconhecimento de voz – seja para pedir comida de gato ou abrir a porta de uma ala segura de um hospital, por exemplo – pode ser invadido por deepfakes.
-
- Aviso do FBI: bandidos estão usando vídeos deepfake em entrevistas para shows remotos ele para enganar as vítimas
- A Amazon não pode canalizar os mortos, mas suas vozes deepfake demoram um segundo
- FBI: Golpes cibernéticos custaram às vítimas mais de US$ 6,9 bilhões em todo o mundo em 2021
As boas notícias é que as organizações podem tomar medidas para se proteger. O topo desta lista está usando a autenticação multifator, que, de acordo com o negócio de segurança, “deve ser padrão para qualquer autenticação de contas confidenciais ou críticas.”
Use três coisas para autenticar usuários, aconselha: algo que o usuário tem, algo que o usuário sabe e algo que o usuário é.
Além disso, treine a equipe sobre o que procurar e ouvir quando se trata de tecnologia deepfake. “Para verificação de contas sensíveis (por exemplo, perfis bancários ou corporativos), os usuários devem priorizar o uso dos padrões biométricos menos expostos ao público, como íris e impressões digitais”, aconselham os pesquisadores.
