Warum Deepfakes die Welt des Phishings revolutionieren

Doch die Zunahme der elektronischen Kommunikation und die Abkehr von der persönlichen Interaktion haben diese Dynamik verändert. BEC-Angriffe traten immer mehr in den Vordergrund und nutzten E-Mail-Betrug, um ihre Ziele über Rechnungsbetrug und Spear-Phishing-Angriffe anzugreifen und Daten für andere kriminelle Aktivitäten zu sammeln.

Deepfake-Angriffe oder Voice-Phishing-Angriffe sind eine Erweiterung von BECs und haben eine neue Dimension in das Arsenal der Angreifer gebracht.

Social-Engineering-Angriffe, die in der Regel durch Imitationsangriffe und Phishing verübt werden, sind eine effektive Taktik für kriminelle Organisationen und Bedrohungsakteure und haben im Jahr 2019 weiter zugenommen. Bedrohungsakteure geben sich als E-Mail-Adressen, Domains, Subdomains, Landing Pages, Websites, mobile Apps und Social-Media-Profile aus, oft in Kombination, um die Zielpersonen zur Herausgabe von Anmeldedaten und anderen persönlichen Informationen oder zur Installation von Malware zu verleiten.

Diese Methode hat sich jedoch durch eine neue Ebene der Duplizität verschlimmert: Die Verwendung von Deepfakes oder Voice-Phishing wird immer häufiger als zusätzlicher Vektor in Verbindung mit business email compromise (BEC) verwendet, um betrügerische Überweisungen auszulösen.

Was ist ein Deepfake?

Deepfake, eine Kombination aus Deep Learning und Fake, ist ein Verfahren, bei dem vorhandene Bilder und Videos mit Quellmedien kombiniert und überlagert werden, um ein gefälschtes Endprodukt zu erzeugen. Es handelt sich um eine Technik, die maschinelles Lernen und künstliche Intelligenz einsetzt, um synthetische menschliche Bild- oder Sprachinhalte zu erstellen, und die als Social Engineering betrachtet wird, da sie darauf abzielt, Personen zu täuschen oder zu zwingen. In dem heutigen angespannten globalen politischen Klima können die Ergebnisse eines Deepfake-Angriffs auch dazu verwendet werden, Misstrauen zu wecken, die Meinung zu ändern und den Ruf zu schädigen.

Ein Deep-Learning-Modell wird mit einem großen, markierten Datensatz aus Video- oder Audiomustern trainiert, bis es ein akzeptables Maß an Genauigkeit erreicht. Bei angemessenem Training ist das Modell in der Lage, ein Gesicht oder eine Stimme zu synthetisieren, die den Trainingsdaten so weit entspricht, dass sie als authentisch wahrgenommen wird.

Viele kennen die gefälschten Videos von Politikern , die sorgfältig erstellt wurden, um falsche Botschaften und Aussagen zu vermitteln, die ihre Integrität in Frage stellen. Doch da Unternehmen in den sozialen Medien immer stärker in Erscheinung treten und sich CEOs über zielgerichtete Markenstrategien mit Hilfe von Videos und Bildern äußern, besteht die Gefahr, dass einflussreiche Wirtschaftsführer Quellenmaterial für mögliche Deepfake-Angriffe liefern?

BEC-Angriffe: Der erste Schritt beim Voice-Phishing

Ein BEC ist die Kampagne, die auf eine sehr gezielte Untersuchung einer Zielorganisation folgt. Durch den Einsatz aller verfügbaren Ressourcen zur Untersuchung der Organisationsstruktur können Bedrohungsakteure effektiv Mitarbeiter identifizieren und ins Visier nehmen, die zur Freigabe von Zahlungen berechtigt sind. Indem sie sich als leitende Angestellte oder bekannte und vertrauenswürdige Lieferanten ausgeben, versuchen die Angreifer, die Autorisierung und Freigabe von Zahlungen auf falsche Konten zu erreichen.

Einem FBI-Bericht zufolge haben BEC-Angriffe Unternehmen weltweit zwischen Juni 2016 und Juli dieses Jahres mehr als 26 Milliarden US-Dollar gekostet. "Der Betrug wird häufig durchgeführt, wenn ein Subjekt legitime geschäftliche oder private E-Mail-Konten durch Social Engineering oder Computereinbruch kompromittiert, um unbefugte Geldtransfers durchzuführen", heißt es in der FBI-Warnung .

In Abbildung 1 zeigt die Anfrage nach einer persönlichen Handynummer, dass der Angreifer die Möglichkeit hat, die Rufnummernanzeige im Telefonnetz eines Unternehmens zu umgehen, die die Identität des Anrufers bestätigen würde.

Sprachphishing verstärkt BEC-Angriffe

Heute werden gefälschte Audiodateien zur Verstärkung von BEC-Angriffen eingesetzt. Aus Berichten geht hervor, dass die Zahl der Deepfake-Audio-Angriffe im letzten Jahr deutlich zugenommen hat. Aber werden diese Angriffe als die nächste Generation von Phishing-Angriffen (oder "Vishing" wie bei Voice-Phishing) an Bedeutung gewinnen und sich zum bevorzugten Angriffsvektor anstelle von BEC entwickeln?

Deepfake-Audio gilt als eine der fortschrittlichsten Formen von Cyberangriffen durch den Einsatz von KI-Technologie. In der Tat hat die Forschung kürzlich gezeigt, dass eine überzeugende geklonte Stimme mit weniger als vier Sekunden Audiomaterial entwickelt werden kann. Innerhalb dieser kurzen Zeitspanne sind wahrscheinlich alle unterscheidbaren persönlichen Stimmmerkmale wie Aussprache, Tempo, Intonation, Tonhöhe und Resonanz vorhanden, die für die Erstellung eines überzeugenden Deepfakes erforderlich sind und in den Algorithmus einfließen. Je mehr Audiomaterial und Trainingsproben vorhanden sind, desto überzeugender ist das Ergebnis.

Im Vergleich zur Produktion von Deepfake-Videos sind Deepfake-Audios umfangreicher und schwieriger zu erkennen; laut Axios , "Um Audio-Deepfakes zu erkennen, muss ein Computer darauf trainiert werden, auf unhörbare Hinweise zu hören, dass die Stimme nicht von einer echten Person stammen könnte."

Wie Deepfake-Phishing-Angriffe erstellt werden

Für Deepfake-Audio muss Material erstellt werden, indem Trainingsdaten und Audiobeispiele in entsprechende Algorithmen eingespeist werden. Dieses Material kann aus einer Vielzahl von Audioclips der Zielperson bestehen, die häufig aus öffentlichen Quellen wie Reden, Präsentationen, Interviews, TED-Talks, öffentlichen Telefongesprächen, Lauschangriffen und Unternehmensvideos gesammelt werden, von denen viele online frei verfügbar sind.

Mit Hilfe der Sprachsynthese kann mühelos ein Sprachmodell erstellt werden, das in der Lage ist, einen Text mit der gleichen Intonation, Kadenz und Art und Weise wie die Zielperson vorzulesen. Bei einigen Produkten können die Benutzer sogar eine Stimme beliebigen Geschlechts und Alters auswählen, anstatt die beabsichtigte Zielperson zu emulieren. Diese Methode hat das Potenzial, Konversationen oder Interaktionen mit der Zielperson in Echtzeit zu ermöglichen, was die Aufdeckung schändlicher Aktivitäten weiter erschwert.

Obwohl die folgenden Beispiele für E-Mail-Audioanhänge wahrscheinlich nicht mit der Deepfake-Methode in Verbindung gebracht werden, sind potenzielle Vektoren für betrügerische Aktivitäten oder den Erwerb von Benutzerdaten nicht von der Hand zu weisen. Die nachstehenden Beispiele repräsentieren typische und häufige Arten von Voicemail-Angriffen, die es gibt.

Aktuelle Landschaft der Cyber-Bedrohungen

Deepfake-Audio-Betrügereien im großen Stil haben bereits stattgefunden, und zwar im Wert von 243.000 Dollar. Laut The Next Web haben "Kriminelle die Hilfe einer handelsüblichen KI-Software zur Stimmerzeugung in Anspruch genommen, um sich als Chef einer deutschen Muttergesellschaft auszugeben, der ein britisches Energieunternehmen gehört".

Mit Technologien, die es Kriminellen ermöglichen, Stimmproben von einer Vielzahl von Open-Source-Plattformen zu sammeln und gefälschte Audioinhalte zu modellieren, ist es sehr wahrscheinlich, dass es zu einer Zunahme von erweiterten BEC-Angriffen kommen wird, die durch Deepfake-Audio ergänzt werden.

Da Unternehmen immer mehr versuchen, über soziale Medien mit ihrem Kundenstamm zu interagieren, wird die Hürde für die Beschaffung von Quellmaterial für Deepfakes immer niedriger sein. Führungskräfte müssen sich daher der unkonventionellen Cyber-Bedrohungen bewusst sein, denen sie sich aussetzen und ein robustes Schulungsprogramm für Sicherheitsbewusstsein unterhalten, das sich mit Voice-Phishing weiterentwickelt, sowie ein proaktives Bedrohungserkennungsmodell, das Schritte zur Eindämmung von Bedrohungen unternimmt.