Cyber-Kriminalität
Was tun gegen Deepfakes?
Deepfakes werden bereits heute von Cyberkriminellen genutzt, insbesondere bei Betrugsangriffen auf CEOs. CISOs sollten ihr Risikomanagement und ihre Sicherheitsstrategien aktualisieren.
von Trend Micro
Stellen Sie sich vor, ein Mitarbeiter der Finanzabteilung eines Unternehmens erhält einen Anruf von seinem Chef, und dieser offensichtlich gestresste Manager fordert den Angestellten auf, einen bestimmten Betrag zu überweisen, und kündigt ihm eine Mail mit den entsprechenden Details dazu an. Diese Mail kommt, und der Mitarbeiter führt den Auftrag aus. Leider war der Anruf aber ein so genannter Deepfake. Das sind KI-getriebene gefälschte Audio- oder Videoclips, die nur schwer vom Original zu unterscheiden sind. Sie legen einer Person -- egal ob berühmter Politiker, Prominenter oder CEO -- im wahrsten Sinne des Wortes Worte in den Mund. Das klingt zwar nach Spaß, doch es gibt auch eine ernste Seite, wie das eben beschriebene Szenario zeigt. Könnte 2020 das Jahr des Durchbruchs für Deepfakes werden? Deepfakes werden bereits heute von Cyberkriminellen genutzt, insbesondere bei Betrugsangriffen auf CEOs. Diese Tatsache wird wohl CISOs dazu nötigen, ihr Risikomanagement und ihre Sicherheitsstrategien zu aktualisieren, da die Angriffe sich immer weiter verbreiten und auch überzeugender werden.
Manipulierte Videoclips lassen sich etwa vor Wahlen verwendet, um Kandidaten zu diskreditieren. Die schlechte Nachricht ist, dass Psychologen glauben, dass, wenn Menschen einmal so etwas gesehen haben, es ihre Wahrnehmung einer Person nachhaltig beeinflusst, auch wenn sie später herausfinden, dass das Video eine Fälschung ist.
Social-Media-Unternehmen sind verständlicherweise beunruhigt angesichts des neuen Ausmaßes an Fehlinformationen, die sich über ihre Plattformen verbreiten. Ende Februar hatte Twitter seine Richtlinien bezüglich Deepfakes veröffentlicht und versprochen, alle Inhalte zu kennzeichnen, die „signifikant und irreführend verändert oder erstellt“ und die in betrügerischer Art verbreitet wurden. Das Unternehmen erklärte, alle Inhalte entfernen zu wollen, die auch Schaden verursachen können. Damit schließt sich Twitter Facebook an, denn das Unternehmen hatte im Januar versprochen, Deepfakes von der Unternehmens-Website vollständig zu verbannen, und auch YouTube hatte solche Inhalte im Vorfeld der US-Präsidentschaftswahlen 2020 verboten. Deepfakes stellen eine große Bedrohung für demokratische Länder wie das unsere dar, insbesondere nach früheren Versuchen von Nationalstaaten, sich in Wahlen und Referenden einzumischen.
Unternehmen unter Druck
Aber es gibt einen anderen Blickwinkel, der vor allem für Unternehmen relevant ist. Deepfake-Audioclips werden bereits bei BEC-Angriffen verwendet, die sich – wie das Beispiel eingangs zeigt -- als CEOs ausgeben und Mitarbeiter dazu bringen sollen, Geld an von Hackern kontrollierte Bankkonten zu überweisen.
Und dies ist bloß der Anfang! In den Sicherheitsprognosen für 2020 warnt Trend Micro davor, dass auch Manager der C-Ebene zunehmend zum Ziel dieser Art von Hitech-Betrug werden, denn ihre öffentlichen Profile machen es Kriminellen leicht, ihre Stimme aufzunehmen und nachzuahmen.
Zudem wird sich mit der Zeit die Technologie weiter entwickeln, und somit wird es schwieriger, die Fälschungen zu erkennen. Es könnte sogar soweit kommen, dass Organisationen oder Einzelpersonen mit gefälschten Clips eines CEOs, der etwas „Ungeheuerliches“ darin tut, erpressbar gemacht werden, sodass der Aktienkurs des Unternehmens abstürzt.
Die Herausforderung hier besteht darin, dass selbst trainierte Mitarbeiter, die eigentlich BECs erkennen können, in eine Stress Situation versetzt werden, die zudem noch eine Zweifaktor-Authentifizierung (Email und Telefon) imitiert.
Maßnahmen
CISOs müssen jetzt handeln und diese Bedrohung in ihre Sicherheitsstrategien einbeziehen, indem sie die Sensibilisierungs-Schulung ihrer Mitarbeiter auf den neuesten Stand bringen und die Unternehmensrichtlinien für große Geldtransfers verschärfen. Die Mehrheit der Betrugsfälle von CEOs erfolgt heute immer noch per Email. Für diese Fälle hat Trend Micro eine eigene KI-gestützte Lösung, die Writing Style DNA, die den Schreibstil von leitenden Angestellten analysiert und Alarm schlägt, wenn der Verdacht besteht, dass Hacker versuchen, sich für diesen Nutzer auszugeben. Die Lösung empfiehlt sich als Teil eines mehrschichtigen Ansatzes für die Email-Sicherheit mit Schwerpunkt auf der Domain-Reputation und anderen Elementen.
Aber auch Nutzer selbst können einige Maßnahmen ergreifen. Dazu gehört die Überprüfung der Angaben in der verdächtigen Mail/Anruf/Video, so etwa die Bankverbindung oder die verwendete Telefonnummer bzw. Email-Adresse. Zudem sollte der geforderte Geldtransfer mit weiteren involvierten Mitarbeitern abgesprochen werden, bevor er getätigt wird.
Schließlich sollte nicht vergessen werden, dass Cybersicherheit ein Wettrüsten bleibt. Es mag wohl derzeit so aussehen, als hätten die Deepfaker die Oberhand, aber realistische Fälschungen sind selten, und Hersteller wie Trend Micro arbeiten ständig an Möglichkeiten, sie zu vereiteln.