Όταν η βιντεοκλήση δεν αποτελεί πλέον απόδειξη: Πώς τα deepfakes απειλούν τον τομέα της κρυπτογράφησης

Υπήρχε μια εποχή που οι βιντεοκλήσεις χρησίμευαν ως μια επιπλέον εγγύηση έναντι των απατεώνων. Αν βλέπατε κάποιον ζωντανά στην οθόνη, υποθέτατε ότι μιλούσατε με το πραγματικό πρόσωπο. Αλλά η τεχνολογία έχει εξελιχθεί - και αυτό που πρόσφατα θεωρούνταν ασφαλές δεν εγγυάται πλέον την ασφάλεια.

Ο πρώην διευθύνων σύμβουλος της Binance Changpeng Zhao επέστησε την προσοχή σε ένα νέο κύμα απάτης που κερδίζει έδαφος: τη χρήση deepfake βίντεο σε πραγματικό χρόνο για τη στόχευση και τη διακινδύνευση μελών της κοινότητας κρυπτογράφησης. Σύμφωνα με τον Zhao, ακόμη και η επαλήθευση βίντεο μπορεί σύντομα να καταστεί άνευ νοήματος. Αν ένα πρόσωπο και μια φωνή μπορούν να παραποιηθούν πειστικά, πώς μπορεί κανείς να είναι σίγουρος με ποιον πραγματικά μιλάει;

Loading...

Οι πραγματικές επιθέσεις δεν είναι πλέον σπάνιες

Αυτή δεν είναι απλώς μια υποθετική απειλή. Η Γιαπωνέζα influencer της κρυπτογράφησης Mai Fujimoto έχασε την πρόσβαση τόσο στο πορτοφόλι της στο Telegram όσο και στο Metamask αφού συμμετείχε σε μια κλήση Zoom με μια deepfake έκδοση κάποιου που εμπιστευόταν. Την ξεγέλασαν και την ανάγκασαν να κάνει κλικ σε έναν σύνδεσμο "ενημέρωσης", αφού αγωνίστηκε να ακούσει τον ήχο. Πριν συμμετάσχει στην κλήση, η Fujimoto δεν είχε συνειδητοποιήσει ότι ο λογαριασμός Telegram του γνωστού της είχε ήδη παραβιαστεί.

"Μου έστειλε τον σύνδεσμο και μου έδωσε οδηγίες να ακολουθήσω κάποια βήματα για να προσαρμόσω τις ρυθμίσεις ήχου και πιστεύω ότι τότε ήταν που η επίθεση έθεσε σε κίνδυνο τον υπολογιστή μου".

Οι επιθέσεις Deepfake στοχεύουν ολοένα και περισσότερο τους υπαλλήλους σε εταιρείες κρυπτογράφησης, ταμεία και ανταλλακτήρια. Σε μια πρόσφατη περίπτωση, κακόβουλοι δράστες εμφανίστηκαν ως στελέχη ενός κρυπτογραφικού ταμείου μέσω πολλαπλών κλήσεων Zoom, πείθοντας ένα μέλος του προσωπικού να εγκαταστήσει το λογισμικό που χρειάζονταν. Το αποτέλεσμα: ένα keylogger, μια συσκευή καταγραφής οθόνης και η κλοπή ιδιωτικών κλειδιών.

Σχεδόν τα πάντα μπορούν να πλαστογραφηθούν

Το πρόβλημα είναι ότι το παραδοσιακό μοντέλο ψηφιακής εμπιστοσύνης δεν λειτουργεί πλέον. Ένα πρόσωπο, ένα όνομα χρήστη, μια φωνή - όλα αυτά μπορούν πλέον να πλαστογραφηθούν πειστικά. Οι σύγχρονοι αλγόριθμοι deepfake μπορούν όχι μόνο να αναπαράγουν τον τόνο και τις εκφράσεις του προσώπου κάποιου, αλλά και να προσαρμόζονται σε πραγματικό χρόνο στις αντιδράσεις ενός ατόμου. Αυτό σημαίνει ότι η οπτική και ηχητική επαφή δεν αποτελεί πλέον αξιόπιστο δείκτη αυθεντικότητας.

Ενώ τα εταιρικά περιβάλλοντα μπορούν ακόμα να εφαρμόζουν πολυεπίπεδη επαλήθευση - χρησιμοποιώντας εσωτερικές πλατφόρμες, μάρκες πρόσβασης ή εφεδρικά κανάλια επιβεβαίωσης - οι ανεπίσημες συζητήσεις και η προσωπική επικοινωνία συχνά βασίζονται αποκλειστικά στην εμπιστοσύνη. Αυτό ακριβώς κάνει τους χρήστες ευάλωτους: η εξοικείωση με τη "φωνή" ή το "πρόσωπο" κάποιου κάποτε παρείχε μια αίσθηση ασφάλειας, αλλά τώρα μπορεί να γίνει αδύναμο σημείο.

Η τεχνολογία προχωράει ακόμη περισσότερο. Ορισμένα πρόσθετα μπορούν πλέον να δημιουργήσουν υπερρεαλιστικά πρόσωπα κατά τη διάρκεια βιντεοκλήσεων, προσομοιώνοντας την κίνηση των ματιών, το ανοιγοκλείσιμο των ματιών, ακόμη και καθυστερήσεις στον ήχο - όλα αυτά για να δημιουργήσουν την ψευδαίσθηση μιας ζωντανής συνομιλίας. Και αυτή η ψευδαίσθηση μπορεί να είναι αρκετή για να πείσει κάποιον να παραχωρήσει πρόσβαση ή να εκτελέσει μια επικίνδυνη ενέργεια χωρίς να υποψιαστεί το παραμικρό.

Η υγιεινή στον κυβερνοχώρο δεν είναι πλέον προαιρετική

Η έκκληση του Zhao να μην εγκαθιστάτε ποτέ λογισμικό από ανεπίσημες πηγές δεν είναι πλέον απλώς μια γενική υπενθύμιση - είναι μια βασική απαίτηση για την υγιεινή στον κυβερνοχώρο. Σε έναν κόσμο όπου ακόμη και οι βιντεοκλήσεις μπορούν να παραβιαστούν, η μόνη αποτελεσματική προστασία είναι η κριτική σκέψη και τα σαφή πρωτόκολλα ψηφιακής συμπεριφοράς.

Αυτό σημαίνει την πλήρη αποφυγή:

- την εγκατάσταση οποιουδήποτε λογισμικού από συνδέσμους που λαμβάνονται σε ιδιωτικά μηνύματα,

- την εισαγωγή κωδικών πρόσβασης ή κωδικών κατά τη διάρκεια μιας βιντεοκλήσης,

- παράλειψη ενός δευτερεύοντος καναλιού επιβεβαίωσης (όπως ένα ξεχωριστό μήνυμα ή μια κλήση μέσω άλλης πλατφόρμας).

Εν τω μεταξύ, οι εταιρείες πρέπει να εισάγουν εσωτερικές πολιτικές επαλήθευσης ταυτότητας, ακόμη και όταν η φωνή ακούγεται οικεία, να υιοθετήσουν εργαλεία παρακολούθησης της συμπεριφοράς και να εκπαιδεύσουν τις ομάδες να αναγνωρίζουν τα σημάδια πλαστοπροσωπίας.

Δεν υπάρχει κανένας νόμος που να το απαιτεί αυτό ακόμη. Η πραγματικότητα όμως το απαιτεί - και το κόστος ενός λάθους μετριέται όχι μόνο σε χαμένα κεφάλαια, αλλά και στη φήμη και τη συνέχιση της επιχείρησης.