Glasovni deepfake direktorja: kako preprečiti lažno nakazilo?
Glas ali videz direktorja ni več zadostna potrditev; neobičajno plačilo je treba preveriti po neodvisnem kanalu in z drugo odgovorno osebo.
AI-ilustracija
Glas ali videz direktorja ni več zadostna potrditev; neobičajno plačilo je treba preveriti po neodvisnem kanalu in z drugo odgovorno osebo.
Klic z znanim glasom lahko ustvari več zaupanja kot e-pošta. Prav zato napadalci združujejo podatke o podjetju, časovni pritisk in zmanipuliran zvok ali video. Obramba ni ugibanje, ali je posnetek popoln, temveč plačilni postopek, ki prenese tudi prepričljivo imitacijo.
1. Kako deluje glasovni deepfake direktorja?
Napadalec posnema glas vodilne osebe in od zaposlenega zahteva nujno ali zaupno nakazilo. Vzorec lahko pridobi iz javnih videov, konferenc ali družbenih omrežij. Klic nato podkrepi s podatki o sodelavcih, dobaviteljih ali aktualnem poslu.
SI-CERT opozarja, da lahko direktorska prevara vključuje zmanipuliran glas ali video. Ključni znak ni le nenaraven zvok, temveč zahteva po odstopu od običajnega postopka.
2. Kateri znaki so najbolj sumljivi?
Najbolj sumljivi so nujnost, skrivnost, nov račun, nenavaden prejemnik in prepoved preverjanja pri drugih. Napadalec pogosto trdi, da gre za prevzem, davčni postopek ali zaupno navodilo uprave.
PREVERITE OBVEZNOSTI PO ZINFV-1 IN NIS2
Tehnične motnje, nenavadna intonacija ali slabša slika so lahko opozorilo, niso pa zanesljiv test. Tudi popolnoma naraven glas je lahko zlorabljen ali pa kliče resnična oseba iz kompromitiranega računa.
AI-ilustracija3. Kako naj zaposleni preveri zahtevo?
Klic mora prekiniti in zahtevo preveriti po vnaprej znani telefonski številki ali internem sistemu. Ne uporablja naj številke, povezave ali kontakta, ki ga je poslal klicatelj. Koristno je dogovorjeno kontrolno vprašanje, vendar samo kot dodatna varovalka.
Preverjanje ne sme biti odvisno od poguma posameznika. Interno pravilo mora jasno dovoliti ustavitev plačila, tudi če navodilo domnevno prihaja od direktorja.
4. Zakaj sta potrebni dve osebi?
Neobičajno plačilo naj neodvisno preverita in odobrita dve osebi. Ena potrdi poslovno podlago in identiteto zahteve, druga preveri prejemnika, račun in znesek. Pristojnosti morajo biti ločene tudi v banki ali plačilnem sistemu.
Če si zaposleni delijo prijavne podatke ali lahko ista oseba pripravi in potrdi nalog, načelo štirih oči obstaja samo na papirju.
5. Kaj naj določa plačilni postopek?
Določa naj dovoljene kanale, pragove, obvezno ponovno potrditev in prepoved izjem po telefonu. Posebej naj uredi spremembo bančnega računa, prve transakcije novemu prejemniku ter plačila zunaj običajnega vzorca.
PREBERITE: VARNA UPORABA AI V PODJETJU
Vaje naj vključijo vodstvo, saj mora tudi direktor sprejeti, da nujnost ne izključuje kontrole. Zaposlenega, ki pravilno ustavi plačilo, je treba podpreti.
AI-ilustracija6. Kaj storiti, če je bilo nakazilo že izvedeno?
Takoj je treba obvestiti banko, zavarovati dokaze ter prijaviti incident SI-CERT-u in policiji. Hitrost lahko vpliva na možnost zadržanja sredstev. Shraniti je treba posnetke, številke, časovnico, e-pošto, podatke prejemnika in bančna potrdila.
Hkrati je treba preveriti e-poštne račune, pravila preusmerjanja, večfaktorsko prijavo in morebitno uhajanje notranjih informacij.
Postopek mora biti močnejši od znanega glasu
Deepfake izkorišča kulturo, v kateri avtoriteta premaga pravilo. Najboljša zaščita je dogovor, da identitete in plačila ne potrjujemo z istim kanalom, po katerem je zahteva prišla.
Direktor daje pravi zgled, ko preverjanje razume kot zaščito podjetja, ne kot nezaupanje. Dve osebi, ločen kanal in pravica do ustavitve so učinkovitejši od lovljenja vsake tehnične napake v glasu.
