H LastPass αποκάλυψε ότι hackers χρησιμοποίησαν deepfake ήχο για να υποδυθούν τον Karim Toubba, τον Διευθύνοντα Σύμβουλο (CEO) της εταιρείας, και να ξεγελάσουν έναν υπάλληλο στα πλαίσια voice phishing επίθεσης.
Ευτυχώς, ο υπάλληλος της LastPass δεν έπεσε θύμα, επειδή ο εισβολέας επικοινώνησε μαζί του μέσω WhatsApp, το οποίο είναι πολύ ασυνήθιστο κανάλι επικοινωνίας στην επιχείρηση.
“Στην περίπτωσή μας, ένας υπάλληλος έλαβε μια σειρά από κλήσεις, μηνύματα και τουλάχιστον ένα φωνητικό μήνυμα από έναν επιτιθέμενο που υποδύθηκε τον διευθύνοντα σύμβουλό μας μέσω WhatsApp“, δήλωσε ο αναλυτής πληροφοριών LastPass, Mike Kosak.
Δείτε επίσης: Νότια Κορέα: Δημιουργεί εργαλείο ανίχνευσης deepfake βίντεο
“Καθώς η απόπειρα επικοινωνίας ήταν εκτός των κανονικών καναλιών επαγγελματικής επικοινωνίας και λόγω της υποψίας του υπαλλήλου που εντόπισε χαρακτηριστικά μιας προσπάθειας social engineering (όπως η αίσθηση επείγοντος), ο υπάλληλος μας δικαίως αγνόησε τα μηνύματα και ανέφερε το περιστατικό στην εσωτερική ομάδα ασφαλείας μας, ώστε να μπορέσουμε να λάβουμε μέτρα τόσο για τον μετριασμό της απειλής όσο και για την ευαισθητοποίηση του κόσμου σχετικά με αυτές τις απειλές“.
Η LastPass τόνισε ότι αυτή η επίθεση, με τη χρήση deepfake τεχνολογίας, ήταν πλήρως αποτυχημένη και δεν είχε καμιά επίδραση στην εταιρεία. Ωστόσο, θέλησε να μοιραστεί λεπτομέρειες για να προειδοποιήσει άλλες εταιρείες και τους υπαλλήλους τους, ότι τα deepfakes χρησιμοποιούνται σε εκστρατείες πλαστοπροσωπίας στελεχών.
Ο deepfake ήχος που χρησιμοποιήθηκε σε αυτήν την επίθεση πιθανότατα δημιουργήθηκε μέσω μοντέλων AI, που έχουν εκπαιδευτεί σε δημόσια διαθέσιμες ηχογραφήσεις του Διευθύνοντος Συμβούλου της LastPass (π.χ. συνεντεύξεις στο YouTube).
Χρήση Deepfake για επιθέσεις: Νέα σημαντική απειλή
Πριν από την επίθεση deepfake στη LastPass, το Υπουργείο Υγείας και Ανθρωπίνων Υπηρεσιών (HHS) των ΗΠΑ προειδοποίησε ότι κυβερνοεγκληματίες στοχεύουν IT help desks χρησιμοποιώντας τακτικές social engineering και εργαλεία κλωνοποίησης φωνής, για να εξαπατήσουν τους στόχους τους.
Δείτε επίσης: Ηνωμένο Βασίλειο: Τα deepfakes θα θέσουν σε κίνδυνο τις εκλογές
Η χρήση των ηχητικών deepfakes δυσκολεύει την εξακρίβωση της ταυτότητας του καλούντος, καθιστώντας τις επιθέσεις πιο αποτελεσματικές.
Το Υπουργείο προτείνει τις ακόλουθες συμβουλές για προστασία από τέτοιες επιθέσεις:
- Επαλήθευση των υπαλλήλων που ζητούν επαναφορά κωδικού πρόσβασης και νέες συσκευές MFA.
- Παρακολούθηση για ύποπτες αλλαγές ACH.
- Εκ νέου επικύρωση όλων των χρηστών με πρόσβαση σε payer websites.
- Εξέταση προσωπικών αιτημάτων για ευαίσθητα θέματα.
- Απαίτηση από τους επόπτες να επαληθεύουν αιτήματα.
- Εκπαίδευση προσωπικού για τον εντοπισμό και την αναφορά τεχνικών social engineering και την επαλήθευση της ταυτότητας των καλούντων.
Η προστασία είναι απαραίτητη, δεδομένου ότι τέτοιες επιθέσεις μπορεί να έχουν σοβαρές συνέπειες για τις εταιρείες:
Αρχικά, οι επιθέσεις αυτού του είδους μπορούν να οδηγήσουν σε σημαντικές οικονομικές απώλειες. Οι απώλειες μπορεί να προκύπτουν από τη μεταφορά χρημάτων (μετά από απαίτηση του απατεώνα) την απώλεια πωλήσεων, την απώλεια εμπιστοσύνης των πελατών και την αύξηση των δαπανών για την αντιμετώπιση των επιπτώσεων της επίθεσης.
Δείτε επίσης: Deepfake scam: Πώς μια ψεύτικη τηλεδιάσκεψη οδήγησε στην κλοπή $25 εκατ.
Επίσης, οι επιθέσεις deepfake μπορούν να προκαλέσουν σημαντική ζημία στην εταιρική φήμη (π.χ. LastPass). Οι πελάτες και οι επενδυτές μπορεί να απογοητευτούν από την ικανότητα της επιχείρησης να προστατεύσει τα δεδομένα τους, το οποίο μπορεί να οδηγήσει σε μείωση των επενδύσεων και της πελατείας.
Τέλος, οι επιθέσεις αυτές μπορούν να οδηγήσουν σε νομικές επιπτώσεις για την επιχείρηση. Αν η επιχείρηση δεν μπορεί να προστατεύσει τα προσωπικά δεδομένα των πελατών της, μπορεί να αντιμετωπίσει πρόστιμα και νομικές διαφορές.
Πηγή: www.bleepingcomputer.com
