Deepfakes και επιθέσεις injection παραβιάζουν την επαλήθευση ταυτότητας

Τα deepfakes εξελίσσονται και δεν περιορίζονται πλέον μόνο σε εκστρατείες παραπληροφόρησης ή σε ιογενή χειραγώγηση των μέσων. Οι περισσότερες ομάδες ασφαλείας ήδη κατανοούν το πρόβλημα των deepfakes. Ωστόσο, η πιο επείγουσα αλλαγή είναι το πώς τα συνθετικά μέσα γίνονται λειτουργικά. Αυτή η κατεύθυνση απάτης αξιοποιείται μέσα στις στιγμές ταυτότητας που τροφοδοτούν το διαδίκτυο και την οικονομία – όπως η εγγραφή πελατών σε τράπεζες, η εγγραφή οδηγών για πλατφόρμες gig και παράδοσης, η επαλήθευση πωλητών σε αγορές, η ανάκτηση λογαριασμών, η απομακρυσμένη πρόσληψη, η πρόσβαση συνεργατών και οι ροές εργασίας προνομιακής πρόσβασης.

Δείτε επίσης: Deepfake επιθέσεις και βιομετρική παραπλάνηση

Καθώς περισσότερη εργασία και επιχειρηματική δραστηριότητα γίνεται απομακρυσμένα, η ταυτότητα έχει γίνει κύριο σημείο ελέγχου – και κύριος στόχος. Οι κακόβουλοι παράγοντες δεν θέλουν μόνο να ξεγελάσουν έναν έλεγχο selfie. Θέλουν να υποδυθούν ένα πραγματικό άτομο, να καθιερώσουν διαρκή πρόσβαση και να επαναχρησιμοποιήσουν αυτό το πάτημα σε περιβάλλοντα καταναλωτών και επιχειρήσεων. Οι ομάδες κυβερνοασφάλειας και απάτης τώρα αντιμετωπίζουν μια σύγκλιση τακτικών που στοχεύουν όλες στην ίδια απόφαση – τη στιγμή που ένα σύστημα καταλήγει στο συμπέρασμα “αυτό είναι ένα πραγματικό άτομο”:

• Συνθετικά πρόσωπα και φωνές υψηλής πιστότητας που μπορούν να περάσουν γρήγορους ελέγχους
• Αναπαραγωγή πραγματικών πλάνων από κλεμμένες ή συλλεγμένες συνεδρίες
• Αυτοματοποίηση που εξετάζει τις ροές επαλήθευσης σε κλίμακα
• Επιθέσεις έγχυσης που παραβιάζουν τη γραμμή σύλληψης και αντικαθιστούν τη ροή εισόδου ανάντη

Αυτός είναι ο λόγος που η “ανίχνευση deepfake” από μόνη της δεν είναι πλέον αρκετή. Οι επιχειρήσεις χρειάζονται πλήρη επαλήθευση συνεδρίας: συμπεριλαμβανομένων των αντιλήψεων, της ακεραιότητας της συσκευής και των συμπεριφορικών σημάτων… όλα σε έναν ενιαίο, σε πραγματικό χρόνο έλεγχο. Αυτό είναι το μοντέλο πίσω από το Incode Deepsight: μια προσέγγιση που έχει σχεδιαστεί για να επαληθεύει τις συνεδρίες ταυτότητας από άκρο σε άκρο, όχι μόνο να αξιολογεί τα μέσα μεμονωμένα.

Η σωστή ερώτηση δεν είναι μόνο “Αυτό το πρόσωπο φαίνεται πραγματικό;” Είναι “Μπορούμε να εμπιστευτούμε αυτήν την ολόκληρη συνεδρία από άκρο σε άκρο;” Στα συστήματα επιχειρήσεων, μια επιτυχής παράκαμψη δεν είναι ένα γεγονός φήμης. Είναι ένα γεγονός πρόσβασης. Όταν η επαλήθευση αποδέχεται μια παραποιημένη ή παραβιασμένη συνεδρία ως πραγματική, οι επιτιθέμενοι μπορούν να:

• Δημιουργήσουν ψεύτικους λογαριασμούς χρησιμοποιώντας συνθετικές ταυτότητες
• Καταλάβουν υπάρχοντες λογαριασμούς χρηστών
• Παρακάμψουν την επαλήθευση HR στην απομακρυσμένη πρόσληψη
• Αποκτήσουν μη εξουσιοδοτημένη πρόσβαση σε ευαίσθητα εσωτερικά συστήματα

Δείτε ακόμα: Ηνωμένο Βασίλειο: Νόμος που ποινικοποιεί τα deepfake του Grok

Σε αντίθεση με την εξαπάτηση στα κοινωνικά μέσα, αυτές οι επιθέσεις μπορούν να επιτρέψουν διαρκή πρόσβαση μέσα σε αξιόπιστα περιβάλλοντα.

Η κατωφέρεια επίπτωση είναι διαρκής: διατήρηση λογαριασμού, μονοπάτια κλιμάκωσης προνομίων και ευκαιρίες πλευρικής κίνησης που ξεκινούν με μια μόνο λανθασμένη απόφαση επαλήθευσης. Μια ανεξάρτητη μελέτη από το Πανεπιστήμιο Purdue αξιολόγησε κορυφαίους προμηθευτές βιομετρικών κάτω από προηγμένα σενάρια deepfake και επιθέσεων παρουσίασης. Οι περισσότερες επαληθεύσεις ταυτότητας βασίζονται σε δύο σήματα: ομοιότητα προσώπου και “ζωντάνια”.

Και τα δύο είναι χρήσιμα, και τα δύο μπορούν να υπονομευθούν εάν το σύστημα υποθέσει ότι η ροή εισόδου είναι αυθεντική. Οι επιτιθέμενοι σπάνε αυτή την υπόθεση με δύο συμπληρωματικούς τρόπους. Πρώτον, μιμούνται πραγματικά μέσα. Τα deepfakes και οι κλώνοι φωνής βελτιώνονται υπό πραγματικές συνθήκες λειτουργίας – σύντομα κλιπ, κινητή σύλληψη, συμπίεση και ατελής φωτισμός. Μια ροή εργασίας που εξαρτάται από μια στενή οπτική επιφάνεια εκτίθεται όλο και περισσότερο σε ψευδή αποδοχή. Δεύτερον, παρακάμπτουν τον αισθητήρα εντελώς.

Οι επιθέσεις έγχυσης αντικαθιστούν τη ροή εισόδου πριν φτάσει στην ανάλυση. Αντί να παρουσιάζουν ένα πρόσωπο σε μια κάμερα, οι επιτιθέμενοι μπορούν να:

• Χρησιμοποιήσουν λογισμικό εικονικής κάμερας για να τροφοδοτήσουν συνθετικό ή προεγγεγραμμένο βίντεο
• Εκτελέσουν συνεδρίες επαλήθευσης μέσα σε εξομοιωτές σχεδιασμένους να μιμούνται νόμιμες κινητές συσκευές
• Λειτουργούν από ριζωμένες ή jailbroken συσκευές που παρακάμπτουν τους ελέγχους ακεραιότητας
• Αντικαταστήσουν τη ζωντανή σύλληψη με παραποιημένες ροές ανάντη

Δείτε επίσης: Deepfakes: Πώς οι επιθέσεις impersonation ενισχύουν τις οικονομικές απάτες

Σε αυτά τα σενάρια, τα μέσα μπορούν να φαίνονται τέλεια γιατί ποτέ δεν χρειάστηκε να επιβιώσουν από μια πραγματική διαδρομή σύλληψης.

Πηγή: bleepingcomputer