Deepfakes werden gefährlicher

Als ob der Kampf gegen Ransomware die Sicherheitsteams nicht schon genug beschäftigen würde, gibt es eine neue Herausforderung am Horizont – den Schutz vor der kommenden Welle von digitalen Betrügern oder Deepfakes.

Während Ransomware vielleicht mehr Schlagzeilen macht, ist die Kompromittierung von Geschäfts-E-Mails (Business Email Compromise, BEC) heute die teuerste Form der Internetkriminalität. Das FBI schätzt, dass sie Unternehmen jedes Jahr Milliarden von Dollar kostet.

Die häufigste Form des BEC-Angriffs besteht darin, dass Cyberkriminelle E-Mails ausnutzen, sich in die Konten von Chefs hacken – oder deren E-Mail-Konten geschickt fälschen – und die Mitarbeiter auffordern, große finanzielle Transaktionen zu genehmigen, die sich oft auf Hunderttausende von Dollar belaufen können.

In den E-Mails wird behauptet, das Geld müsse dringend überwiesen werden. Es handelt sich um einen klassischen Social-Engineering-Trick, mit dem das Opfer gezwungen werden soll, schnell Geld zu überweisen, ohne eine Bestätigung von einer anderen Person einzuholen, die die gefälschte Anfrage entlarven könnte.

Bis jemand Verdacht schöpft, haben die Cyberkriminellen das Geld bereits kassiert, das Bankkonto, das sie für die Überweisung benutzt haben, wahrscheinlich aufgelöst – und sind verschwunden.

BEC-Angriffe sind erfolgreich, aber viele Menschen bleiben misstrauisch gegenüber einer E-Mail von ihrem Chef, die aus heiterem Himmel kommt, und wollen mit jemandem sprechen, der bestätigt, dass die E-Mail nicht echt ist.

Wenn Cyberkriminelle jedoch einen Deepfake verwenden könnten, um die Anfrage zu stellen, könnte es für die Opfer sehr viel schwieriger sein, die Aufforderung zu verweigern, da sie glauben, dass sie tatsächlich mit ihrem Chef vor laufender Kamera sprechen.

Viele Unternehmen veröffentlichen auf ihrer Website eine Liste ihrer Vorstände und Führungskräfte. Oft haben diese hochrangigen Führungskräfte auf Veranstaltungen oder in den Medien gesprochen, so dass es möglich ist, Filmmaterial von ihnen zu finden.

Mithilfe von KI-gestützten Deep-Learning-Techniken könnten Cyberkriminelle diese öffentlichen Informationen ausnutzen, um ein Deepfake einer hochrangigen Führungskraft zu erstellen, E-Mail-Schwachstellen auszunutzen, um einen Mitarbeiter zu einem Videoanruf aufzufordern und ihn dann zu bitten, die Transaktion durchzuführen. Wenn das Opfer glaubt, dass es mit seinem CEO oder Chef spricht, wird es die Anfrage wahrscheinlich nicht ablehnen.

Betrüger haben bereits künstliche Intelligenz eingesetzt, um Mitarbeiter davon zu überzeugen, dass sie mit ihrem Chef am Telefon sprechen. Durch das Hinzufügen des Videoelements wird es noch schwieriger zu erkennen, dass sie tatsächlich mit Betrügern sprechen.

Das FBI hat bereits davor gewarnt, dass Cyberkriminelle Deepfakes verwenden, um sich für IT-Support-Jobs zu bewerben, die den Zugang zu sensiblen persönlichen Daten von Mitarbeitern und Kunden ermöglichen, die gestohlen und ausgenutzt werden könnten.  Die Behörde betont, dass Hacker Deepfakes und andere KI-generierte Inhalte für ausländische Geheimdienstoperationen nutzen.

Dank des technologischen Fortschritts wird es immer schwieriger, Deepfake-Inhalte von echten Videos zu unterscheiden. Das FBI hat Ratschläge herausgegeben, wie man ein Deepfake erkennen kann, z. B. an der Verzerrung des Videos, an seltsamen Kopf- und Rumpfbewegungen sowie an Synchronisationsproblemen zwischen Gesicht und Lippenbewegungen und dem dazugehörigen Ton.

Deepfakes könnten sich jedoch leicht zu einem neuen Einfallstor für Internetkriminalität entwickeln, und es wird ein echter Kampf sein, den Trend einzudämmen. Es ist durchaus möglich, dass Unternehmen neue Regeln für die Authentifizierung von Entscheidungen in Online-Meetings aufstellen müssen. Es ist auch eine Herausforderung für die Authentizität der Fernarbeit.

Je mehr Unternehmen und ihre Mitarbeiter sich der potenziellen Risiken bewusst sind, die von bösartigen Deepfakes ausgehen, desto einfacher wird es sein, sich vor Angriffen zu schützen – andernfalls sind wir in Schwierigkeiten.