Il Deepfake dilaga. Ecco cosa possono fare le aziende per contrastarlo
Dei giovani si scatenano per una dance challenge su TikTok. Una coppia posta un selfie mentre è in vacanza, per aggiornare gli amici sul viaggio. Influencer in erba caricano il loro ultimo video su YouTube. Senza volerlo, ciascuno di loro sta alimentando un emergente vettore di frode che si dimostrerà particolarmente gravoso tanto per le aziende che per i consumatori: il deepfake.
Definiamo il deepfake
Il nome deepfake deriva dalla tecnologia che sta alla base: il deep learning, ovvero una sottocategoria di intelligenza artificiale (IA) che imita il modo in cui le persone acquisiscono conoscenza. Con il deep learning, gli algoritmi imparano da giganteschi set di dati, senza che sia necessaria la supervisione umana. Più grandi sono i set di dati, più accurato diventerà l’algoritmo.
Il deepfake utilizza l’IA per creare video o file audio molto convincenti che ricalcano quelli di altri: per esempio, il video di una celebrità che afferma qualcosa che in realtà non ha mai detto. I deepfake vengono realizzati per svariati motivi, alcuni legittimi, altri meno. Tra questi ci sono: la satira, l’intrattenimento, la frode, la manipolazione politica e la generazione di “fake news”.
Il pericolo dei deepfake
Il pericolo che i deepfake rappresentano per la società è reale e attuale per via del rischio associato all’essere in grado di mettere qualsiasi parola sulla bocca di persone potenti, influenti o affidabili, come politici, giornalisti o celebrità. Inoltre, i deepfake rappresentano una minaccia sempre più crescente per le aziende. L’effettivo pericolo si articola in:
- estorsione: la minaccia di pubblicare video falsati, compromettenti, di un dirigente ad esempio, al fine di acquisire accesso a sistemi aziendali, dati o risorse economiche
- frode: usare i deepfake per emulare un dipendente e/o un cliente al fine di acquisire accesso a sistemi aziendali, dati o risorse economiche
- autenticazione: utilizzare un deepfake per manipolare la verifica dell’identità o l’autenticazione basate su dati biometrici come il modello vocale o il riconoscimento facciale al fine di accedere a sistemi aziendali, dati o risorse economiche
- danni alla reputazione: creare un deepfake per danneggiare la reputazione di un’azienda e/o dei suoi dipendenti presso clienti e stakeholder
L’impatto sulle frodi
Tra i rischi associati ai deepfake, a oggi l’impatto sulle frodi è uno di quelli più preoccupanti per le aziende. Questo perché i criminali stanno utilizzando in maniera crescente la tecnologia del deepfake per compensare il minor profitto derivante dai tradizionali schemi di frode, come il phishing e il furto di account. Questi vecchi tipi di truffa sono diventati più difficili da realizzare, poiché le tecnologie anti-frode sono migliorate (ad esempio, tramite l’introduzione dell’autenticazione multifattore).
Questa tendenza coincide con l’emergere dei tool per deepfake, resi disponibili come servizio (as-a-service) sul dark web, che rendono più semplice e più conveniente per gli attaccanti lanciare tali schemi di frode, anche a fronte di competenze tecniche limitate. Coincide, inoltre, con il fatto che le persone postano volumi enormi di immagini e video sulle piattaforme dei social media: input golosi per gli algoritmi di deep learning, che diventano così sempre più convincenti.
In tal senso, vi sono tre nuove tipologie principali di frode di cui i team di sicurezza delle aziende dovrebbero tenere conto:
- Ghost fraud: un hacker utilizza i dati di una persona deceduta per creare un deepfake da usare, ad esempio, per accedere a servizi online, richiedere carte di credito o prestiti
- Synthetic ID fraud: i truffatori raccolgono dati di diverse persone per creare un’identità inesistente; questa identità viene poi usata per richiedere carte di credito o per eseguire grandi transazioni
- Application fraud: identità rubate o false vengono usate per aprire nuovi conti in banca; l’attaccante, poi, utilizza tutto il credito associato alle carte e ai prestiti
Vi sono già stati numerosi schemi di frode ad alto profilo e con un notevole impatto economico che hanno alla base i deepfake. In un caso, un truffatore ha usato la tecnologia del deepfake vocale per imitare un direttore d’azienda noto a un direttore di banca. L’attaccante è riuscito a frodare la banca per 35 milioni di dollari americani. In un altro caso, i criminali hanno usato un deepfake per imitare la voce di un amministratore delegato e chiedere il trasferimento di 220.000 euro da un suo delegato junior a un fornitore fittizio. Ecco perché i deepfake sono un pericolo reale e attuale, e le aziende devono agire ora per proteggersi.
Come difendere le aziende?
Data la crescente complessità e prevalenza delle frodi di tipo deepfake, cosa possano fare le aziende per proteggere i loro dati, le loro finanze e la loro reputazione? Ecco cinque passaggi chiave che le aziende dovrebbero attuare, oggi:
- Prevedere i deepfake nelle procedure di risposta e simulazioni. I deepfake devono essere integrati nella pianificazione degli scenari e nelle simulazioni di crisi. I programmi devono comprendere la classificazione degli incidenti e delineare chiari processi di reportistica, procedure di escalation e comunicazione, in particolare quando si tratta di attenuare il rischio per la reputazione.
- Formare i dipendenti. Esattamente come i team di sicurezza hanno formato i dipendenti nel rilevare e-mail di phishing, così dovrebbero aumentare la consapevolezza sui deepfake. Come in altre aree della cybersicurezza, i dipendenti vanno considerati come un’importante linea di difesa, in particolare dato l’uso dei deepfake per il social engineering.
- Predisporre procedure secondarie di verifica per le transazioni sensibili. Fidarsi non basta, verificare è d’obbligo. Avere metodi secondari di verifica o callback, come la tracciabilità di file audio e video, autenticazione di tipo step-up o doppio controllo.
- Stipulare un’assicurazione. Man mano che la minaccia deepfake cresce, non c’è dubbio che le assicurazioni offriranno una maggiore gamma di opzioni.
- Aggiornare la valutazione dei rischi. Integrare i deepfake nel processo di valutazione dei rischi per i canali e servizi digitali.
Il futuro dei deepfake
Negli anni a venire, la tecnologia continuerà a evolvere e diventerà sempre più difficile individuare i deepfake. Poiché sempre più persone e aziende passeranno al metaverso e al web 3.0, è probabile che gli avatar verranno usati per accedere e fruire di una vasta gamma di servizi. A meno che non vengano messe in atto protezioni idonee, questi avatar nativi digitali saranno sicuramente più semplici da falsificare rispetto agli esseri umani. È però ovvio che non migliorerà solo la tecnologia per sfruttare al meglio le frodi, ma anche quella per rilevarle. Il compito dei team di sicurezza sarà quello di restare sempre aggiornati sugli avanzamenti tecnologici per il rilevamento e su altre tecnologie innovative che aiutano a combattere questa minaccia. La meta dei deepfake è chiara: spetta alle aziende iniziare a prepararsi in tempo utile.
A cura di David Fairman, Chief Information Officer & Chief Security Officer APAC presso Netskope
chief security officer, APAC - Netskope
