영상 통화는 더 이상 증거가 아니다: 딥페이크가 기업 신뢰를 해킹하는 방법

2024년 1월, 영국 엔지니어링 회사 Arup의 홍콩 사무소 직원은 재무 이사가 보낸 것으로 보이는 이메일을 받았으며, 기밀 거래에 관한 내용이었습니다. 직원은 의심했지만, 이사와 동료들의 합성 복제본이 등장한 화상 통화 후에는 의심을 멈추고 하루 만에 약 2,560만 달러에 달하는 15건의 송금을 실행했습니다. Arup의 최고 정보 책임자(CIO)인 롭 그레이그는 나중에 오픈소스 소프트웨어를 사용하여 45분 만에 실시간 딥페이크를 만들 수 있었다고 밝히며, 이는 진입 장벽이 낮음을 보여줍니다. 직원은 요청을 확인하려고 시도한 점에서 올바르게 행동했지만, 통신 채널을 변경했을 뿐 신뢰의 출처를 변경하지 않았습니다. 이메일과 화상 회의 모두 동일한 공격자에 의해 통제되었기 때문입니다. 가르다(Garda)와 RTU MIREA의 전문가들은 공격이 사전 편집된 비디오에서 실시간 음성 및 이미지 변조로 이동할 것이라고 예측합니다. 이 기사에서는 여섯 가지 보호 규칙을 제안합니다: 비밀 유지 요청은 의심을 불러일으켜야 하며, 비정상적인 지시는 제3자가 포함된 독립적인 채널을 통해 확인되어야 하고, 대규모 거래에는 다단계 절차가 필요하며, 단일 통화 결과로 내릴 수 없는 결정은 문서화해야 하고, 개인 생활에도 동일한 논리를 적용하며, 비디오와 음성이 더 이상 독립적인 증거가 아님을 인식해야 합니다. 또한 NGFW(차세대 방화벽)는 암호화된 비디오 스트림에서 딥페이크를 탐지할 수 없으므로, 금융 규정을 포함한 다층적 접근 방식으로 보호를 구축해야 한다고 지적합니다.