Cuộc gọi video không còn là bằng chứng: cách deepfake đánh sập lòng tin doanh nghiệp

Vào tháng 1 năm 2024, một nhân viên tại văn phòng Hồng Kông của công ty kỹ thuật Arup (Anh) đã nhận được một email được cho là từ giám đốc tài chính, có ghi chú về một giao dịch bí mật. Nhân viên này đã nghi ngờ, nhưng sau cuộc gọi video có sự xuất hiện của các bản sao tổng hợp của giám đốc và đồng nghiệp, anh ta không còn nghi ngờ nữa và đã thực hiện mười lăm khoản chuyển tiền với tổng số tiền khoảng 25,6 triệu đô la trong một ngày. Giám đốc thông tin (CIO) của Arup, Rob Greig, sau đó tiết lộ rằng ông đã tạo ra một bản deepfake của chính mình trong thời gian thực chỉ trong 45 phút bằng phần mềm mã nguồn mở, cho thấy mức độ dễ dàng tiếp cận công nghệ này. Nhân viên này đã hành động đúng khi cố gắng xác minh yêu cầu, nhưng anh ta đã thay đổi kênh liên lạc chứ không phải nguồn tin cậy, vì cả email lẫn cuộc họp video đều bị kiểm soát bởi cùng một nhóm tội phạm. Các chuyên gia từ Garda và Đại học Công nghệ Thông tin và Truyền thông MIREA (RTU MIREA) dự đoán rằng các cuộc tấn công sẽ chuyển từ các video đã được dựng sẵn sang việc thay thế giọng nói và hình ảnh trong thời gian thực. Bài báo đề xuất sáu nguyên tắc bảo vệ: tính bí mật của yêu cầu phải gây nghi ngờ; xác nhận các mệnh lệnh bất thường qua một kênh độc lập có sự tham gia của người thứ hai; quy trình đa yếu tố cho các giao dịch lớn; ghi lại bằng văn bản các quyết định không thể được đưa ra chỉ dựa trên một cuộc gọi; áp dụng logic tương tự cho đời sống cá nhân; và nhận thức rằng video và giọng nói không còn là bằng chứng độc lập. Bài báo cũng chỉ ra rằng tường lửa thế hệ mới (NGFW) không thể phát hiện deepfake trong luồng video được mã hóa, do đó việc bảo vệ phải được xây dựng trên cách tiếp cận đa lớp, bao gồm các quy định tài chính.