最近几年，越来越多的 Deepfake 攻击正在显着改变组织、金融机构、名人、政治人物甚至普通人的威胁格局。Deepfakes 的使用将商业电子邮件泄露 (BEC) 和身份验证绕过等攻击提升到新的水平。
这些攻击成功有几个先决条件和原因：
- 所有的技术支柱都已到位。生成 deepfake 的源代码是公开的，任何愿意使用它的人都可以使用。
- 公开可用图像的数量足以让不良行为者使用深度伪造技术创建数百万个假身份。
- 犯罪集团是此类技术的早期适应者，并定期讨论使用 deepfake 技术来提高现有洗钱和货币化计划的有效性。
- 我们看到在较新的攻击场景中实施深度伪造的趋势，例如在社会工程攻击中，深度伪造是关键的技术推动因素。
让我们来看看这一新兴趋势近年来是如何发展和演变的。
deepfake 促销诈骗中的身份被盗
在新闻和社交媒体网站上看到名人的图像用于可疑的搜索引擎优化 (SEO) 活动已变得很常见。通常，广告在某种程度上与所选名人的专业知识相关，并且专门设计用于诱使用户并让他们选择图片下方的链接。
例如，图 1 显示了 2022 年 9 月 13 日在德国新闻网站 N-TV 上拍摄的广告截图。我们看到广告以知名人士为特色，他们可能不知道他们的图像正在被使用。如果用户选择这些广告，就会出现一个带有汽车广告的页面（如图右侧所示）。选择类似的广告会导致另一个促销页面（如图 2 所示）。
多年来，不法广告集团一直在不同的货币化方案中使用此类媒体内容。然而，最近我们看到了这些广告的有趣发展，以及支持这些活动的技术发生了变化。
最近，一些数字媒体和 SEO 货币化团体一直在使用公开共享的媒体内容来创建名人的 deepfake 模型。这些团体在未经名人和影响者同意的情况下使用他们的角色，为不同的促销活动分发 deepfake 内容。
图 3 突出显示了一个这样的例子。在 Meta 上看到了网络安全专家Chris Sistrunk的促销活动。值得注意的是，他既不是宣传活动中产品的代言人，也没有说出广告视频中的任何内容。
该博客的一位作者还看到了合法且流行的移动应用程序中的广告，这些广告不仅使用静态图像，还使用 Elon Musk 的 deepfake 视频来宣传“金融投资机会”。
Deepfakes的下一个升级是在冒充知名人士的同时进行视频通话的能力。
deepfake 服务的话题在地下论坛上非常流行。在这些讨论组中，我们看到很多用户的目标是网上银行和数字金融验证。对这些服务感兴趣的犯罪分子很可能已经拥有受害者身份证明文件的副本，但他们还需要受害者的视频流来窃取或创建帐户。这些帐户以后可能会用于洗钱或非法金融交易等恶意活动。
地下的 Deepfakes
使用验证工具和技术的地下犯罪攻击经历了显着的演变。例如，我们看到帐户验证服务已经可用了很长一段时间。然而，随着电子商务使用现代技术和在线聊天系统进行身份验证，犯罪分子也在发展他们的技术并开发出绕过这些验证方案的新方法。
在 2020 年和 2021 年初，我们已经看到一些地下论坛用户正在寻找加密货币交易所和个人账户的“deepfake 专家”。
事实上，一些用于 deepfake 制作的工具已经在网上提供了一段时间，例如在 GitHub 上。我们还看到，deepfake 和 deepfake 检测的工具已经在地下论坛引起了人们的关注。
最近，一则新闻报道称加密货币交易网站 Binance 的一名通信主管被深度伪造。该假币用于在 Zoom 通话中欺骗加密货币项目的代表。
如图 7 所示，它显示了来自图 6 中同一地下线程的对话，讨论了如何使用 deepfakes 绕过 Binance 验证。2021年以来，用户一直在想方设法打通币安的面对面识别。
在工具方面，也有易于使用的机器人，它们使创建深度伪造视频的过程更加容易。一个例子是 Telegram 机器人 RoundDFbot。
这些 deepfake 视频已经被用来给公众人物制造麻烦。名人、高级政府官员、知名企业人物以及其他在网上拥有许多高分辨率图像和视频的人最容易成为攻击目标。我们看到，使用他们的面部和声音进行的社会工程诈骗已经在激增。
鉴于工具和可用的深度造假技术，我们可以预期会看到更多旨在通过语音和视频造假来操纵受害者的攻击和诈骗。
Deepfakes 如何影响现有的攻击、诈骗和货币化方案
Deepfakes 可以被犯罪分子用于当前的恶意活动，我们已经看到了这些攻击的第一波。以下是我们在不久的将来可以预期的现有攻击和攻击的列表：
• Messenger 诈骗。多年来，冒充资金经理打电话进行转账一直是一种流行的骗局，现在犯罪分子可以在视频通话中使用 deepfakes。例如，他们可以冒充某人并联系他们的朋友和家人以请求转账或要求对他们的电话余额进行简单的充值。
•商务英语。即使没有 deepfakes ，这次攻击也已经相当成功了。现在，攻击者可以在通话中使用虚假视频，冒充高管或业务合作伙伴，并请求转账。
•做账。犯罪分子可以使用 deepfakes 绕过身份验证服务，并使用被盗身份证件的副本代表他人在银行和金融机构甚至政府服务中创建帐户。这些罪犯可以使用受害者的身份并绕过通常通过视频通话完成的验证过程。此类帐户以后可用于洗钱和其他恶意活动。
•劫持账户。犯罪分子可以接管需要使用视频通话进行身份验证的帐户。他们可以劫持金融账户并简单地提取或转移资金。一些金融机构要求在线视频验证才能在网上银行应用程序中启用某些功能。显然，此类验证也可能成为深度伪造攻击的目标。
•勒索。使用 deepfake 视频，恶意行为者可以创建更强大的勒索和其他与勒索相关的攻击。他们甚至可以植入使用 deepfake 技术创建的假证据。
•虚假宣传活动。Deepfake 视频还可以创建更有效的虚假宣传活动，并可用于操纵公众舆论。某些攻击，如拉高出货计划，依赖于来自知名人士的消息。现在可以使用 deepfake 技术创建这些消息。这些计划肯定会产生财务、政治甚至声誉方面的影响。
•技术支持诈骗。Deepfake 参与者可以使用虚假身份对毫无戒心的用户进行社会工程，使其共享支付凭证或获得对 IT 资产的访问权限。
•社会工程攻击。恶意行为者可以使用 deepfakes 来操纵被冒充者的朋友、家人或同事。因此，社会工程攻击（例如凯文·米特尼克 (Kevin Mitnick ) 因发动的攻击而闻名）可能会出现新的变化。
•劫持物联网(IoT) 设备。使用语音或面部识别的设备，如亚马逊的 Alexa 和许多其他智能手机品牌，将成为 deepfake 犯罪分子的目标名单。
结论和安全建议
我们已经看到第一波使用 deepfakes 进行的犯罪和恶意活动。但是，由于以下问题，未来可能会发生更严重的攻击：
- 社交媒体上曝光的内容足以为数以百万计的人创建 deepfake 模型。每个国家、城市、村庄或特定社会群体的人们都将他们的社交媒体暴露给世界。
- 所有的技术支柱都已到位。实施攻击不需要大量投资，攻击不仅可以由国家和公司发起，也可以由个人和小型犯罪集团发起。
- 演员们已经可以冒充和窃取政客、C 级高管和名人的身份。这可能会显着提高某些攻击的成功率，例如金融计划、短暂的虚假宣传活动、舆论操纵和敲诈勒索。
- 普通人的身份可以从公开曝光的媒体中被盗或重新创建。网络罪犯可以从冒充的受害者那里窃取或使用他们的身份进行恶意活动。
- Deepfake 模型的修改可能导致从未存在过的人的身份大量出现。这些身份可用于不同的欺诈方案。这种现象的迹象已经在野外被发现。
个人和组织可以做些什么来解决和减轻深度伪造攻击的影响？我们为普通用户以及使用生物识别模式进行验证和身份验证的组织提供了一些建议。其中一些验证方法也可以自动化并广泛部署。
- 多因素身份验证方法应该是任何敏感或关键帐户身份验证的标准。
- 组织应根据三个基本因素对用户进行身份验证：用户拥有的东西、用户知道的东西以及用户的身份。确保明智地选择“某物”项目。
- 金融机构需要通过相关样本进行人员意识培训和了解你的客户 (KYC) 原则。Deepfake 技术并不完美，组织的员工应该留意某些危险信号。
- 社交媒体用户应尽量减少高质量个人图像的曝光。
- 对于敏感账户（例如银行或公司资料）的验证，用户应优先使用不太向公众公开的生物识别模式，如虹膜和指纹。
- 需要对政策进行重大更改才能更大规模地解决该问题。这些政策应解决当前和以前暴露的生物识别数据的使用问题。他们还必须考虑现在的网络犯罪活动状况，并为未来做好准备。
Deepfake 技术的安全隐患和使用它的攻击是真实的和破坏性的。正如我们已经证明的那样，不仅组织和 C 级管理人员是这些攻击的潜在受害者，而且普通个人也是如此。鉴于必要工具和服务的广泛可用性，技术不太成熟的攻击者和团体也可以使用这些技术，这意味着恶意行为可以大规模执行。
如若转载，请注明出处：https://www.ozabc.com/un/533942.html