20 août 2024
À l'ère de l'embauche à distance généralisée, un incident récent très médiatisé a mis en lumière la menace croissante d'une fraude d'identité sophistiquée au sein de la main-d'œuvre. Une importante société de cybersécurité, KnowBe4a été victime d'un stratagème élaboré dans lequel un individu a utilisé des informations d'identité volées et une imagerie améliorée par l'IA pour obtenir un poste d'informaticien à distance.
Ce cas souligne le besoin urgent de mesures avancées de vérification de l'identité pour l'intégration de la main-d'œuvre à distance - un défi que la technologie biométrique de pointe d'iProov est particulièrement bien placée pour relever.
L'incident : Quand les protocoles de recrutement traditionnels échouent
La société KnowBe4, spécialisée dans la formation à la sensibilisation à la sécurité, a découvert qu'un ingénieur logiciel à distance qu'elle avait récemment embauché était en fait un acteur de la menace nord-coréen. un acteur de la menace nord-coréen utilisant une identité américaine volée et une photographie améliorée par l'IA.. Malgré la mise en œuvre de protocoles d'embauche rigoureux comprenant des entretiens vidéo, des vérifications des antécédents et des références, la supercherie n'a été découverte qu'après que le nouvel employé a commencé à charger des logiciels malveillants sur les appareils de l'entreprise.
Cette attaque était très sophistiquée. Le pirate a utilisé une identité américaine valide mais volée et une photo améliorée par l'IA dérivée d'images de stock pour passer les protocoles d'embauche de l'entreprise. Il a même fait expédier le poste de travail à une adresse utilisée comme "ferme d'ordinateurs portables de la mule informatique" et y a accédé via un VPN pour simuler des heures de travail aux États-Unis.
Cet incident démontre le potentiel de failles de sécurité catastrophiques et met en évidence les limites des processus traditionnels d'embauche et de vérification à l'ère numérique - des dangers contre lesquels iProov a mis en garde depuis notre campagne "Work From Clone".Travailler à partir d'un clone il y a plus de deux ans (pour en savoir plus sur les escroqueries de type "deepfake", cliquez ici).
La menace Deepfake est plus qu'une tendance
Les Deepfakes Il s'agit de vidéos ou d'images générées par l'IA montrant des personnes en train de dire ou de faire des choses qu'elles n'ont jamais faites en réalité, ce qui constitue un défi de taille pour les méthodes traditionnelles de vérification de l'identité.
Bien que nous nous soyons concentrés sur les deepfakes ou l'imagerie manipulée dans le cadre professionnel, les spoofs et deepfakes d'identité sont également répandus dans d'autres domaines. Voici quelques exemples concrets :
- Politique: Les "deepfakes" deviennent un outil puissant dans les campagnes de désinformation politique, avec des implications potentielles pour la démocratie mondiale et l'intégrité des élections ; l'ère du deepfake en politique est déjà là. L'ère du deepfake politique est déjà là. Parmi les cas récents les plus médiatisés, on trouve un Biden synthétique exhortant les habitants du New Hampshire à ne pas voter lors d'une prochaine élection primaire. Ane image générée par l'IA d'une explosion au Pentagone a même provoqué une brève baisse de régime. Pentagone a même provoqué une brève baisse du marché boursier.
- Médias sociaux : Instagram et TikTok ont connu une augmentation des "avatars numériques" - des influenceurs générés par l'IA qui ne représentent pas de vraies personnes, mais qui s'engagent avec leurs adeptes comme s'ils étaient humains.
- Applications de rencontres : De plus en plus de cas de "catfishing" et d'escroquerie à l'amour ont été signalés. et d'escroqueries amoureuses utilisant des photos de profil générées par l'IA et même des "deepfakes" en temps réelIl est donc de plus en plus difficile pour les utilisateurs de faire la distinction entre les vrais et les faux profils. C'est pourquoi de nombreuses applications telles que Tinder ont introduit des mesures de vérification de l'identité.
- Escroqueries financières/de crypto-monnaies: Des vidéos "deepfake" de personnalités connues comme Elon Musk ont été utilisées pour promouvoir des systèmes de crypto-monnaies frauduleux, comme le montre la vidéo ci-dessous :
Ces exemples montrent comment les deepfakes et les technologies d'usurpation d'identité sont utilisés dans différentes sphères de la vie. En étant conscients de ces tendances générales, nous pouvons mieux nous préparer à identifier et à nous protéger contre les menaces potentielles liées aux deepfakes sur le lieu de travail.
Cet élément particulier de la fraude sur le lieu de travail fait partie d'une tendance plus large que le FBI a rendue publique. FBI a rendu publique en juin 2022où les cybercriminels utilisent des identités synthétiques - généralement la combinaison de deepfakes et d'informations personnelles identifiables (PII) volées - pour postuler à des emplois à distance.
Ajay Amlani - SVP, Head of Americas at iProov - a souligné la sophistication de ces attaques lors d'une récente interview avec IT Brew: "Il est possible de modifier son apparence lors d'un appel pour se faire passer pour n'importe qui - un homme, une femme, un enfant de 12 ans, un homme de 46 ans, un pays différent, une ethnie différente".
Cette menace est aujourd'hui plus pressante que jamais et nécessite une sécurité critique qui garantit qu'une personne donnée est bien la bonne personne, une personne réelle, qui interagit en temps réel. la bonne personne, une vraie personne, qui interagit en temps réel.
Les motivations derrière ces attaques
Si le salaire mensuel est parfois la motivation évidente, il peut y avoir un objectif bien plus sinistre. Amlani précise : "En obtenant un poste de technicien au sein de l'entreprise, le pirate a accès aux informations confidentielles des clients, aux données financières, aux bases de données informatiques de l'entreprise et/ou à des informations exclusives.
Les cybercriminels peuvent utiliser cet accès pour :
- Demander une rançon à l'entreprise
- Mener d'autres cyberattaques
- Voler la propriété intellectuelle
- Vendre des données sensibles sur le dark web
Ce qui rend ces incidents particulièrement préoccupants, c'est l'évolutivité : les deepfakes sont rapidement reproductibles (en particulier grâce aux progrès de l'IA générative). de l'IA générative), ce qui signifie qu'il est facile pour le criminel de répéter la même attaque encore et encore. Le fait d'être employé par un certain nombre d'organisations différentes peut permettre au criminel ou à son organisation criminelle de réaliser des gains financiers importants et de causer un préjudice considérable aux organisations qui l'emploient.
Les limites des méthodes de vérification actuelles (pourquoi nous ne pouvons pas nous fier uniquement à nos yeux)
De nombreuses entreprises ont recours aux entretiens vidéo dans le cadre de leur processus de recrutement à distance. Toutefois, cette méthode est de moins en moins fiable pour détecter les "deepfakes". Comme le montre l'étude d iProov, Avec un simple plug-in, les attaquants peuvent créer ce que l'on appelle un "deepfake en temps réel" ; la vidéo peut alors être diffusée dans les canaux de communication des appels de vidéoconférence. C'est également la méthode d'attaque utilisée dans l'affaire 25 $ M Arup, incident de deepfake basé sur le zoom
En outre, la capacité humaine à détecter les deepfakes est quasiment inexistante pour les deepfakes les plus sophistiqués. Une enquête d'iProov a révélé que 57 % des personnes interrogées pensaient pouvoir faire la différence entre une vraie vidéo et une deepfake. Toutefois, cette confiance est mal placée. Des études ont montré que les humains sont incapables de distinguer les vrais visages des "deepfakes". 24 % des sujets pouvaient détecter des deepfakes bien faits.
L'Institut Alan Turing Institute corroborequ'il est désormais "de plus en plus difficile, voire impossible, de distinguer de manière fiable les médias authentiques des médias synthétiques".
L'inspection humaine et les entretiens par appel vidéo ne sont pas une solution viable - la détection biométrique de l'authenticité, fondée sur des données scientifiques, est essentielle.
La solution d'iProov : La biométrie fondée sur la science
La nature même de l'intégration et du travail à distance crée une distance physique entre l'employeur et l'employé. Il se peut qu'ils ne se rencontrent jamais en personne, ce qui rend de plus en plus difficile la vérification de l'identité d'une personne lorsqu'elle postule à un poste.
Le défi de la vérification de l'identité à distance englobe également une main-d'œuvre étendue diversifiée. Les sous-traitants, les employés de la chaîne d'approvisionnement, les travailleurs saisonniers, le personnel temporaire et les autres travailleurs non salariés présentent tous des défis uniques en matière de vérification à l'ère numérique. Ces différentes catégories de personnel ont souvent une interaction physique limitée avec les organisations qu'elles soutiennent, ce qui rend la tâche encore plus difficile. Les entreprises s'appuyant de plus en plus sur une main-d'œuvre flexible et distribuée, le besoin d'une authentification à distance solide devient primordial pour tous les types de travailleurs.
Pour lutter contre cette menace en constante évolution, iProov propose une suite de solutions biométriques avec des solutions pour l'intégration et l'authentification à distance. Ces solutions vont au-delà des méthodes traditionnelles de vérification de l'identité et offrent une solution polyvalente qui peut être appliquée de manière cohérente dans l'emploi moderne.
La suite de solutions biométriques fournit :
- Protection contre les attaques de présentation : fait la distinction entre une personne réelle et une attaque par présentation, empêchant l'utilisation de photos, de vidéos ou de masques pour usurper l'identité du système.
- Protection contre les injections numériques : Il détecte les attaques par injection numérique, y compris celles utilisant des imitations profondes qui contournent les capteurs de l'appareil.
- Gestion active des menaces : détecte les menaces émergentes et y répond en temps réel, avec des mises à jour continues fournies sans aucune interruption pour le client ou l'utilisateur final.
- Les résultats d'iProov sont à la pointe de l'industrie, avec des taux de réussite de plus de 98
... et bien plus encore. En mettant en œuvre la suite de solutions biométriques d'iProov, les organisations peuvent atténuer considérablement les risques associés à la fraude en matière d'embauche à distance. Cette technologie protège non seulement contre les menaces immédiates, mais elle jette également les bases de pratiques de travail à distance sécurisées pour l'avenir.
Pour en savoir plus sur la suite de solutions biométriques Solutions biométriques iProov dans cette infographie
Vous pouvez utiliser notre Navigateur d'adoption biométrique ici pour voir si la suite de solutions iProov vous convient.
Comment ça marche : Mettre en œuvre iProov dans votre processus d'embauche
Dans un scénario d'embauche à distance, un candidat pourrait s'auto-vérifier lorsqu'il soumet sa candidature. Il numérise une pièce d'identité avec photo, telle qu'un permis de conduire ou un passeport, puis son visage pour prouver qu'il est bien celui qu'il prétend être.
La technologie d'iProov va au-delà de la simple comparaison des visages. Elle garantit que la personne n'est pas seulement celle qu'elle prétend être, mais qu'elle est aussi une personne réelle et qu'elle s'authentifie immédiatement. Cette triple approche - bonne personne, personne réelle, authentification immédiate - est essentielle pour lutter contre les fraudes d'identité sophistiquées telles que l'incident Knowbe4.
L'urgence de la menace : Protégez votre organisation dès aujourd'hui
La menace d'une fraude d'identité sophistiquée dans le cadre de l'embauche à distance n'est pas une préoccupation future - elle se manifeste dès aujourd'hui. M. Amlani prévient : "L'usurpation de l'identité d'une autre personne est un domaine de fraude en pleine expansion, en particulier pendant le processus de recrutement. De nombreux responsables de l'embauche m'ont dit qu'ils commençaient à voir ce type d'attaques venant non seulement d'individus espérant toucher plusieurs chèques de paie, mais aussi d'adversaires essayant d'accéder à leurs systèmes".
Stu Sjouwerman, fondateur et PDG de KnowBe4, a souligné l'importance de tirer les leçons de cet incident : "Si cela peut nous arriver, cela peut arriver à presque tout le monde. Ne laissez pas cela vous arriver".
Un signal d'alarme pour les organisations du monde entier
Alors que le travail à distance et l'utilisation d'une main-d'œuvre élargie continuent de se développer, les organisations doivent prendre au sérieux la menace d'une fraude d'identité sophistiquée. La mise en œuvre de processus robustes de vérification de l'identité peut réduire considérablement le risque de fraude à l'embauche et protéger contre des failles de sécurité potentiellement catastrophiques.
En tirant parti de la technologie de vérification biométrique avancée d'iProov, les entreprises peuvent naviguer dans ce paysage complexe, en garantissant l'intégrité de leur personnel et la sécurité de leurs systèmes dans un monde de plus en plus numérique. L'engagement d'iProov en faveur d'une recherche et d'un développement continus garantit que sa technologie reste à la pointe des menaces émergentes, offrant aux organisations un bouclier solide contre le paysage en constante évolution de l'usurpation d'identité.
