8 luglio 2022
Nel giugno del 2022, l'FBI ha pubblicato un annuncio di servizio pubblico per mettere in guardia le organizzazioni da un nuovo rischio per la sicurezza informatica: i dipendenti "deepfake". Secondo l'avviso, c'è stato un aumento dei criminali informatici che hanno utilizzato "deepfake e informazioni personali rubate (PII) per candidarsi a una serie di posizioni lavorative a distanza e a domicilio".
I deepfake sono video o immagini creati con software basati sull'intelligenza artificiale per mostrare persone che dicono e fanno cose che non hanno detto o fatto. In questo caso, gli aggressori utilizzavano le PII per rubare le identità e creare deepfakes con l'obiettivo di assicurarsi un lavoro.
L'FBI ha riferito che gli aggressori hanno utilizzato dei deepfake per candidarsi a ruoli di "tecnologia dell'informazione e programmazione informatica, database e funzioni legate al software".
Perché i criminali usano i deepfake per candidarsi al lavoro?
I criminali informatici utilizzano sempre più spesso i deepfakes per commettere reati online. Ad esempio, i deepfake possono essere utilizzati per dare credibilità a identità sintetiche, dove il criminale crea persone false che non esistono. I deepfake possono anche essere utilizzati per l'acquisizione di account, dove un deepfake di una persona reale viene utilizzato per accedere ai suoi account.
In entrambi i casi, l'obiettivo è di solito il guadagno finanziario: aprire una carta di credito e consumarla al massimo, oppure rubare denaro dal conto di qualcuno.
Allora perché usare un deepfake per acquisire un ruolo nel settore tecnologico? Non si tratta solo di uno stipendio mensile. La vera minaccia è che, assicurandosi un ruolo tecnologico all'interno dell'azienda, l'aggressore ha accesso a "PII dei clienti, dati finanziari, database IT aziendali e/o informazioni proprietarie", secondo l'FBI.
Gli aggressori possono quindi utilizzare i dati rubati per chiedere un riscatto all'azienda o per effettuare ulteriori attacchi.
Come facciamo a sapere dei dipendenti di Deepfake?
L'FBI è venuta a conoscenza di questi episodi di frode quando ha ricevuto diverse denunce IC3 (Internet Crime Complaint Center) da parte delle organizzazioni che effettuavano i colloqui. I denuncianti hanno riferito di aver rilevato spoofing e video deepfake durante le conversazioni con i candidati. Durante le telefonate accadevano cose strane, come la bocca e le labbra che non si allineavano con le parole pronunciate sullo schermo.
Questi deepfake sembrano quindi piuttosto facili da individuare. Ma non dimentichiamo che questi sono i tentativi di deepfake falliti. Ciò che non è chiaro dall'annuncio è quanti siano riusciti.
Le interviste video possono individuare un Deepfake?
La pandemia globale non ha fatto nascere il lavoro a distanza, ma lo ha certamente reso più comune. Con l'introduzione di misure di allontanamento sociale, i lavoratori di tutto il mondo hanno sostituito l'ufficio con la casa.
Sebbene in molti Paesi le norme sulla distanza sociale siano ormai un ricordo del passato, il lavoro a distanza non lo è affatto.
Il lavoro a distanza comporta vantaggi concreti. Per i datori di lavoro, amplia il bacino dei talenti. Barriere come la distanza geografica non sono più un problema. I responsabili delle assunzioni possono reclutare i migliori talenti in qualsiasi parte del mondo si trovino.
Inoltre, i dipendenti vogliono lavorare da remoto. Secondo un'indagine del Pew Research Centre, il 61% dei lavoratori statunitensi ha dichiarato di lavorare da remoto per scelta.
Ma alle opportunità si aggiungono anche le minacce. La natura stessa del lavoro a distanza crea una distanza tra il datore di lavoro e il dipendente. Potrebbero non incontrarsi mai di persona. Diventa molto difficile verificare che una persona sia chi dice di essere quando si candida per un ruolo.
Si potrebbe pensare che parlare con qualcuno attraverso una videochiamata risolva questo problema. Di certo, come esseri umani, siamo abbastanza abili da distinguere tra un essere umano reale e una sua imitazione digitale.
Ma non è così. L'ascesa di deepfake sempre più convincenti ha minato la nostra capacità di distinguere con successo una persona reale da un deepfake. Pertanto, affidarsi alle nostre capacità - o a quelle dei nostri colleghi - per fare questa distinzione crea un rischio. Ciò mette in discussione anche l'efficacia di qualsiasi tipo di intervista video come misura di sicurezza. L'occhio umano può essere falsificato. Possiamo essere del tutto sicuri che la persona con cui stiamo parlando sia reale?
Anche i deepfake stanno diventando più facili da produrre. Con un semplice plug-in, gli aggressori possono creare il cosiddetto "deepfake in tempo reale". Ciò comporta la sovrapposizione di immagini per distorcere un video. Questo video può poi essere trasmesso in streaming nei canali di comunicazione delle chiamate di videoconferenza.
La natura rapida, facile e conveniente dei deepfake e dei deepfake in tempo reale fa sì che essi rappresentino un metodo scalabile per commettere attività fraudolente. Poiché continuiamo a lavorare e ad assumere persone da remoto, i criminali informatici svilupperanno deepfakes sempre più convincenti per ottenere l'accesso alle posizioni lavorative.
In che modo l'autenticazione biometrica può aiutare i datori di lavoro a combattere le falsificazioni profonde?
I datori di lavoro di tutti i settori dovrebbero preoccuparsi di questa crescente minaccia. Ma c'è una soluzione.
La tecnologia biometrica facciale può essere utilizzata per verificare che una persona sia quella che dichiara di essere quando svolge un'attività online, come l'apertura di un conto bancario o la candidatura per un lavoro.
In questo caso, il richiedente può verificare se stesso quando presenta la domanda. Potrebbe scansionare un documento d'identità con foto, come la patente di guida, il passaporto o la carta d'identità, e poi scansionare il proprio volto per dimostrare di essere chi dice di essere.
Tuttavia, questo non prova che siano reali. Un volto non può essere rubato, il che rende la biometria molto sicura, ma un volto può essere copiato con una fotografia o un deepfake.
Per proteggersi dai deepfake, è necessario verificare che una persona sia quella giusta, ma che sia anche una persona reale e che si stia autenticando in questo momento.
Può la Liveness rilevare i dipendenti Deepfake?
Liveness è una forma di verifica facciale in grado di rilevare se il volto presentato alla telecamera è un essere umano reale e in carne e ossa. Rileva inoltre se si tratta della persona corretta.
Il rilevamento della vivacità, quindi, può individuare se qualcuno sta presentando alla telecamera un'immagine, una registrazione o una maschera della vittima. Può anche identificare un deepfake se viene presentato alla telecamera.
Ciò che la liveness non può fare, tuttavia, è proteggere dagli attacchi scalabili iniettati digitalmente. Questi attacchi possono aggirare completamente i sensori del dispositivo. Scoprite come funzionano gli attacchi iniettati digitalmente.
Come può la Liveness dinamica rilevare i deepfakes?
La Dynamic Liveness è l'unico modo per verificare che un individuo remoto, che sta affermando la propria identità, sia la persona giusta, una persona reale e che si stia autenticando in questo momento.
Dynamic Liveness è in grado di identificare se un individuo che afferma la propria identità è un essere umano reale. Ma è anche in grado di rilevare gli attacchi iniettati digitalmente, ovvero quelli che spesso utilizzano deepfakes per bypassare i sensori del dispositivo e falsificare il sistema.
Mentre le soluzioni di liveness di base sono in grado di proteggere dalle minacce note, per lo più quelle di presentazione (artefatti fisici e digitali mostrati su uno schermo), la liveness dinamica offre difese contro gli attacchi di iniezione digitale sintetica noti, nuovi e in evoluzione.
Ciò avviene grazie alla tecnologia Flashmark™ di iProov, che illumina il volto dell'utente remoto con una sequenza di colori unica e randomizzata. Questo riduce il rischio di replay o di manipolazione sintetica, impedendo lo spoofing.
La minaccia Deepfake: Una corsa agli armamenti
Man mano che i deepfakes diventano più sofisticati, anche la sicurezza biometrica utilizzata per combatterli dovrebbe essere più sofisticata.
In iProov utilizziamo la tecnologia di apprendimento automatico, le persone e i processi per rilevare e bloccare gli attacchi informatici, compresi i deepfake. Così facendo, impariamo costantemente da questi attacchi. Questo ci aiuta a prevenire frodi, furti, riciclaggio di denaro e altri gravi reati online, oggi e domani.
Applicazioni di lavoro deepfake: Una sintesi
- L'FBI ha avvertito che i criminali usano i deepfakes per candidarsi a lavori tecnologici a distanza.
- Assicurandosi una posizione all'interno di un'organizzazione, il criminale ottiene l'accesso ai sistemi e alle informazioni personali che possono portare a furti di dati e riscatti.
- Il lavoro a distanza è destinato a rimanere. Ma la conduzione di interviste video non è un metodo efficace per individuare i deepfakes, poiché l'occhio umano può essere ingannato.
- Se le organizzazioni vogliono continuare ad assumere da remoto, devono mettere in atto misure di salvaguardia per verificare che i candidati siano chi dicono di essere.
- La Dynamic Liveness di iProov e l'impegno nella lotta ai deepfakes e ad altri attacchi sintetici o iniettati digitalmente mitigano questi rischi.
Se volete saperne di più su come iProov può aiutarvi a proteggervi dai crimini deepfake utilizzando la tecnologia biometrica facciale, scaricate oggi stesso il nostro rapporto completo Work From Clone:
