Brytyjskie sieci handlowe The Co-Operative Group (Co-op), Marks & Spencer (M&S) i Harrods padły ofiarą poważnych cyberataków w ciągu ostatnich kilku dni. Chociaż dokładne dane dotyczące hakera lub hakerów nie są znane, bliskość ataków sugeruje, że za wszystkie trzy ataki odpowiada jeden podmiot , prawdopodobnie grupa hakerska Scattered Spider, która została już powiązana z atakiem na M&S. Jak powinni zareagować detaliści, banki i wszyscy inni?
Taktyki hakerów detalicznych
Podczas gdy brytyjska sieć handlowa Boots jest ostatnią, która ucierpiała z powodu zakłóceń informatycznych, sprzedaż Morrisons mocno spadła w zeszłym roku w wyniku cyberataku, a Currys i JD Sports również padły ofiarą ataków, które naruszyły dane klientów. Sprzedawcy detaliczni są ewidentnie narażeni na ataki, a biorąc pod uwagę, że Marks & Spencer stracił pół miliarda funtów z powodu braku możliwości przyjmowania płatności zbliżeniowych, a Co-op pozostawił sklepy z pustymi półkami, nie można przecenić znaczenia tych ataków.
Co się dzieje? Czy działy IT mogły zostać zinfiltrowane przez północnokoreańskich pracowników zdalnych, którzy zdobyli pracę z fałszywymi danymi? Wiemy, że ci złoczyńcy są już dość wyrafinowani. Jeden z działów kadr, który przeprowadził cztery rozmowy wideo (potwierdzając zgodność kandydata ze zdjęciem ulepszonym przez sztuczną inteligencję w aplikacji) i przeprowadził dodatkowe kontrole przeszłości, które nie dały żadnych rezultatów (ponieważ użyto skradzionej tożsamości z USA), ostatecznie zatrudnił fałszywego pracownika, który natychmiast zaczął pobierać złośliwe oprogramowanie. Inna firma w końcu odkryła, że padła ofiarą skoordynowanego planu mającego na celu zapewnienie pracy zdalnej Koreańczykom z Północy i że ponad jedna trzecia całego zespołu inżynierów to Koreańczycy z Północy!
Jeśli to nie byli północnokoreańscy programiści Pythona, to czy agenci obcego mocarstwa uzyskali dostęp do nieznanego dotąd komputera kwantowego, aby złamać tajne kody i włamać się do sieci sprzedawców detalicznych, kopiując klucze prywatne i obchodząc zabezpieczenia sieci? Czy osoby z wewnątrz zwróciły się przeciwko swoim hostom i próbowały ich sparaliżować w odwecie za niechcianą zmianę warunków umowy? Czy systemy informatyczne dostarczane przez głównych dostawców zostały zhakowane przez zamaskowanych sabotażystów działających w imieniu konkurencyjnych sprzedawców detalicznych?
Nie, oczywiście, że nie. Nie chodziło o fałszywych pracowników ani hakerów łamiących kody; to był ten sam stary atak, który zdarza się wszędzie i stale. Hakerzy kontaktowali się z działem pomocy technicznej, podszywając się pod pracowników, którzy utracili hasła. Brytyjskie Narodowe Centrum Cyberbezpieczeństwa (NCSC) stwierdziło w związku z tymi atakami, że firmy powinny ponownie ocenić, w jaki sposób ich działy pomocy technicznej IT „ uwierzytelniają pracowników ” przed resetowaniem haseł, zwłaszcza w przypadku kadry kierowniczej z dostępem do kluczowych części sieci IT. Cóż, to oczywiste. To ten sam stary atak socjotechniczny, co zawsze.
Nie musi tak być. W sektorze finansowym jednym z najczęstszych zastosowań biometrii jest odzyskiwanie kont i nie rozumiem, dlaczego sprzedawcy detaliczni nie mogliby wykorzystać tej samej technologii do naprawy uwierzytelniania KYE (Know Your Employee), tak jak banki używają uwierzytelniania KYC (Know Your Customer) do przywracania dostępu do kont.
(Zobacz na przykład, co robią firmy takie jak Keyless i Anonybit.)
W swoim najnowszym raporcie rocznym firma M&S ostrzegała, że przejście na pracę hybrydową zwiększyło podatność na cyberataki. Warto zauważyć, że częścią reakcji firmy na atak było polecenie pracownikom, aby podczas spotkań zdalnych mieli włączone kamery i „sprawdzali obecność wszystkich”. Wewnętrzny e-mail wysłany do 70 000 pracowników również poinstruował ich, aby nie nagrywali ani nie transkrybowali rozmów w aplikacji Teams, sugerując, że hakerzy uczestniczyli w wewnętrznych spotkaniach i przechowywali transkrypcje, aby gromadzić informacje służące do ulepszania ataków socjotechnicznych, a także potencjalnie uzyskiwać wgląd w systemy wewnętrzne, co mogłoby ułatwić przyszłe naruszenia bezpieczeństwa.
Nowe przestępstwa, nowi przestępcy.
Wszyscy wiemy, że natura przestępczości się zmienia, a cyberprzestępcy stają się coraz sprytniejsi. Nie jestem pewien, czy włączenie kamer, choć z wielu powodów jest dobrą polityką, znacząco wpłynie na sytuację. Sztuczna inteligencja jest już w stanie tworzyć filmy z udziałem ludzi, które potrafią oszukać współpracowników, i od lat jest wykorzystywana do niecnych celów: Arup stracił 25 milionów dolarów na rzecz oszustów, którzy wykorzystali sztuczną inteligencję do podszywania się pod dyrektora finansowego firmy i instruowania podwładnego o konieczności przelania środków podczas grupowej rozmowy wideo z udziałem wielu osób. Według policji w Hongkongu „ wszyscy, których [podwładny] widział, byli fałszywi ”.
Takie deepfake'i są powszechne, nie tylko w bankowości i handlu detalicznym. Właściciel londyńskiej galerii sztuki stracił 30 000 funtów po miesiącach negocjacji w sprawie wystawy z podróbką Pierce'a Brosnana. W innym przypadku w Wielkiej Brytanii, kobieta została aresztowana po tym, jak rzekomo założyła serię peruk i kostiumów, aby zdać testy na obywatelstwo w imieniu co najmniej 14 innych osób, zarówno mężczyzn, jak i kobiet, używając „fałszywych dokumentów tożsamości”, aby uniknąć wykrycia. Właścicielka AirBnB wynajęła nieruchomość kobiecie o skradzionej tożsamości i przekazała raport referencyjny z fałszywym prawem jazdy. Następnie ukradła meble i podnajęła dom na imprezę.
Hakerzy AI, obrona AI? Nie.
Gubernator Rezerwy Federalnej Michael Barr stwierdził niedawno, że w obliczu rosnącej liczby ataków deepfake z wykorzystaniem sztucznej inteligencji, banki powinny „walczyć ogniem ogniem” i same inwestować więcej w sztuczną inteligencję. Nie zgadzam się z tym. Możliwe, że rozpoznawanie twarzy, analiza głosu i biometria behawioralna będą w stanie wykrywać ataki deepfake z wykorzystaniem sztucznej inteligencji, dopóki te podróbki nie zostaną udoskonalone. Prawdą jest, że znaczne inwestycje w sztuczną inteligencję mogłyby pomóc w obronie banków przed falą oszustw z wykorzystaniem sztucznej inteligencji, ale mogłoby to przynieść chwilową ulgę, ponieważ oszuści udoskonalają swoje metody. Ale po co iść tą drogą? Zamiast próbować przechytrzyć atakujących za pomocą sztucznej inteligencji, dlaczego nie skorzystać ze sprawdzonej i przetestowanej technologii, której nie da się podrobić: podpisów cyfrowych?
Sztuczna inteligencja kontra sztuczna inteligencja to szalony, niekończący się wyścig. Zamiast tego powinniśmy wymagać od banków, sprzedawców detalicznych, firm medialnych i wszystkich innych podmiotów lepszego wykorzystania sprawdzonej infrastruktury bezpieczeństwa, aby udaremnić ataki współczesnych hakerów uzbrojonych w deepfake'i. Jak pisałem wcześniej , można stworzyć idealnie przekonujące fałszywe wideo z Bradem Pittem, ale nie da się stworzyć idealnie przekonującego podpisu cyfrowego Brada Pitta. Zamiast prosić pracowników o zgadywanie, czy naprawdę patrzą na zastępcę asystenta dyrektora ds. rozliczeń z klientami (region północno-wschodni), czy na bota, powinniśmy zapewnić im uwierzytelnianie dwuskładnikowe zamiast haseł, weryfikowalne dane uwierzytelniające z silną autoryzacją biometryczną zamiast autoryzacji aktywacji kamery, zaszyfrowane i podpisane cyfrowo kopie oraz zabezpieczone przed manipulacją przechowywanie kluczy szyfrujących (np. w telefonach komórkowych). *Uwaga: Podpisy cyfrowe stanowią silną gwarancję autentyczności i integralności danych, co czyni je cennym narzędziem w walce z fałszerstwami.*
Możliwość dodawania komentarzy nie jest dostępna.