A sürgős átutalást kérő hamis vezetői levél és telefonhívás régi csalási módszer. A generatív AI két eszközt tett mellé: a hangklónozást, amellyel rövid felvételekből megtanult hangon bármilyen szöveg kimondható, és a videós deepfake-et, amely egy ember arcát és mimikáját egy másik ember mozgására ülteti rá. Az FBI internetes bűnözéssel foglalkozó központja (IC3) 2024 decemberében nyilvános figyelmeztetésben írta le, hogy a csalók generatív AI-val készült hangot és videót használnak hozzátartozók, cégvezetők és hatósági személyek megszemélyesítésére.
Mit tud ma a hang- és videóhamisítás
A hangklónozó modell egy adott ember felvételeiből megtanulja a hangszínt, a hanglejtést és a beszédtempót. Két módon használható. Szövegből beszéd üzemmódban a csaló beírja a mondatot, a modell pedig a célszemély hangján felolvassa: így készül egy hangüzenet vagy egy előre megírt hívás. Valós idejű hangkonverziónál a csaló maga beszél, a rendszer pedig rövid késleltetéssel átalakítja a hangját, így élő, kérdés-felelet jellegű beszélgetés is folyhat.
A mintához nem kell semmit feltörni. Egy vezetőről általában van nyilvános felvétel: interjú, konferencia-előadás, webinárium, céges videó, közösségi médiában megosztott beszéd. Hangposta-üdvözlés vagy egy korábbi, rögzített telefonhívás is elég lehet.
A videós hamisítás élő változata webkamerás arccsere: a csaló arca helyén a hívásban a célszemély arca jelenik meg. Az ilyen kép gyors fejfordításnál, oldalnézetben, ha kéz vagy tárgy kerül az arc elé, és rossz fényviszonyok között torzulhat. A videóhívások tömörítése és alacsony felbontása viszont éppen ezeket a hibákat mossa el. Az írott rész sem okoz gondot: egy nyelvi modell hibátlan, a megszemélyesített vezető stílusát utánzó levelet ír bármilyen nyelven.
| Formátum | Tipikus felhasználás | Ahol hibázhat |
|---|---|---|
| Előre generált hangüzenet | Hangposta, üzenetküldő alkalmazás, rövid hívás | Nem tud reagálni a visszakérdezésre, a hanglejtés feszült helyzetben is egyenletes |
| Valós idejű hangkonverzió | Élő telefonhívás | Késleltetés, furcsa szünetek, hangtorzulás |
| Élő arccsere videóhívásban | „Vezetői” megbeszélés kamerával | Oldalnézet, kéz az arc előtt, gyors mozgás, fényváltás |
| Generált írott szöveg | Előkészítő vagy megerősítő levél | Legfeljebb a tartalma árulkodik |
A tipikus forgatókönyv: sürgős vezetői utasítás
A hamis vezetői hívás a social engineering egyik formája, és a lépései jól előre jelezhetők.
- Felderítés. A csaló nyilvános forrásokból összerakja, ki a pénzügyi vezető, ki indíthat utalást, kik a fő beszállítók, és mikor utazik vagy szabadságon van az, akit meg akar személyesíteni. Ilyenkor nehezebb őt közvetlenül elérni, és ez a csalónak kedvez.
- Előkészítés. Egy hasonló nevű tartományról vagy egy feltört postafiókból levél érkezik, amely bejelenti a hívást: bizalmas ügy, hamarosan keresni fogja valaki.
- A hívás. A „vezető” telefonál, vagy videóhívásba hív, ahol akár több hamis résztvevő is ül. A történet bizalmas felvásárlás, hatósági eljárás, egy elmaradt beszállítói fizetés vagy egy szerződés, amelyet még aznap le kell zárni.
- Nyomás. Szűk határidő, titoktartási kérés („erről senkinek ne szóljon”), a tekintély, és a szokásos rend megkerülése („most nem érek rá jóváhagyni a rendszerben, utalja el, utólag pótoljuk”).
- Az utalás. A pénz egy új, addig nem használt számlára megy, gyakran több részletben, ahonnan a csalók gyorsan tovább mozgatják.
Ugyanez a minta más célokra is működik. A hamis informatikus jelszó-visszaállítást vagy MFA-kódot kér az ügyfélszolgálattól, a hamis beszállító új számlaszámot jelent be, a hamis hozzátartozó pedig bajba került rokonként kér pénzt egy magánszemélytől.
Miért nem elég a fül és a szem
A legtöbben azt hiszik, hogy egy ismerős hangot felismernének. A hívás közben azonban a figyelem a tartalomra irányul, a hang technikai jegyeire alig. Ha a hang ismerős és a történet hihető, az agy kiegészíti a hiányzó részleteket, és a stressz meg a sietség ezt csak felerősíti. A telefonvonal szűk hangsávja és a hívásokban használt tömörítés ráadásul pont azokat a finom különbségeket tünteti el, amelyekből egy szintetikus hang felismerhető lenne.
A technikai jelek sem megbízhatóbbak. A hívóazonosító hamisítható, így a kijelzőn megjelenhet a vezető valódi száma is. A levél jöhet a vezető valódi, de feltört postafiókjából. A deepfake-et felismerő szoftverek élő hívásban is csak valószínűséget adnak, és a generáló modellek fejlődésével folyamatosan újra kell tanítani őket. Az eredményük egy jelzés a sok közül, döntést nem lehet rá alapozni.
Vannak árulkodó jelek, és érdemes ismerni őket:
- a hívó kitér a visszahívás elől, vagy ragaszkodik egy új telefonszámhoz;
- a kamera nem kapcsol be, csak rövid időre, vagy a kép „akadozó hálózatra” hivatkozva rossz minőségű;
- egy váratlan kérdés után feltűnően hosszú a szünet, vagy a válasz nem illik a kérdéshez;
- a háttérzaj gyanúsan tiszta vagy éppen túl erős;
- a kérés eltér attól, ahogy az adott vezető máskor intézi az ilyen ügyeket.
Ezek hiánya viszont semmit nem bizonyít. A védekezést ezért oda kell tenni, ahol a hang és a kép hitelessége nem számít: magába az ügymenetbe.
Folyamatkontrollok: visszahívás, kontrollkérdés, kettős jóváhagyás
Egy folyamatkontroll akkor véd a deepfake ellen, ha a csaló akkor sem tudja teljesíteni, ha a hangja és az arca tökéletes. A bevált elemek egyszerűek, a nehézség az, hogy kivétel nélkül kell alkalmazni őket.
Visszahívás ismert számon
Minden pénzmozgással, számlaszám-változással, jelszó-visszaállítással vagy jogosultságadással járó kérést egy másik, független csatornán kell megerősíteni. A gyakorlatban ez azt jelenti, hogy a kérést kapó leteszi a telefont, és a belső telefonkönyvben vagy a beszállítói törzsadatban rögzített számon visszahívja a kérőt. A hívásban, a levélben vagy a csevegőüzenetben megadott szám erre nem használható, mert azt a csaló adta meg.
Kontrollkérdés és kódszó
A pénzügyi döntésre jogosult vezetők és a pénzügy munkatársai előre megegyezhetnek egy kódszóban vagy egy kontrollkérdésben, amelyet szokatlan kérésnél használnak. A válasz ne legyen kikövetkeztethető nyilvános adatból, közösségi médiából vagy a szervezeti ábrából, ne kerüljön levélbe vagy csevegésbe, és cserélni kell, ha valaki távozik a körből. Az IC3 említett figyelmeztetése a családoknak is ugyanezt ajánlja: egy titkos szót, amelyet csak a család ismer.
Kettős jóváhagyás
Egy értékhatár felett az utalást két ember hagyja jóvá, és ezt a banki vagy a pénzügyi rendszer technikailag is kikényszeríti. Aki a kérést rögzíti, az nem lehet jóváhagyó. Az új kedvezményezett felvétele vagy egy meglévő bankszámlaszámának módosítása külön folyamat legyen, saját jóváhagyással és ellenőrző visszahívással, mielőtt az első utalás elindul.
Szóbeli utasítás önmagában nem elég
Írásban rögzített szabály legyen, hogy telefonhívás vagy videóhívás önmagában nem indíthat utalást és nem módosíthat törzsadatot. Az informatikai ügyfélszolgálaton ugyanez érvényes: hang alapján senkinek nem állítanak vissza jelszót és nem regisztrálnak új MFA-eszközt, csak a rögzített azonosítási eljárás után. Hogy melyik MFA-módszer mennyire ellenálló az ilyen trükkökkel szemben, azt az MFA-típusokról szóló cikk részletezi.
Mit tanítson erről egy tudatossági képzés
A képzés célja, hogy mindenki fejből tudja, melyik helyzetben kell letenni a telefont és visszahívni, kit, milyen számon, és kinek kell szólni utána. Egy rövid bemutató, amely a résztvevő vezető hozzájárulásával készült klónozott hangot játssza le, megmutatja, mennyire hihető a technika. Utána szerepjátékban gyakorolják a visszahívást: az egyik résztvevő sürgős utalást kér, a másik leteszi a telefont, és a rögzített számon ellenőrzi a kérést.
A célcsoportok:
- pénzügy és beszerzés: utalás, új kedvezményezett, számlaszám-változás;
- HR és bérszámfejtés: a munkatárs bankszámlaszámának „sürgős” cseréje;
- informatikai ügyfélszolgálat: jelszó-visszaállítás és új MFA-eszköz kérése hívásban;
- vezetői asszisztensek: ők gyakran a vezető nevében intéznek ügyeket, ezért rájuk hivatkozik a csaló;
- maguk a vezetők: az ő nyilvános felvételeikből készül a minta, és az ő példájukon múlik, hogy a szabályt komolyan veszik-e.
A hangalapú csalási gyakorlatot (vishing-szimulációt) előre egyeztetett szabályokkal, a vezetés jóváhagyásával érdemes futtatni. Az eredménynek a folyamat hiányosságait kell megmutatnia, egyes munkatársak megszégyenítése nélkül. Fontos az is, hogy a gyanús hívást egyszerű legyen bejelenteni: egy ismert telefonszám vagy postafiók, ahová bármikor lehet szólni. Ugyanide jelezhető a gyanús levél is, a levélben érkező adathalászatról külön cikk szól.
Ha gyanús a hívás
- Ne utaljon, ne adjon meg kódot, jelszót vagy számlaszámot a hívás alatt.
- Udvariasan zárja le a beszélgetést, például azzal, hogy visszahívja. A valódi vezető ezt megérti.
- Hívja vissza a kérőt a belső telefonkönyvben vagy a törzsadatban rögzített számon, és kérdezzen rá a kérésre.
- Jelezze az esetet a biztonsági vagy informatikai felelősnek és a pénzügy vezetőjének, akkor is, ha nem történt kár. Lehet, hogy mások is kaptak hasonló hívást.
- Őrizze meg a nyomokat: a hívásnaplót a számmal és az időponttal, a kapcsolódó leveleket teljes fejléccel, a hangüzenetet vagy a csevegést.
- Ha a pénz már elment, azonnal hívja a bankot, és kérjen visszahívási kérelmet az utalásra. Itt percek számítanak, mert a csalók gyorsan továbbutalják az összeget. Utána tegyen feljelentést a rendőrségen.
- Ha a hívásban hitelesítő adat hangzott el, azonnal változtassák meg a jelszót, vonják vissza az aktív munkameneteket, és ellenőrizzék a fiókhoz tartozó MFA-eszközöket.
A megszemélyesített vezetőt is értesíteni kell, mert a hangja vagy a neve egy következő kísérletben is felbukkanhat, és ő tudja leginkább, mely nyilvános felvételei szolgálhattak mintául.
Kapcsolódó szolgáltatás: Biztonsági és AI-használati tréning →
