הפישינג המוצלח: ארגון נפל בפח והעביר כספים למתחזים

באמצעות בינה מלאכותית, רמאים הצליחו לגרום לעובדים בארגון להעביר לידיהם סכום כסף של 243,000 דולרים.

בשנה האחרונה דיברו לא מעט על בינה מלאכותית (AI) אשר באמצעותה ניתן להתחזות קולית לבכירים בארגונים ואף הזהירו מהסכנות הכלכליות שבכך. עם התפתחות הטכנולוגיות גם התקיפות נעשות מתוחכמות יותר.

כעת מתברר כי מנכ"ל פירמת אנרגיה בבריטניה חשב שהוא מציית להוראות הבוס שלו והעביר סכומים גדולים לגורם שלישי שעשה שימוש בטכנולוגיות להתחזות קולית.

לפי הדיווחים של 'The Wall Street Journal', המנכ"ל חשב שהוא מדבר עם מנכ"ל חברת האם אשר ממוקמת בגרמניה. בשיחה התבקש לשלוח כ-243 אלף שקל לגורם צד שלישי בהונגריה בתוך שעה, סכום אותו התחייבו להחזיר בהקדם האפשרי.

כמובן שהכסף לא הוחזר, ואפילו נעשה ניסיון נוסף לקבל עוד סכום כספי.

העקיצה בוצעה באמצעות תוכנת קול שמבוססת על בינה מלאכותית במטרה לרמות גורמים שונים.

התוקפים השתמשו בתוכנה הקולית וחיקו את קולו של מנכ"ל חברת האם הגרמנית של פירמת האנרגיה. העובדים אותם רימו האמינו כי הם שוחחו עם המנכ"ל והקורבן אף ציין כי האמין לקול שדיבר איתו משום ששמע בו מבטא גרמני.

ומה קרה לכסף?

תחילה הוא הועבר להונגריה ואז הועבר למקסיקו ומקומות נוספים. עדיין לא ידוע מי הגורמים שאחראים למזימה המוצלחת.

בחודש יולי האחרון מערך הסייבר הלאומי בישראל דיווח על סוג זה של מתקפת סייבר במסגרתה משתמשים בטכנולוגיית בינה מלאכותית על מנת להתחזות קולית לבכירים בארגון.

אמיר כרמי, מנהל הטכנולוגיות בחברת אבטחת המידע ESET ישראל התייחס לכך ואמר, "לצערי כלים טכנולוגיים רבים שמשמשים חברות אבטחת מידע עוברים לשימוש גם ע"י האקרים ותוקפים במרחב הקיברנטי, וכך גם המצב לגבי טכנולוגיות של בינה מלאכותית ולימוד מכונה".

לדבריו, כבר בשנת 2016 הועלו חששות לגבי התקפות של זיוף וחיקוי של קול, כאשר שוחרר פרויקט בטא שהוציאה חברת Adobe של מה שתואר כ"פוטושופ של קול" ונקרא Voco. התוכנה יודעת ללמוד הקלטות קוליות של אנשים ולחקות אותם בצורה משכנעת כאשר מקלידים טקסט ומשפטים בתוכנה.

למרות שהיא היתה אמורה לצאת השנה, בסופו של דבר התוכנה Adobe Voco לא שוחררה רשמית בגלל החששות שהועלו לגבי שימוש זדוני בה. מאז גם הופיעו תוכנות של חברות בינה מלאכותית כמו Dessa שהדגימו זיוף של קולות של ידוענים.

זה בעצם ההבדל המשמעותי מהטכנולוגיה שהיתה קיימת עד לא מזמן שאפשרה רק לחתוך ולערוך הקלטות קיימות של אדם, ולא ליצור מילים ותכנים חדשים לגמרי שנשמעים בדיוק כמוהו.

כרמי מוסיף כי חשוב מאוד לדבר עם העובדים בארגון ולהציף בפניהם את הסיכונים שקיימים בהקשר של הנדסה חברתית והכלים הקיימים. במידה ומקבלים בקשה חריגה מגורם בכיר, כדאי לבדוק בערוץ נוסף כי אכן ההוראה התקבלה ממנו. פעולות של העברת כספים חשוב להתנות באישור גורם נוסף.

מומלץ גם להגדיר נוהל של סיסמה או משפט כלשהו שידוע רק לבעלי התפקידים הרלוונטיים שתידרש כאשר מתקבלות הוראות קוליות להעברת כספים או מידע רגיש.

'בחדרי' גם ברשתות החברתיות - הצטרפו!