Im Januar 2024 autorisierte ein Finanzmitarbeiter in Hongkong Überweisungen in Höhe von insgesamt 200 Millionen Hongkong-Dollar, etwa 25 Millionen US-Dollar, nachdem er an einer vermeintlichen Videokonferenz mit leitenden Führungskräften teilgenommen hatte.
Die Polizei von Hongkong erklärte später, die Konferenz sei vorab aufgezeichnet und aus öffentlich verfügbaren Videoclips und Stimmen zusammengestellt worden.
In diesem Fall ging es um eine Finanztransaktion, doch das Risiko reicht weit über den Finanzbereich hinaus. Unternehmen nutzen Videoanrufe, um Bewerber zu interviewen, Kunden zu verifizieren, Kontoänderungen zu genehmigen, vertrauliche Themen zu besprechen und auf Anfragen von Führungskräften und Lieferanten zu reagieren.
Da sich das Klonen von Gesichtern und Stimmen verbessert, reicht es nicht mehr aus, eine vertraute Person auf dem Bildschirm zu sehen, um zu bestätigen, dass diese Person echt und dazu befugt ist oder live teilnimmt.
Deepfakes können in alltägliche Geschäftsinteraktionen eindringen
Die Behörden in Hongkong erklärten, der Mitarbeiter habe zunächst eine Phishing-E-Mail von jemandem erhalten, der sich als Finanzvorstand des Unternehmens ausgab. Anschließend nahm der Mitarbeiter an einer vorab aufgezeichneten Besprechung teil, die scheinbar Führungskräfte des Unternehmens umfasste, und erhielt weiterhin Zahlungsanweisungen per Instant Messaging.
Deepfake-Technologie kann sowohl Audio als auch Video manipulieren, sodass Identitätsbetrugsversuche in Anrufen, Aufzeichnungen, Remote-Meetings und anderen digitalen Interaktionen glaubwürdig wirken. Angreifer können außerdem Betrugsmaschen mit geklonten Stimmen nutzen, um Führungskräfte und Angehörige zu imitieren, sodass eine dringende Bitte klingt, als stamme sie von jemandem, dem der Empfänger bereits vertraut.
Auch bei der Personalgewinnung gibt es eine weitere Schwachstelle. Gefälschte Bewerber mit synthetischen Gesichtern, Stimmen und Nachweisen könnten versuchen, Remote-Bewerbungsgespräche zu bestehen und Zugriff auf Unternehmenssysteme, Kundeninformationen, Finanzdaten oder geschütztes Material zu erlangen.
Dasselbe Problem betrifft den Kundensupport, die Kontowiederherstellung, Lieferantenbeziehungen und vertrauliche Besprechungen. Ein geklontes Gesicht oder eine geklonte Stimme kann den Eindruck von Vertrautheit erzeugen, stellt aber keine Berechtigung fest. Jemand kann wie ein Kunde, Mitarbeiter, eine Führungskraft oder ein Geschäftspartner aussehen und klingen, ohne die dargestellte Identität tatsächlich zu kontrollieren.
Tools zur Herkunftsprüfung von Inhalten befassen sich mit einem verwandten, aber anderen Problem. C2PA Content Credentials können Informationen über die Quelle und Bearbeitungshistorie einer Datei aufzeichnen. Diese Informationen können Menschen dabei helfen, eine Aufzeichnung oder ein Bild zu prüfen, authentifizieren jedoch nicht die Person, die während eines Live-Anrufs eine Anfrage stellt.
Videoanrufe benötigen eine zweite Ebene der Identitätsprüfung
Unternehmen sollten Kommunikation und Autorisierung voneinander trennen. Ein Videoanruf kann eine Anfrage erläutern, doch für Zahlungen, Kontoänderungen, Zugriffsgenehmigungen und andere sensible Aktionen sollte eine Bestätigung über einen weiteren vertrauenswürdigen Kanal erforderlich sein.
Finanzteams sollten vor der Genehmigung einer Überweisung oder der Änderung von Bankdaten eines Lieferanten einen Rückruf unter einer bereits in einem internen Verzeichnis gespeicherten Nummer verlangen. Eine zweite Person sollte Transaktionen mit hohem Wert oder ungewöhnliche Transaktionen bestätigen. Kontaktdaten, die während des Anrufs, per E-Mail oder Nachricht übermittelt werden, sollten nicht zur Verifizierung verwendet werden.
Helpdesks sollten vor dem Abschluss von Passwortzurücksetzungen, Kontowiederherstellungen oder Änderungen an privilegierten Zugriffsrechten einen etablierten zweiten Faktor verlangen, etwa ein Hardware-Token, einen internen Genehmigungsprozess oder eine zuvor konfigurierte Authentifizierungsmethode.
HR-Teams sollten bei der Einstellung und Einarbeitung von Mitarbeitenden aus der Ferne ähnliche Kontrollen anwenden. Identitätsdokumente, Beschäftigungsnachweise und Anfragen zu Systemzugriffen sollten unabhängig überprüft und nicht allein deshalb akzeptiert werden, weil ein Bewerber überzeugend vor der Kamera aufgetreten ist.
Auch kundennahe Teams benötigen möglicherweise zusätzliche Prüfungen, bevor sie Kontaktdaten, Zahlungsmethoden oder Kontoberechtigungen ändern. Die Verifizierungsmethode sollte auf Informationen oder Systemen beruhen, die der Anrufer während des Gesprächs nicht kontrollieren kann.
Das FBI empfiehlt für Anfragen zu Kontoänderungen sekundäre Kanäle oder eine Zwei-Faktor-Authentifizierung . Kommt es zu einer betrügerischen Überweisung, sollte das Unternehmen unverzüglich sein Finanzinstitut kontaktieren, eine Rückholung der Zahlung beantragen und den Vorfall beim Internet Crime Complaint Center melden.
Unternehmen sollten jeden Prozess überprüfen, in dem ein Video- oder Sprachanruf die Identität feststellen oder eine Handlung autorisieren kann. Ein vertrautes Gesicht kann ein Gespräch unterstützen, sollte aber nicht länger allein als Beweis dienen.
Lesen Sie auch: Googles Erkennung gefälschter Anrufe unter Android nutzt die Geräteverifizierung, um vermutete KI-Sprachbetrugsmaschen zu kennzeichnen.