खतरे के परिदृश्य को फिर से आकार देना: डीपफेक साइबर हमले यहां हैं

डीपफेक तकनीकों के उपयोग से जुड़े दुर्भावनापूर्ण अभियान कई लोगों के अनुमान से कहीं अधिक करीब हैं। इसके अलावा, उनका शमन और पता लगाना कठिन है।

साइबर अपराधियों द्वारा डीपफेक के उपयोग और दुरुपयोग के एक नए अध्ययन से पता चलता है कि प्रौद्योगिकी के व्यापक उपयोग के लिए सभी आवश्यक तत्व मौजूद हैं और भूमिगत बाजारों और खुले मंचों में आसानी से उपलब्ध हैं। ट्रेंड माइक्रो के अध्ययन से पता चलता है कि कई डीपफेक-सक्षम फ़िशिंग, व्यावसायिक ईमेल समझौता (बीईसी), और प्रचार घोटाले पहले से ही हो रहे हैं और हैं जल्दी से खतरे के परिदृश्य को फिर से आकार देना.

अब कोई काल्पनिक खतरा नहीं

ट्रेंड माइक्रो के सुरक्षा शोधकर्ता और एक के मुख्य लेखक व्लादिमीर क्रोपोटोव कहते हैं, "काल्पनिक और प्रूफ-ऑफ-कॉन्सेप्ट खतरों से, [डीपफेक-सक्षम हमले] उस चरण में चले गए हैं जहां गैर-परिपक्व अपराधी ऐसी तकनीकों का उपयोग करने में सक्षम हैं।" इस विषय पर रिपोर्ट करें कि सुरक्षा विक्रेता ने इस सप्ताह जारी किया। 

वे कहते हैं, 'हम पहले ही देख चुके हैं कि वित्तीय संस्थानों के खिलाफ हमलों, घोटालों और राजनेताओं का प्रतिरूपण करने के प्रयासों में डीपफेक को कैसे एकीकृत किया जाता है, यह डरावना है कि इनमें से कई हमले वास्तविक लोगों की पहचान का उपयोग करते हैं - अक्सर उनके द्वारा सोशल पर पोस्ट की जाने वाली सामग्री से स्क्रैप किया जाता है। मीडिया नेटवर्क।

ट्रेंड माइक्रो के अध्ययन के मुख्य निष्कर्षों में से एक है डीपफेक बनाने के लिए टूल, इमेज और वीडियो की तैयार उपलब्धता। उदाहरण के लिए, सुरक्षा विक्रेता ने पाया कि गिटहब सहित कई फ़ोरम, किसी को भी डीपफेक विकसित करने के लिए स्रोत कोड प्रदान करते हैं, जो इसे चाहता है। इसी तरह, बुरे अभिनेताओं के लिए लाखों नकली पहचान बनाने या राजनेताओं, व्यापारिक नेताओं और अन्य प्रसिद्ध हस्तियों को प्रतिरूपित करने में सक्षम होने के लिए सामान्य व्यक्तियों और सार्वजनिक हस्तियों के पर्याप्त उच्च-गुणवत्ता वाले चित्र और वीडियो उपलब्ध हैं।

डीपफेक सेवाओं और विषय पर विशेषज्ञता वाले लोगों की मांग भी भूमिगत मंचों में बढ़ रही है। ट्रेंड माइक्रो को व्यक्तिगत वित्तीय खातों को लक्षित क्रिप्टोक्यूरेंसी घोटाले और धोखाधड़ी करने के लिए इन कौशल की खोज करने वाले अपराधियों के विज्ञापन मिले। 

ट्रेंड माइक्रो ने अपनी रिपोर्ट में कहा, "अभिनेता पहले से ही राजनेताओं, सी-लेवल के अधिकारियों और मशहूर हस्तियों की पहचान का प्रतिरूपण और चोरी कर सकते हैं।" "यह वित्तीय योजनाओं, अल्पकालिक दुष्प्रचार अभियान, जनमत हेरफेर और जबरन वसूली जैसे कुछ हमलों की सफलता दर में उल्लेखनीय रूप से वृद्धि कर सकता है।"

ढेर सारे जोखिम

आम लोगों से संबंधित चोरी या फिर से बनाई गई पहचान का भी खतरा बढ़ रहा है, जिसका उपयोग प्रतिरूपित पीड़ितों को धोखा देने, या उनकी पहचान के तहत दुर्भावनापूर्ण गतिविधियों का संचालन करने के लिए किया जा रहा है। 

कई चर्चा समूहों में, ट्रेंड माइक्रो ने पाया कि उपयोगकर्ता सक्रिय रूप से बैंकिंग और अन्य खाता सत्यापन नियंत्रणों को बायपास करने के लिए डीपफेक का उपयोग करने के तरीकों पर चर्चा कर रहे हैं - विशेष रूप से वे जिनमें वीडियो और आमने-सामने सत्यापन विधियां शामिल हैं।

उदाहरण के लिए, अपराधी किसी पीड़ित की पहचान का उपयोग कर सकते हैं और बैंक खाते खोलने के लिए उनके एक डीपफेक वीडियो का उपयोग कर सकते हैं, जिसे बाद में मनी लॉन्ड्रिंग गतिविधियों के लिए इस्तेमाल किया जा सकता है। ट्रेंड माइक्रो ने कहा कि वे इसी तरह खातों को हाईजैक कर सकते हैं, फर्जी मनी ट्रांसफर शुरू करने के लिए संगठनों में शीर्ष स्तर के अधिकारियों का प्रतिरूपण कर सकते हैं या फर्जी सबूत लगा सकते हैं, ट्रेंड माइक्रो ने कहा। 

सुरक्षा विक्रेता ने नोट किया कि अमेज़ॅन के एलेक्सा और आईफोन जैसे डिवाइस, जो आवाज या चेहरे की पहचान का उपयोग करते हैं, जल्द ही डीपफेक-आधारित हमलों के लिए लक्षित उपकरणों की सूची में हो सकते हैं।

"चूंकि कई कंपनियां अभी भी रिमोट या मिश्रित मोड में काम कर रही हैं, इसलिए इसका जोखिम बढ़ गया है कॉन्फ़्रेंस कॉल में कार्मिक प्रतिरूपण जो आंतरिक और बाहरी व्यापार संचार और संवेदनशील व्यावसायिक प्रक्रियाओं और वित्तीय प्रवाह को प्रभावित कर सकता है," क्रोपोटोव कहते हैं।

ट्रेंड माइक्रो डीपफेक पर अलार्म बजाने वाला अकेला नहीं है। 125 साइबर सुरक्षा और घटना प्रतिक्रिया पेशेवरों के वीएमवेयर द्वारा किए गए एक हालिया ऑनलाइन सर्वेक्षण में यह भी पाया गया कि डीपफेक-सक्षम खतरे अभी नहीं आ रहे हैं - वे पहले से ही यहाँ हैं. उत्तरदाताओं में से 66% - 13 से 2021% ऊपर - ने कहा कि उन्होंने पिछले 12 महीनों में डीपफेक उपयोग से जुड़ी एक सुरक्षा घटना का अनुभव किया है।

"डीपफेक हमलों के उदाहरण [पहले से ही देखे गए] में सीएफओ को सीईओ वॉयस कॉल शामिल हैं एक तार हस्तांतरण के लिए अग्रणी, साथ ही कर्मचारी पासवर्ड रीसेट करने के लिए IT को कॉल करते हैं, ”रिक मैकलेरॉय, VMware के प्रमुख साइबर सुरक्षा रणनीतिकार कहते हैं।

डीपफेक अटैक और डिटेक्शन के लिए कुछ शमन कठिन है

आम तौर पर, इस प्रकार के हमले प्रभावी हो सकते हैं, क्योंकि चुनौती का समाधान करने के लिए अभी तक कोई तकनीकी सुधार उपलब्ध नहीं है, मैकलेरॉय कहते हैं। 

"डीपफेक बनाने में बढ़ते उपयोग और परिष्कार को देखते हुए, मैं इसे धोखाधड़ी और घोटाले के दृष्टिकोण से आगे बढ़ने वाले संगठनों के लिए सबसे बड़े खतरों में से एक के रूप में देखता हूं," उन्होंने चेतावनी दी। 

सबसे प्रभावी तरीका है वर्तमान में खतरे को कम करें वित्त, कार्यकारी और आईटी टीमों के बीच समस्या के बारे में जागरूकता बढ़ाना है जो इन सोशल इंजीनियरिंग हमलों के मुख्य लक्ष्य हैं। 

“संगठन चक्र को तोड़ने के लिए निम्न-तकनीकी तरीकों पर विचार कर सकते हैं। इसमें अधिकारियों के बीच एक चुनौती और पासफ़्रेज़ का उपयोग करना शामिल हो सकता है जब किसी संगठन से पैसे निकाल रहे हों या दो-चरणीय और सत्यापित अनुमोदन प्रक्रिया हो, ”वे कहते हैं।

पियानो के सह-संस्थापक और सीईओ गिल डाबा भी शमन करने के उपाय के रूप में सख्त अभिगम नियंत्रण की सिफारिश करते हैं। उनका कहना है कि किसी भी उपयोगकर्ता के पास व्यक्तिगत डेटा के बड़े हिस्से तक पहुंच नहीं होनी चाहिए और संगठनों को दर सीमा के साथ-साथ विसंगति का पता लगाने की जरूरत है।

"यहां तक ​​​​कि बिजनेस इंटेलिजेंस जैसे सिस्टम, जिन्हें बड़े डेटा विश्लेषण की आवश्यकता होती है, को केवल नकाबपोश डेटा तक पहुंचना चाहिए," डाबा ने कहा, कोई भी संवेदनशील व्यक्तिगत डेटा को प्लेनटेक्स्ट में नहीं रखा जाना चाहिए और पीआईआई जैसे डेटा को टोकन और संरक्षित किया जाना चाहिए।

इस बीच पता लगाने के मोर्चे पर, एआई-आधारित जैसी प्रौद्योगिकियों में विकास जनरेटिव एडवरसियर नेटवर्क (GAN) ने डीपफेक डिटेक्शन को कठिन बना दिया है। सीटीएम इनसाइट्स के सह-संस्थापक और प्रबंध भागीदार लू स्टाइनबर्ग कहते हैं, "इसका मतलब है कि हम 'आर्टिफैक्ट' सुराग वाली सामग्री पर भरोसा नहीं कर सकते हैं।"

उन्होंने आगे कहा कि हेरफेर की गई सामग्री का पता लगाने के लिए, संगठनों को उंगलियों के निशान या हस्ताक्षर की आवश्यकता होती है जो साबित करते हैं कि कुछ अपरिवर्तित है।

"इससे भी बेहतर यह है कि सामग्री के कुछ हिस्सों पर माइक्रो-फ़िंगरप्रिंट लें और यह पहचानने में सक्षम हों कि क्या बदला है और क्या नहीं," वे कहते हैं। "यह बहुत मूल्यवान है जब एक छवि को संपादित किया गया है, लेकिन इससे भी ज्यादा जब कोई व्यक्ति किसी छवि को पहचान से छिपाने की कोशिश कर रहा है।"

तीन व्यापक खतरे श्रेणियां

स्टाइनबर्ग का कहना है कि डीपफेक खतरे तीन व्यापक श्रेणियों में आते हैं। पहला दुष्प्रचार अभियान है जिसमें अर्थ बदलने के लिए ज्यादातर वैध सामग्री के संपादन शामिल हैं। एक उदाहरण के रूप में, स्टाइनबर्ग राष्ट्र-राज्य अभिनेताओं को सोशल मीडिया पर नकली समाचार छवियों और वीडियो का उपयोग करने या किसी ऐसी तस्वीर में डालने की ओर इशारा करते हैं जो मूल रूप से मौजूद नहीं थी - ऐसा कुछ जो अक्सर निहित उत्पाद समर्थन या बदला अश्लील जैसी चीजों के लिए उपयोग किया जाता है।

एक अन्य श्रेणी में स्वचालित पहचान टूल को बायपास करने के लिए छवियों, लोगो और अन्य सामग्री में सूक्ष्म परिवर्तन शामिल हैं, जैसे कि नॉकऑफ़ उत्पाद लोगो का पता लगाने के लिए उपयोग किए जाने वाले, फ़िशिंग अभियानों में उपयोग की जाने वाली छवियां या यहां तक ​​कि चाइल्ड पोर्नोग्राफ़ी का पता लगाने के लिए उपकरण।

तीसरी श्रेणी में सिंथेटिक या समग्र डीपफेक शामिल हैं जो कुछ पूरी तरह से नया बनाने के लिए मूल के संग्रह से प्राप्त होते हैं, स्टाइनबर्ग कहते हैं। 

"हमने इसे कुछ साल पहले ऑडियो के साथ देखना शुरू किया, वित्तीय सेवाओं के कॉल सेंटरों में वॉयसप्रिंट को हराने के लिए कंप्यूटर संश्लेषित भाषण का उपयोग करते हुए," वे कहते हैं। "वीडियो का उपयोग अब व्यापार ईमेल समझौता के आधुनिक संस्करण जैसी चीजों के लिए किया जा रहा है या किसी के द्वारा कुछ ऐसा 'कहने' के द्वारा प्रतिष्ठा को नुकसान पहुंचाने के लिए किया जा रहा है जो उन्होंने कभी नहीं कहा।"