Ingannato con il deepfake vocale: rubano 243 mila dollari

Ingannato con il deepfake vocale: rubano 243 mila dollari

Il CEO di un'azienda del Regno Unito pensava di aver a che fare al telefono con il suo superiore: è la potenza dell'intelligenza artificiale e dei software di sintesi vocale, che se usati con cattive intenzioni possono essere molto pericolosi

di pubblicata il , alle 16:41 nel canale Sicurezza
 

Il Wall Street Journal riporta la notizia del primo caso ufficialmente documentato di "vishing" o Voice Phishing: si tratta niente meno che di una frode perpetrata tramite una chiamata telefonica eseguita con una voce artificiale. In altri termini un deepfake vocale.

Un caso che è costato alla vittima - una azienda del Regno Unito che opera nel campo dell'energia - ben 243 mila dollari. La frode è stata commessa nel mese di marzo, quando i criminali ancor oggi sconosciuti hanno sfruttato l'ausilio di un software di sintesi vocale commercialmente disponibile, allo scopo di impersonale il responsabile di una società tedesca, proprietaria dell'azienda inglese poc'anzi citata. La polizia sta ancora indagando per individuare i colpevoli, mentre i nomi delle società rimaste vittima dell'operazione criminale non sono stati rivelati.

Il CEO di quest'ultima è stato raggiunto telefonicamente da quello che sembrava essere a tutti gli effetti il suo superiore: l'accento tedesco e i pattern vocali erano infatti apparsi familiari, tali da non far destare alcun sospetto. E la "voce conosciuta" ha chiesto al sottoposto di trasferire con urgenza, nel giro di un'ora, dei fondi ad un fornitore ungherese con la garanzia che la transazione sarebbe stata rimborsata immediatamente. Convinto di aver a che fare con il suo capo il CEO della società inglese ha eseguito quanto ordinatogli. E a questo punto non solo il trasferimento non è stato (ovviamente) rimborsato, ma i criminali hanno avanzato un'altra richiesta vocale per un ulteriore trasferimento con urgenza. A questo punto il CEO inglese si è opposto. I fondi trasferiti verso l'Ungheria sono poi stati spezzettati e dirottati in varie altre giurisdizioni.

Lo scorso mese di luglio il National Cyber Directorate israeliano ha emesso una nota d'avvertimento relativa ad un "nuovo tipo di cyber-attacchi" basati su tecnologie di Intelligenza Artificiale per impersonare dirigenti d'azienda di alto livello che impartiscono ordini (transazioni monetarie o altre attività dannose) agli impiegati. Il fatto che un crimine di questa precisa natura abbia già fatto la sua prima vittima dovrebbe essere motivo di preoccupazione, nonché importante campanello d'allarme per iniziare a considerare che difficilmente una vicenda come questa resterà un caso isolato.

Anzi, la probabilità maggiore è proprio che accada l'opposto: se gli attacchi basati sull'ingegneria sociale (non sai cos'è? Leggi questo articolo: La truffa corre sul conto online, ecco come) e coadiuvati da queste tecnologie avranno successo, casi come questi non potranno che aumentare di frequenza. E' verosimile supporre che le tecnologe di sintesi e imitazione vocale diverranno ancor più accurate, spingendo i criminali ad usarle a loro vantaggio per impersonare telefonicamente un'identità specifica e riuscire così ad ottenere informazioni riservate da sfruttare per eventuali mosse successive.

Lo scorso anno Pindrop, società di sicurezza specializzata proprio nella progettazione di software a contrasto delle frodi vocali, ha riscontrato una crescita del 350% in questo tipo di operazioni, con una chiamata vocale su 638 che risulta essere creata da software di sintesi.

Per ora il consiglio che si può dare è che le istruzioni vocali siano sempre verificate da istruzioni impartite tramite un altro canale di comunicazione, o comunque implementare un sistema a doppia verifica che possa assicurare che dall'altra parte della cornetta vi sia veramente colui con cui crediamo di parlare.

Resta aggiornato sulle ultime offerte

Ricevi comodamente via email le segnalazioni della redazione di Hardware Upgrade sui prodotti tecnologici in offerta più interessanti per te

Quando invii il modulo, controlla la tua inbox per confermare l'iscrizione.
Leggi la Privacy Policy per maggiori informazioni sulla gestione dei dati personali

13 Commenti
Gli autori dei commenti, e non la redazione, sono responsabili dei contenuti da loro inseriti - info
inited03 Settembre 2019, 17:08 #1
Occhio agli errori di ortografia...
pabloski03 Settembre 2019, 17:19 #2
Si ma qui parliamo di truffe di altissimo livello. Innanzitutto questi sapevano chi è il boss, chi il sottoposto, il fatto che il sottoposto abbia già in passato parlato col boss e quindi ne conoscesse la voce.

Poi hanno dovuto procurarsi ( o creare ) un software per generare deep fake. I comuni software di sintesi vocale, non imitano la voce di tizio o caio. E ovviamente si necessita d'impronte vocali del tizio da copiare, per poter addestrare la rete neurale.

Cioè ci sono mesi di preparazione dietro un attacco del genere. Robe da vere e proprie spie, non certo da hacker solitari e nemmeno organizzazioni criminali che colpiscono nel mucchio con ransomware et similia.

Considerate pure che il training di un modello deep fake richiede risorse computazionali enormi e che modelli preaddestrati praticamente non se ne trovano ( alcuni gruppi ed individui che avevano messo su servizi simili li hanno chiusi, per paura d'incappare in beghe legali ).

Cioè questi sono pezzi grossi, competenti e ben organizzati.

L'utente comune non corre rischio per ora.
megthebest03 Settembre 2019, 17:39 #3
pronto? Banchiere PincoPallino?
Sono il il Mega Direttore! mi trasferisca immediatamente 500k€ dal mio conto al conto cifrato Cayman CMvattelappesca.
ovviamente spezzettandoli in tranches da 999,99€ perche all'Agezia delle Entrate stanno facendo controlli.
Lo faccia immediatamente, merd@cci@ (Fantozzi rulez)
filippo198003 Settembre 2019, 17:54 #4
@pabloski ti quoto ed infatti anche a me è sembrato strano si parlasse di sintesi vocale in commercio ... ho la fortuna di usarle quotidianamente essendo completamente cieco e, a meno di pensare a frasi MOLTO brevi si capisce la differenza tra una voce umana ed una sintetica!

A meno di non considerare la tua giusta ipotesi, l'unica cosa che mi viene in mente è che il tizio inglese, non essendo madrelingua tedesco, abbia sentito una voce che sembrava quella del proprio superiore e abbia dato per scontato, in base a quanto detto durante la telefonata, che fosse effettivamente lui ... in ogni caso non credo rimarrà CEO ancora per molto, cioè ti chiama uno per dirti "Manda dei soldi a Tizio" e tu lo fai senza chiedere una conferma scritta (anche solo per essere sicuro di avere i dati giusti per il bonifico? BOH mi sembra veramente strano come comportamento IMHO
nyo9003 Settembre 2019, 18:46 #5
In questi casi applico sempre il buon senso e mi faccio inviare una seconda conferma, possibilmente per iscritto.
Se mi chiamassero chiederei una mail, se ricevessi una mail telefonerei. Se ricevessi una chiamata da un numero che non associo alla persona invece prima chiederei una mail e poi telefonerei al numero che conosco.
Non è un sistema infallibile e la gente mi da del paranoico, ma sono in una botte di ferro.
Apozeme03 Settembre 2019, 20:16 #6
"Proontii?" "Fantozzi, è Lei?"
Gnaffer03 Settembre 2019, 22:09 #7
C'è qualcosa che non mi torna, nella notizia originale del WSJ dicono che il CEO ha risposto al suo capo che sarebbe lo chief executive ma.. lo chief executive è appunto il CEO Quindi il CEO ha risposto al suo capo che è un altro CEO..

Flortex03 Settembre 2019, 22:19 #8
Originariamente inviato da: Gnaffer
C'è qualcosa che non mi torna, nella notizia originale del WSJ dicono che il CEO ha risposto al suo capo che sarebbe lo chief executive ma.. lo chief executive è appunto il CEO Quindi il CEO ha risposto al suo capo che è un altro CEO..



CEO della controllante tedesca?
Gnaffer03 Settembre 2019, 22:25 #9
Originariamente inviato da: Flortex
CEO della controllante tedesca?
Ahhh si, non ci avevo pensato
dakota277204 Settembre 2019, 08:11 #10
come sono sicuri che sia un sistema di sintesi vocale e non un normale
imitatore?

Devi effettuare il login per poter commentare
Se non sei ancora registrato, puoi farlo attraverso questo form.
Se sei già registrato e loggato nel sito, puoi inserire il tuo commento.
Si tenga presente quanto letto nel regolamento, nel rispetto del "quieto vivere".

La discussione è consultabile anche qui, sul forum.
 
^