30/09/2022
Por Daniel Mizael
Eu sei, esse título pode ser um pouco chamativo e até mesmo soar irreal, mas não estamos distantes dessa realidade, e vou te mostrar o porquê.
Efeito pandemia
O
home office cresceu drasticamente nos últimos anos devido a pandemia da
COVID-19. Diversas empresas que não possuíam esse modelo de trabalho passaram a
adotar esse modelo e até fazer novas contratações; uma pesquisa feita em 17
países alega que 71% dos jovens de 18 a 24 anos afirmaram preferir o home
office e que pediriam demissão caso a volta ao presencial fosse exigida.
Nesse
mesmo período, a tecnologia dos deepfakes teve um aumento e uma enorme
evolução. Emerge hoje, uma onda dos mais variados ataques que fazem o uso do
deepfake, grande parte desses ataques são voltados para o phishing e para
pregar algum tipo de desinformação.
Qual o risco para minha empresa?
Levando
em consideração o efeito que a pandemia causou nas contratações, não é incomum
que muitas empresas tenham contratado pessoas que trabalham em plataformas como
o Teams, Google Workspace e outros, sem nunca sequer terem se encontrado. E não
há nada de errado com isso, mas também deve-se ter novos cuidados na hora da
contratação.
Em março de 2021, o FBI divulgou um relatório com uma manchete declarando: “Atores maliciosos quase certamente aproveitarão o conteúdo sintético para operações de influência cibernética e estrangeira”.
“As
plataformas de comunicação empresarial são o mecanismo de entrega perfeito para
deepfakes, porque organizações e usuários confiam nelas implicitamente e operam
em um determinado ambiente”, diz McElroy.
“Esses
deepfakes podem ser difíceis de detectar, e os executivos devem ter um canal de
comunicação fora dos limites para verificar a integridade de uma mensagem antes
de confiar nela.” Diz Ciso Advisor.
Hoje, o principal risco dos deepfakes estão atrelados às contratações em setores sensíveis, como nas áreas de TI, banco de dados, programação e software. Com acesso interno a áreas tão sensíveis, os atacantes poderiam decidir o que fazer com toda sua infraestrutura, desde o uso indevido do seu produto, a destruição do mesmo, a venda e/ou sequestro de seus dados ou de código privado.
Apesar desses ataques no setor de contratação, os ataques de deepfake não estão limitados a isso! Houve casos em que atacantes conseguiram emular a voz de executivos para fazer a solicitação de transferências milionárias.
Abaixo, dois exemplos dessas situações:
Medidas de prevenção contra esse tipo de ataque
Ainda
não há um consenso na área de cyber segurança, por se tratar de um ataque novo
e extremamente sofisticado (por enquanto), não há muita informação sobre como o
evitar, mas aqui vão algumas dicas gerais:
·
Zero trust. Mesmo que não tenhamos um consenso
de regras gerais a serem seguidas nesse caso, conceitos já existentes de cyber
segurança podem ajudar a resolver esse problema. Podemos deduzir que possíveis
soluções para esse problema serão baseadas em “zero trust”, tomar decisões
baseadas em voz e vídeo não são mais seguras, para evitar isso, terão de criar
um mecanismo que não dependa desses fatores para esse tipo de confirmação.
·
Oriente sua equipe sobre a existência desse
ataque, converse e instigue as pessoas a saberem sobre isso. Treine sua equipe
contra esse tipo de ataque, principalmente aqueles que trabalham em funções
relacionadas ao pagamento de dinheiro, explicando as ameaças representadas por
deepfakes e como elas podem ser identificadas
·
Tenha uma estratégia de reação para quando esse
ataque for conhecido. Mesmo que isso não seja uma vulnerabilidade de segurança,
ter uma resposta para esse cenário é essencial para que as coisas não saiam do
controle.
·
Sabemos que emergências existem, mas se sua
empresa geralmente toma atitudes em emergência sem um processo definido, ela provavelmente
será alvo desses ataques, pois a maior parte deles é baseado em alguma “urgência”,
que leva as pessoas a agirem sem pensar.
·
Investir em ferramentas que podem ajudar na
detecção do uso dessas tecnologias.
·
Pesquise se sua clausula de seguro cobre casos
de fraude como os de “Deepfake”.
É difícil detectar imagens geradas por IA?
Um
estudo com mais de 800 participantes realizou três experimentos que
demonstraram que rostos gerados por IA conseguem alcançar mais credibilidade do
que em fotos de pessoas reais.
Abaixo,
uma demonstração das imagens mostradas no estudo
A
criação de imagens como essas ainda não são realidade no deepfake, gerar
imagens estáticas é muito mais fácil e simplista do que a técnica de
“Deepfake”, mas é uma demonstração que prova que IA’s tem a capacidade de gerar
imagens mais fidedignas do que algumas imagens reais, e com o deepfake, isso
não será diferente futuramente.
Caso
queira brincar um pouco com imagens assim, visite o site: Thispersondoesnotexist
Esse
site gera uma imagem de uma pessoa que não existe em cada atualização dele,
basta recarregar a página e verá um novo resultado.
Como detectar o uso de deepfake?
·
Evite a disseminação descontrolada de imagens pessoais
ou de entes queridos. Se você postar imagens nas redes sociais, lembre-se
de que elas podem permanecer online para sempre ou, mesmo que você decida
excluí-las, alguém pode já ter se apropriado delas.
·
Embora não seja fácil, você pode aprender a reconhecer
um deepfake. Alguns elementos ajudam: a imagem pode parecer pixelizada (ou
seja, um pouco ‘granulada’ ou borrada); os olhos das pessoas podem se
mover de forma não natural às vezes; a boca pode parecer distorcida ou
muito grande enquanto a pessoa está dizendo certas coisas; a luz e as
sombras no rosto podem parecer anormais.
·
Preste atenção nas bochechas e na testa. A pele
parece muito lisa ou muito enrugada? O envelhecimento da pele é semelhante ao
envelhecimento do cabelo e dos olhos? Os DeepFakes geralmente são incongruentes
em algumas dimensões.
·
Preste atenção aos olhos e sobrancelhas. As
sombras aparecem em lugares que você esperaria? DeepFakes muitas vezes não
conseguem representar totalmente a física natural de uma cena.
·
Preste atenção nos óculos. Existe algum brilho?
Há muito brilho? O ângulo do brilho muda quando a pessoa se move? Mais uma vez,
os DeepFakes geralmente falham em representar totalmente a física natural da
iluminação.
·
Preste atenção aos pelos faciais ou à falta
deles. Este cabelo facial parece real? DeepFakes pode adicionar ou remover
bigode, costeletas
Via:
media.mit.edu
Ataques com focos políticos
Apesar
do foco desse artigo ser para proteção empresarial, decidi ilustrar os exemplos
acima para mostrar que esses ataques são uma tendência, e não casos isolados.
Também espero que possa ajudar as pessoas a entenderem que nem tudo que se vê e
ouve é verdade, agora, nem mesmo quando saí da boca da pessoa.
Assistente de Segurança Cibernética
daniel.silva@darede.com.br
Com bastante experiência em hacking, Daniel Mizael integra a equipe de red team da área de cibersegirança da Darede, ele também possui certificações sobre segurança e recebeu duas menções honrosas do Google por reportar vulnerabilidades.
