Birçok finans kuruluşu, çevrimiçi bankacılık uygulamalarında belirli özelliklerin etkinleştirilmesi için çevrimiçi video doğrulamasını şart koşuyor. Peki, müşterinin güvenliği için yapılan bu işlem bizzat müşterinin zararına kullanılabilir mi? Söz konusu deepfake teknolojisi ise bu çok mümkün.
Mevcut bir görüntü veya videoda yer alan bir kişinin, yapay sinir ağları kullanarak bir başka kişinin görüntüsü ile değiştirildiği bir medya türü olan deepfake dolandırıcılar tarafından son zamanlarda oldukça sık kullanılan bir araç haline geldi.
Deepfake saldırılarının giderek daha fazla ortaya çıkması, kurumlar, finans kuruluşları, ünlüler, siyasi figürler ve hatta sıradan insanlar için tehdit ortamını önemli ölçüde yeniden şekillendiriyor. Deepfake kullanımı, ticari e-postaların ele geçirilmesi (BEC) ve kimlik doğrulama atlatma gibi saldırıları yeni boyutlara taşıyor. Birçok finans kuruluşu güvenlik adına müşterilerden görüntülü arama yoluna başvurabiliyor bu da suçlular için deepfake
Bu saldırıların başarılı olmasının birçok nedeni bulunuyor. Ancak en önemlisi kamuya açık görüntülerin sayısının, kötü niyetli aktörlerin deepfake teknolojilerini kullanarak milyonlarca sahte kimlik oluşturması için yeterli olması olarak görülüyor. Ayrıca Deepfake üretimi için kaynak kodu herkese açık durumda ve isteyen herkes tarafından kullanılabiliyor.
Suç çeteleri mevcut kara para aklama ve para kazanma planlarının etkinliğini artırmak için deepfake teknolojilerinin kullanımına başvurabiliyor.
Haber ve sosyal medya sitelerinde şüpheli SEO (arama motoru optimizasyonu) kampanyalarında (arama motoru optimizasyonu) ünlü kişilerin resimlerine rastlamak oldukça yaygın bir eğilim haline geldi. Reklamların bir şekilde seçilen ünlünün uzmanlığıyla ilgili olarak kamuya sunulduğu ve kullanıcıları yemlemek ve görsellerin altındaki linklere tıklamalarını sağlamak üzere özel olarak tasarlandığı hepimizin malumu.
DARK WEB FORUMLARININ POPÜLER TARTIŞMA KONUSU: DEEPFAKE
Bir takım reklam grupları bu tür medya içeriklerini yıllardır farklı para kazanma planlarında bir araç olarak kullanmakta. Ancak son zamanlarda bu reklamlarda ilginç gelişmelerin yanı sıra bu kampanyaları mümkün kılan teknolojilerde de bir değişim görülmekte.
Son dönemde birçok dijital medya ve SEO grubu, ünlü kişilerin deepfake modellerini oluşturmak için herkese açık olarak paylaşılan medya içeriğini kullanıyor. Bu gruplar ünlülerin ve fenomenlerin kişiliklerini onların rızası olmadan kullanmakta ve deepfake içerikleri farklı tanıtım kampanyaları için dağıtmaktadır.
Deepfake konusu yeraltı forumlarında oldukça popüler. Bu tartışma gruplarında birçok kullanıcının çevrimiçi bankacılık ve dijital finans doğrulamasını hedeflediği dikkat çekmekte. Bu hizmetlerle ilgilenen suçlular muhtemelen kurbanların kimlik belgelerinin kopyalarına hali hazırda sahipler, ancak hesapları çalmak veya oluşturmak için kurbanların videolu görüntülerine de ihtiyaç duyuyorlar. Bu noktada devreye Deepfake giriyor. Bu hesaplar daha sonra kara para aklama veya yasadışı finansal işlemler gibi kötü niyetli faaliyetler için kullanılabiliyor.
DEEPFAKE UZMANLARI ARANIYOR!
Doğrulama araç ve tekniklerini kullanan yeraltı suç saldırılarında kayda değer bir artış görülmekte. Örneğin, hesap doğrulama hizmetlerinin uzunca bir süredir mevcut olduğu biliniyor. Bununla birlikte, e-ticaret kimlik doğrulama için modern teknoloji ve çevrimiçi sohbet sistemlerini kullanarak geliştikçe, suçlular da tekniklerini geliştiriyor ve bu doğrulama planlarını atlamak için yeni yöntemler geliştiriyor.
2020’de ve 2021’in başlarında, bazı yeraltı forum kullanıcılarının kripto borsası ve kişisel hesaplar için “deepfake uzmanları” aradığı dikkat çekmişti.
Aslında, deepfake üretimi için bazı araçlar bir süredir çevrimiçi olarak, örneğin GitHub’da mevcut. Ayrıca deepfake ve deepfake tespiti için kullanılan araçların yeraltı forumlarında da dikkat çektiğini görüyoruz.
Kısa bir süre önce, kripto para borsası sitesi Binance’de bir iletişim yöneticisinin deepfake’i hakkında bir haber yayınlandı. Deepfake, Zoom görüşmelerinde kripto para birimi projelerinin temsilcilerini kandırmak için kullanıldı.
Ünlüler, üst düzey hükümet yetkilileri, tanınmış kurumsal figürler ve çevrimiçi olarak çok sayıda yüksek çözünürlüklü görüntü ve videoya sahip olan diğer kişiler en kolay hedef alınanlar arasında bulunuyor. Bu kişilerin yüzlerini ve seslerini kullanan sosyal mühendislik dolandırıcılıklarının halihazırda yaygınlaştığı görülmekte.
Araçlar ve mevcut deepfake teknolojisi göz önüne alındığında, ses ve video sahteciliği yoluyla kurbanları manipüle etmeyi amaçlayan daha fazla saldırı ve dolandırıcılık görmeyi bekleyebiliriz.
Peki Deepfake mevcut saldırıları, dolandırıcılıkları ve para kazanma planlarını nasıl etkileyebilir?
Trendmicro.com’dan Vladimir Kropotov, Fyodor Yarochkin, Craig Gibson ve Stephe Hilt deepfake kullanılarak yapılan mevcut saldırıların hem de yakın gelecekte bekleyebileceğimiz saldırıların bir listesini hazırladı:
- Messenger dolandırıcılığı: Bir yatırım uzmanını taklit etmek ve para transferi için aramak yıllardır popüler bir dolandırıcılık türü ve artık suçlular görüntülü aramalarda deepfake kullanabiliyor. Örneğin, birinin kimliğine bürünüp arkadaşlarıyla ve ailesiyle iletişime geçerek para transferi talep edebiliyor ya da telefon bakiyelerine basit bir yükleme yapılmasını isteyebilirler.
- BEC: Bu saldırı deepfake olmadan da oldukça başarılıydı. Artık saldırganlar aramalarda sahte videolar kullanabiliyor, yöneticilerin veya iş ortaklarının kimliğine bürünebiliyor ve para transferi talep edebiliyor.
- Hesap açma: Suçlular kimlik doğrulama hizmetlerini atlamak ve çalıntı kimlik belgelerinin kopyalarını kullanarak başkaları adına bankalarda ve finans kurumlarında, hatta muhtemelen devlet hizmetlerinde hesaplar oluşturmak için deepfake kullanabilir. Bu suçlular bir kurbanın kimliğini kullanabilir ve genellikle görüntülü aramalar yoluyla yapılan doğrulama sürecini atlayabilir. Bu tür hesaplar daha sonra kara para aklama ve diğer kötü niyetli faaliyetlerde kullanılabilir.
- Hesapların ele geçirilmesi: Suçlular görüntülü arama kullanarak kimlik tespiti gerektiren hesapları ele geçirebilir. Bir finansal hesabı ele geçirebilir ve kolayca para çekebilir veya transfer edebilirler. Bazı finans kurumları, çevrimiçi bankacılık uygulamalarında belirli özelliklerin etkinleştirilmesi için çevrimiçi video doğrulamasını şart koşmakta. Bu tür doğrulamalar da deepfake saldırılarının hedefi olabilir.
- Şantaj: Kötü niyetli aktörler deepfake videoları kullanarak şantaj ve gasp türü saldırılar gerçekleştirebilir. Hatta deepfake teknolojileri kullanılarak oluşturulmuş sahte kanıtlar bile yerleştirebilirler.
- Dezenformasyon kampanyaları: Deepfake videoları ayrıca daha etkili dezenformasyon kampanyaları oluşturmakta ve kamuoyunu manipüle etmek için kullanılabilmekte. Pompala ve boşalt şemaları gibi bazı saldırılar, tanınmış kişilerden gelen mesajlara dayanır. Artık bu mesajlar deepfake teknolojisi kullanılarak oluşturulabilir. Bu şemaların kesinlikle mali, siyasi ve hatta itibarla ilgili yansımaları olabilir.
- Teknik destek dolandırıcılığı: Deepfake aktörleri sahte kimlikler kullanarak sosyal mühendislik yoluyla kullanıcıları ödeme bilgilerini paylaşmaya veya BT varlıklarına erişim sağlamaya yönlendirebilir.
- Sosyal mühendislik saldırıları: Kötü niyetli aktörler, taklit edilen bir kişinin arkadaşlarını, ailelerini veya iş arkadaşlarını manipüle etmek için deepfake’leri kullanabilir.
- Nesnelerin interneti (IoT) cihazlarının ele geçirilmesi: Amazon’un Alexa’sı ve diğer birçok akıllı telefon markası gibi ses veya yüz tanıma kullanan cihazlar, deepfake suçlularının hedef listesinde olacaktır.
PEKİ NE YAPMALI?
Trendmicro.com için söz konusu yazıyı kaleme alan teknoloji uzmanları bireysel kullanıcılar ve kuruluşlara deepfake saldırılarının etkisini ele almak ve azaltmak için ne yapmaları gerektiğine dair bir takım tüyolar da verdiler.
- Kuruluşlar bir kullanıcının kimliğini üç temel faktörle doğrulamalı: kullanıcının sahip olduğu bir şey, kullanıcının bildiği bir şey ve kullanıcının olduğu bir şey. Bu sözkonusu “Bir şey” öğelerinin akıllıca seçildiğinden emin olun.
- Gerçekleştirilecek personel farkındalık eğitimi ve müşterini tanı (KYC) ilkesi finans kuruluşları için olmazsa olmazdır. Deepfake teknolojisi mükemmel değildir ve bir kuruluşun personelinin araması gereken bazı kırmızı bayraklar vardır.
- Sosyal medya kullanıcıları, yüksek kaliteli kişisel görüntülerinin açığa çıkmasını en aza indirmeli.
- Hassas hesapların (örneğin banka veya şirket profilleri) doğrulanması için kullanıcılar, göz tanıma ve parmak izi gibi kamuya daha az açık olan biyometrik modellerin kullanımına öncelik vermeli.
- Sorunu daha büyük ölçekte ele almak için önemli politika değişiklikleri gerekmekte. Bu politikalar, mevcut ve daha önce ifşa edilmiş biyometrik verilerin kullanımını ele almalı. Ayrıca siber suç faaliyetlerinin şu anki durumunu dikkate almalı ve geleceğe hazırlanmalı.
