A küszöbön álló 5G-vel szakértők arra figyelmeztetnek, hogy az új technológia még inkább növelni fogja a támadási felületet, hiszen a használati eszközeinknek egyre nagyobb része lesz az internetes hálóra kötve, miközben a digitális bűnözők több támadási módszert és gyakran több kártevőt is használnak a lehető legtöbb profit megszerzéséért. Ugyanakkor az is elmondható, hogy egyre komolyabb és egyre több kibertámadásra is fény derül, ami pedig nem kismértékben a helyi szabályozások szigorodásának és az uniós adatvédelmi rendeletnek (GDPR) köszönhető, hiszen az incidenseket most már jelenteni kell.
Az utóbbi időben két olyan eset (deepfake csalások, SIM kártyák sérülékenysége) is volt, amelyek azt az érzetet kelthették egy átlagfelhasználóban, hogy meglehetősen nagy pácban vagyunk, a technológia a fejünkre nő és teljesen kiszolgáltatottá válunk.
A Sophos senior biztonsági tanácsadójával, John Shierrel ezek apropóján arról beszélgettünk, mennyire lehet realitás, hogy a világunk a feje tetejére áll és az átlag felhasználó számára megállapíthatatlan lesz, mi a valóság és mi a hamisítvány, illetve hogy a deepfake modulok kiberbűnözők általános eszközeivé válhatnak-e, ha pénzhez akarnak jutni?
Az kétségtelen tény, hogy az utóbbi időben megszaporodtak az adathalász és egyéb kibertérben elkövetett csalások igen komoly károkat okozva az érintetteknek. A Sophos egy korábbi, 3100 középvállalkozásban dolgozó IT-döntéshozó részvételével készített felmérése szerint a megkérdezettek 50 százaléka az adathalászatot nevezte meg, mint az egyik fő kockázati tényezőt. A felmérésből ezen belül kiderült, hogy a digitális támadásokat elszenvedők 53 százalékát károsították meg adathalász emailekkel, 30 százalékát zsarolóvírusokkal, 41 százalék esetében pedig illegálisan fértek hozzá adatokhoz.
Az elmúlt időszakban az üzleti emailekkel érkező fertőzésekben lehet látni egy felfutást - mondta a Napi.hu-nak John Shier. A szakember ugyanakkor arra is rámutatott, hogy a bűnözők is sokkal szofisztikáltabbakká váltak: sokkal jobb minőségű "beetető" leveleket gyártanak, mint korábban. Például nem ritka, hogy a célzott ország anyanyelvét ismerővel fogalmaztatják meg a levelet, hogy ne legyen feltűnő. A biztonsági szakember szerint ez annak is köszönhető, hogy a kiberbűnözők az elmúlt években jól megszedhették magukat, így anyagi forrásaik is vannak arra, hogy adjanak a külsőségekre, a nyelvi helyességre.
Sőt, mostanában az is egyre gyakoribbá válik, hogy nem egy ismeretlen cég nevében emaileznek, hanem az adott országban működő, ismert multinacionális vállalat leányának nevében, vagy olyan részlegekbe küldenek be csatolmányos fertőzött leveleket, ahol az ott dolgozóknak egyébként is az a dolga, hogy megnyissanak csatolmányokat (pl. HR vagy pénzügy), így még nehezebb kiszűrni a csalókat, akik ezt a "biztonsági rést" nagyon hatékonyan fel is használják arra, hogy bejussanak bizonyos cégek rendszereibe.
Eljött a deepfake csalások kora?
Ehhez képest nem kis szintlépésnek tűnt az a közelmúltban kirobbant történet, ami arról szólt, hogy egy brit cég vezetőjét a német anyavállalat vezetője felhívta és arra utasította, hogy utaljon át 220 ezer eurót egy bizonyos számlára. A brit cégvezető ezt meg is tette, mert elhitte, hogy valóban a német kollégájával beszélt. Az erről megjelent hírek szerint ez azonban nem a kollégája, hanem egy mesterséges intelligencián alapuló deepfake szoftver által generált hang volt, így a pénz csalóknál landolt.
A meglehetősen hátborzongatónak hangzó történettel kapcsolatban Shier azonban nyugalomra intett. A szakember szerint ilyen sztoriknál sokszor érdemes kicsit hátrébb lépni és elemezni az állításokat, vagy rákeresni IT-biztonsági szakemberek véleményére. Shier szerint ugyanis kiderült, ez az egész nem egészen úgy történhetett, ahogy azt a sajtó először tálalta.
A történet kirobbanását követően az érintett vállalat szóvivője ugyanis bevallotta a Spiegelnek, hogy nem tudják 100 százalékos biztonsággal állítítani, hogy a telefonáló valóban egy deepfake szoftver volt és nem csak egy hangimitátor. Elméletileg lehetett emberi hangutánzó is - tette hozzá a szóvivő. Vagyis a Spiegel cikke szerint nincs rá bizonyíték, hogy ez valóban úgy történt, mint ahogy azt a történet kirobbanásakor a média tálalta - mutatott rá Shier.
A mesterséges intelligencia, mint bűnbak
A szakember erre az esetre is utalva úgy vélte, hogy ha egy nagyobb volumenű csalás bekövetkezik, akkor manapság szokássá vált azért a mesterséges intelligenciát felelőssé tenni. Ugyanakkor Shier elmondása szerint - a Spiegel cikkéhez hasonlóan - a Sophos mesterséges intelligenciával foglalkozó szakértői is úgy látják, hogy a mesterséges intelligencia még nincs azon a szinten, hogy emberi gesztusokat, hangot, mozgást élethűen utánozni tudjon, így szerinte igenis észre lehet venni, hogy valami nem stimmel a felvétellel. A szakember a legszembetűnőbb árulkodó jelek között említette a pislogást, mozgást, arcmimikát.
Bár a hang alapú adathalászat is növekvő tendenciát mutat, számuk elenyésző. Shier ugyanakkor nem tart a deepfake csalások nagy előretörésétől. A Sophos szakértője szerint az például az elterjedésük ellen szól, hogy az ilyen felvételek élethű elkészítéséhez rengeteg adatra van szükség, azt nem lehet a semmiből felépíteni. Nem beszélve arról, hogy rengeteg munkát is bele kell ölni, ami viszont nem biztos, hogy megtérül, főleg, ha kisebb erőfeszítéssel előkészített csalásokkal - például emailekkel - is lehet nagy összegeket kaszálni.
Az adathalász bűnözőkre az továbbra is jellemző, hogy inkább a nagy számok törvénye alapján játszanak: rengeteg levelet küldenek ki arra apellálva, hogy ennek a tömegnek egy része biztosan rákattint egy-egy ilyen fertőzött csatolmányra. Ezt a feltételezést pedig erősítheti, hogy egy vállalatnál általában naponta rengeteg emailt kell gyorsan kezelni, miközben sokfelé kell figyelni - ez pedig növeli a hibázás kockázatát. A bűnözők pedig egyebek mellett ezt próbálják kihasznáni, sokszor nem is eredménytelenül.
A másik oldalon sem ülnek tétlenül
Bár elképzelhető, hogy az idő előrehaladtával a mesteséges intelligencia segítségével ezek a deepfake videók/hangfelvételek sokat javulnak és nehezebb lesz különbséget tenni a valós és a hamisított videók között, arról sem szabad megfeledkezni, hogy a "jó oldalon" álló fejlesztők is dolgoznak olyan megoldásokon, amelyekkel fel lehet ismerni a hamisítványokat - hívta fel a figyelmet a Sophos szakértője.
Shier ugyanakkor valószínűbbnek vélte, hogy a mesterséges intelligenciának a közeljövőben az emailes csalásoknál nő meg a szerepe: a mesterséges intelligencia segítségével bárkinek lehet elemezni az írásbeli kommunikációját, az email-fiókjának feltörésével pedig könnyebben le lehet gyártani hitelesnek tűnő leveleket (sokkal kisebb erőfeszítéssel, mint egy videó vagy egy hanganyag elkészítése esetén), amelyekkel elérhetik céljaikat a bűnözők. Ezért a szakember úgy véli, hogy ezen a téren lehet egy felfutás.
A leghatékonyabb fegyver az ilyen típusú támadások ellen pedig az lehet, ha az embereket vértezzük fel olyan tudással, amelyek segítségével ők maguk is a biztonsági rendszer részévé válhatnak. Így hatékonyan meg lehet akadályozni a kártékony levelek/programok bejutását a cég rendszerébe - vélekedett a szakember.
Tényleg mindenkit érint a SIM kártyák sérülékenysége?
Szeptember közepén robbant be egy másik sztori is, miszerint egy komoly sérülékenységet találtak SIM kártyáknál, ami egy a kártyákon lévő Java applikáció, az S@T Browser helytelen beállítása miatt jelenhet meg. Ha ugyanis a mobilszolgáltató elfelejti az applikációban elvégezni a biztonsági beállításokat, akkor egy speciális formátumú SMS küldésével olyan rosszindulatú parancsokat lehet futtatni a telefonokon a felhasználó tudta nélkül, amelyek többek között képesek az eszköz helyzetét követni, SMS-eket küldeni vagy például böngészőt megnyitni.
A hír megjelenését követően több szakértő - köztük saját bevallása szerint Shier is - kétkedve fogadta az eset komolyságát, mert - mint ahogy erre a Sophos szakértője rámutatott - nem közölték többek között az eset kiterjedtségét, illetve azt, hogy hány felhasználót érinthet a dolog, alig tettek közzé technikai információkat, viszont forrásként csak egy cégre, a sérülékenységet jelző Adaptive Mobile-re hivatkoztak, más független forrásból pedig nem is volt megerősítés (legalábbis a John Shierrel szeptember végén készült interjúnkig - a szerk.).
Shier arra hívta fel a figyelmet, hogy a sérülékenység kiterjedtségének közlése azért lett volna fontos, mert nem minden SIM kártyán található meg ez az úgynevezett S@T Browser. Ebből pedig arra lehet következtetni, hogy az érintettség alacsony - jegyezte meg a szakértő. Ez az eset inkább egy marketingfogásnak tűnt - jegyezte meg a Sophos szakértője.
Shier feltételezését annyiban erősítették meg későbbi hírek, hogy a sérülékenységet jelző Adaptive Mobile elismerte, hogy a SIMJacker applikációt az észleléseik szerint csak felhasználók helyzetének meghatározására használták, semmi többre, illetve azt is elismerték, hogy egy átlagember nem valószínű, hogy ilyen támadások célpontjává válik, a fő célpontok ugyanis vélhetően csak nemzetállami érdekeltségű felhasználók. Továbbá az is kiderült, hogy a világon 29 ország 61 szolgáltatójának ügyfelei lehetnek érintettek: Közép-Amerika 9, Dél-Amerika 8, Afrika 5, Ázsia 4, Európa 3 országa (Olaszország, Bulgária és Ciprus). (Közben az SRLabs nevezetű kiberbiztonsági kutatólabor is megerősítette a SIMJacker létezését és tesztelő applikációt is közzé tett, amellyel lehet ellenőrizni, éritettek vagyunk-e - a szerk.)