Exerciții de pregătire anti-deepfake: testați procesul de verificare înainte ca o voce clonată să o facă

Vineri după-amiază sună „directorul financiar”. Este în deplasare, legătura e proastă, o tranzacție se închide luni și o plată către un furnizor trebuie făcută azi. Detaliile transferului sosesc pe e-mail zece minute mai târziu. Totul sună corect, și tocmai aici e problema.

Clonarea vocii și înlocuirea feței în timp real au mutat frauda de tip deepfake din demonstrațiile de la conferințe în rapoartele de incidente. Soluția nu este să-i învățăm pe oameni să recunoască falsul după ureche. Soluția este ca un pas fix de verificare să se aplice de fiecare dată și ca acest pas să fie exersat sub presiune înainte ca un atacator să-l testeze în locul vostru.

Ce se schimbă

• Într-un sondaj Gartner din 2025 realizat pe 302 lideri din securitate cibernetică, 62% au declarat că organizația lor a fost ținta a cel puțin unui atac deepfake în ultimele 12 luni. 43% au raportat un apel audio deepfake, iar 37% un deepfake într-un apel video.
• În mai 2025, FBI a avertizat cu privire la mesaje vocale generate de AI care se dădeau drept înalți oficiali americani. FBI a subliniat că vocile clonate pot fi aproape imposibil de deosebit de cele reale și a recomandat confirmarea identității printr-un număr de telefon obținut independent.
• Un studiu Osterman Research din ianuarie 2026, realizat pe 128 de lideri IT și de securitate din SUA, arată că 60% nu sunt încrezători că pot face față atacurilor deepfake cu instruirea pe care o au deja. (Studiul a fost comandat de IRONSCALES, un furnizor de securitate e-mail, așa că cifra trebuie privită ca un indicator orientativ.)
• FinCEN a emis o alertă privind fraudele bazate pe deepfake. Unul dintre semnalele de alarmă evidențiate este interlocutorul care schimbă canalul de comunicare în mijlocul conversației și invocă „probleme tehnice”.

De ce contează

Un transfer fraudulos este rezultatul evident. Cele mai discrete fac însă mai mult rău:

• Resetări MFA prin help desk. O voce clonată care cere mutarea tokenului MFA pe un „telefon nou” este o cale rapidă spre preluarea contului (account takeover).
• Acordarea de privilegii. Un „director IT” convingător care îi cere unui administrator de identități să adauge un colaborator extern într-un grup privilegiat poate lăsa un acces neobservat luni întregi. O plată greșită iese măcar la iveală la reconciliere.
• Schimbarea conturilor bancare ale furnizorilor. Acestea redirecționează plăți legitime către conturi controlate de atacatori.

Detectarea după ureche devine tot mai puțin sigură cu fiecare nou model AI, așa că apărarea trebuie să se sprijine pe proces. Dacă același pas de verificare se aplică de fiecare dată când sunt implicați bani, credențiale sau permisiuni, calitatea falsului nu mai contează.

Ce trebuie făcut: un exercițiu în șase pași

1. Identificați cine ar fi imitat și cine ar fi sunat

Faceți două liste scurte. Prima cuprinde persoanele pe care un atacator le-ar imita: conducerea executivă, consilierul juridic și directorii din financiar, IT și HR, ale căror cereri par de rutină. Adăugați contactele externe cu autoritate reală, de exemplu responsabilul de încasări al unui furnizor important sau inginerul de la MSP. A doua cuprinde persoanele pe care un atacator le-ar suna: contabilitate, trezorerie, salarizare, HR, asistenții executivi, help desk-ul IT și administratorii de identități. Ultimii doi sunt cel mai des uitați.

Notați câte înregistrări audio și video publice există pentru fiecare nume de pe prima listă. Câteva minute dintr-un singur webinar pot fi suficiente pentru clonarea unei voci.

2. Scrieți regulile înainte să le testați

Un exercițiu fără o regulă scrisă măsoară doar instinctul. Stabiliți:

• Apel de verificare pe alt canal pentru orice plată, schimbare de cont bancar, partajare de credențiale, resetare MFA sau modificare de acces. Folosiți un număr din agenda internă sau din fișa furnizorului, niciodată numărul primit în cerere.
• Praguri fixe care cer întotdeauna verificare, indiferent cine solicită și cât de urgent pare.
• Aprobare dublă pentru beneficiari noi, conturi bancare modificate, conturi privilegiate noi și schimbări de rol.
• Fraze de control rotative între directorii cei mai expuși și echipele lor de suport.
• Raportare fără vină, astfel încât oricine a acționat deja pe baza unei cereri suspecte să o semnaleze imediat.
• Permisiune scrisă de a face o pauză. Conducerea confirmă în scris că nimeni nu are de suferit dacă închide și sună înapoi. Urgența și ierarhia sunt exact pârghiile pe care se bazează frauda deepfake.

3. Construiți scenarii realiste, pe mai multe canale

Atacurile reale încep de obicei cu un e-mail sau un mesaj în chat și continuă cu voce sau video. Mai întâi obțineți acordul departamentului juridic, al HR și al fiecărui director a cărui identitate va fi folosită. Folosiți vocea unui director care și-a dat acordul, un substitut sintetic marcat clar sau un actor care urmează un scenariu. Scenarii bune pentru început:

1. Un transfer urgent pentru o „achiziție” cerut de directorul financiar: e-mail falsificat urmat de un mesaj vocal.
2. Schimbarea contului bancar al unui furnizor, urmată de un apel Teams de la „furnizor”.
3. Mutarea MFA prin help desk pentru un director „blocat în deplasare”.
4. O „curățenie de acces” care ascunde o singură adăugare într-un grup privilegiat printre eliminări legitime.

Programați scenariile în momentele de presiune reală: închiderea trimestrului, perioada de audit, zilele dinaintea sărbătorilor și deplasările cunoscute ale conducerii.

4. Desfășurați exercițiul pe etape

Începeți cu un exercițiu de tip tabletop. Scoate la iveală lacunele de procedură fără costuri mari, iar de obicei cineva descoperă că nimeni nu știe ce număr trebuie sunat înapoi. Apoi treceți la simulări live cu un grup restrâns:

• Informați un grup mic de control (sponsorul, șeful SOC, directorul financiar), ca exercițiul să nu declanșeze un răspuns real la incident.
• Țineți banii și accesele reale departe. Folosiți beneficiari de test, aprobări care nu ajung la execuție și grupuri de tip sandbox.
• Stabiliți condiții de oprire și discutați imediat cu participanții dacă devin stresați.
• Informați întotdeauna participanții după exercițiu.

5. Măsurați comportamentul, nu doar „trecut/picat”

Urmăriți rata de verificare, timpul până la escaladare, dacă raportarea a ajuns la SOC pe canalul corect, punctul exact în care procesul a cedat, dacă cererile la pachet au fost puse sub semnul întrebării și ce semnale de încredere invocă oamenii („suna exact ca el” și „e-mailul a venit primul” cer remedieri diferite). Concentrați-vă pe punctele în care procesul a cedat, pentru că fiecare duce la o remediere concretă în proceduri, instrumente sau instruire.

6. Analizați, corectați, repetați

Faceți discuția de după exercițiu în aceeași zi și fără a căuta vinovați. Actualizați agenda pentru apelurile de verificare, înăspriți pragurile și includeți scenariile în programul obișnuit de simulări de phishing. Repetați cel puțin de două ori pe an și ori de câte ori se schimbă lista persoanelor expuse, de exemplu după numirea unui nou director financiar, după o achiziție sau după un sezon încărcat de conferințe.

Unde ajută tehnologia

Procesul face cea mai mare parte a muncii. Instrumentele ajută în două puncte:

• Mesajul de pregătire. Securitatea e-mail bazată pe comportament, care semnalează cereri neobișnuite de la directori sau furnizori, poate rupe lanțul înainte de apel.
• Apelul în sine. Verificarea identității în timp real pe platformele de colaborare poate avertiza participanții când vorbitorul nu corespunde identității pretinse. Înainte de implementare, verificați dacă instrumentul înregistrează sau transcrie ședințele ori doar procesează semnalele pe loc.

Concluzia 4Tify

Un prim exercițiu nu are nevoie de buget. Două liste, o pagină de reguli de verificare, patru scenarii și un șablon de analiză sunt suficiente ca să aflați unde vă aflați cu adevărat. Dacă procedurile voastre presupun că oamenii pot auzi falsul, porniți de la premisa că nu pot. Testați în schimb regula de apel de verificare, iar când „directorul financiar” se plânge de legătură proastă, închideți și sunați înapoi.

Pe baza unui articol publicat de The Hacker News (material contribuit de furnizorul IRONSCALES), rescris și adaptat de echipa 4Tify.