Deepfake dan Penipuan AI: Apakah yang Dihadapi Perniagaan Anda?

Ringkasnya: penipu kini boleh memalsukan suara, wajah dan mesej pengurus anda menggunakan AI untuk memperdaya kakitangan anda supaya memindahkan wang atau membocorkan data. Perlindungan tidak bergantung pada satu alat ajaib, sebaliknya pada tiga lapisan yang saling melengkapi: kesedaran pekerja, prosedur pengesahan yang ketat sebelum sebarang pemindahan atau perubahan sensitif, dan kawalan teknikal yang mengesan manipulasi serta mengehadkan kesannya. Syarikat yang membina lapisan-lapisan ini sebelum berlakunya insiden ialah syarikat yang dapat mengharunginya dengan kerugian yang paling minimum.

Apakah itu deepfake, dan mengapa ia kini menjadi ancaman kepada perniagaan?

Deepfake ialah kandungan palsu, sama ada audio, imej atau video, yang dijana oleh AI supaya kelihatan benar-benar tulen. Perkara yang dahulunya memerlukan pakar dan peralatan mahal kini boleh dilakukan oleh sesiapa sahaja melalui alat yang murah, dan klip suara pendek pengurus anda di media sosial sudah memadai untuk mengklon suaranya dengan ketepatan yang membimbangkan. Akibatnya, penipuan bukan lagi e-mel yang ditulis dengan buruk dan mudah dikesan, sebaliknya panggilan video yang "dihadiri" oleh Ketua Pegawai Kewangan anda, dengan wajah dan suaranya, yang meminta pemindahan segera.

Bentuk penipuan AI yang paling biasa

  • Penipuan CEO: panggilan atau mesej suara palsu daripada seorang eksekutif yang meminta pemindahan "sulit dan segera" di luar prosedur biasa.
  • Panggilan video palsu: mesyuarat maya yang kelihatan dihadiri oleh beberapa pegawai, sedangkan semuanya sebenarnya palsu yang dijana oleh AI, untuk meyakinkan seorang pekerja supaya melaksanakan arahan kewangan.
  • Pengklonan suara: panggilan telefon menggunakan suara pemilik atau pembekal untuk menukar butiran akaun bank atau meminta bayaran.
  • Penyamaran identiti digital: memintas sistem pengesahan wajah atau membuka akaun menggunakan identiti yang sepenuhnya palsu.
  • Peras ugut dan kerosakan reputasi: video atau imej rekaan tentang seorang pegawai atau pekerja untuk tujuan peras ugut atau merosakkan jenama.

Dalam satu insiden yang dilaporkan secara meluas pada 2024, seorang pekerja di cawangan sebuah syarikat global telah diperdaya selepas panggilan video yang dihadiri oleh individu yang disangkanya Ketua Pegawai Kewangan dan rakan sekerjanya (kesemuanya palsu yang dijana oleh AI), lalu memindahkan kira-kira 25 juta dolar AS. Pengajarannya bukanlah untuk takut akan teknologi, tetapi untuk mereka bentuk semula prosedur kita supaya "rupa" atau "suara" seseorang semata-mata tidak pernah mencukupi untuk meluluskan sesuatu keputusan yang sensitif.

Peraturan emas yang baharu: jangan percaya hanya kepada apa yang anda lihat atau dengar; percayalah kepada langkah pengesahan yang tidak boleh dipalsukan.

Cara melindungi syarikat anda: pelan praktikal tiga lapisan

Perlindungan yang berkesan ialah satu set lapisan yang saling melengkapi, supaya jika satu lapisan ditembusi, lapisan seterusnya akan menghentikan serangan:

  1. Lapisan prosedur (paling penting dan paling murah): gunakan peraturan "sahkan melalui saluran kedua" bagi setiap pemindahan wang atau perubahan butiran bank: telefon semula nombor yang telah diketahui sebelum ini, dan jangan sekali-kali membalas dalam panggilan yang sama. Tetapkan had kuasa, kelulusan berganda bagi jumlah yang besar, dan kata laluan lisan yang dipersetujui bagi permintaan luar biasa.
  2. Lapisan kesedaran: latih pasukan anda bahawa desakan, kerahsiaan dan tekanan emosi ialah tanda klasik penipuan. Sebarang permintaan yang berbunyi "sekarang, secara sulit, dan jangan beritahu sesiapa" mesti dianggap sebagai amaran bahaya, walau sebagaimana dipercayai pun sumbernya kelihatan.
  3. Lapisan teknikal: aktifkan pengesahan berbilang faktor pada semua sistem kewangan dan e-mel, gunakan sistem pengesanan penipuan dan pemantauan pemindahan luar biasa, serta kurangkan audio dan video berkualiti tinggi eksekutif anda yang diterbitkan oleh syarikat tanpa keperluan.

Cara mengesan deepfake dengan mata sendiri

Walaupun teknologi semakin maju, beberapa tanda masih mendedahkan pemalsuan: pergerakan bibir yang tidak sepadan sepenuhnya dengan audio, kelipan mata yang tidak semula jadi atau jarang berlaku, pencahayaan dan bayang-bayang yang tidak logik pada wajah, tepi yang kabur di sekeliling rambut dan telinga, serta suara mendatar tanpa emosi semula jadi. Namun jangan bergantung pada mata sahaja; anggaplah tanda-tanda itu sebagai isyarat untuk membuat pengesahan melalui saluran kedua, kerana sistem ini bertambah baik lebih pantas daripada keupayaan kita untuk mengesannya secara visual.

Apakah yang perlu dilakukan jika penipuan berlaku

Kepantasan mengehadkan kerugian: maklumkan bank anda dengan segera untuk cuba menghentikan atau mendapatkan semula pemindahan, dokumentasikan segala-galanya (mesej, nombor, rakaman panggilan), dan laporkan kepada pihak berkuasa yang berkaitan. Di Arab Saudi, anda boleh menghubungi bank anda dan badan keselamatan yang mengendalikan jenayah siber, serta menyemak garis panduan Pihak Berkuasa Keselamatan Siber Kebangsaan dan Bank Pusat Arab Saudi tentang pengendalian dan pelaporan penipuan kewangan.

Konteks Saudi: rangka kerja kawal selia yang menyokong anda

Arab Saudi semakin maju dalam keselamatan siber melalui Pihak Berkuasa Keselamatan Siber Kebangsaan (NCA), yang mengeluarkan kawalan wajib bagi organisasi, dan Pihak Berkuasa Data dan Kecerdasan Buatan Saudi (SDAIA), yang mengawal selia penggunaan AI secara bertanggungjawab serta perlindungan data di bawah Undang-undang Perlindungan Data Peribadi (PDPL). Mematuhi kawalan ini bukan sekadar beban kawal selia, malah merupakan rangka kerja sedia ada yang mengukuhkan daya tahan syarikat anda terhadap serangan jenis ini.

Peranan rakan kongsi teknologi

Kebanyakan langkah perlindungan bersifat prosedur dan mampu dilaksanakan oleh mana-mana organisasi, tetapi apabila anda perlu menyepadukan pengesahan berbilang faktor ke dalam sistem anda, membina aliran pengesahan automatik sebelum pemindahan, atau menyambungkan sistem anda kepada alat pengesanan penipuan dan pemantauan anomali, di situlah rakan kongsi teknologi berperanan untuk mereka bentuk penyelesaian yang disesuaikan dengan perniagaan anda dan membina keupayaan dalaman yang berkekalan. Matlamatnya bukan untuk menambah lapisan kerumitan, tetapi untuk menjadikan laluan yang selamat sebagai laluan paling mudah bagi pekerja anda.

Kesimpulan

Deepfake tidak mencipta penipuan, tetapi menjadikannya lebih meyakinkan dan lebih murah untuk dilakukan. Senjata anda bukanlah ketakutan atau satu alat tertentu, sebaliknya budaya pengesahan dan prosedur yang tertanam kukuh, di mana rupa atau suara seseorang tidak pernah mencukupi. Bina lapisan-lapisan ini hari ini dan latih pasukan anda mengenainya, kerana syarikat yang bersedia akan mengubah serangan yang berpotensi menjadi cubaan yang gagal, bukannya kerugian besar.

Sumber

  • Pihak Berkuasa Keselamatan Siber Kebangsaan: nca.gov.sa
  • Pihak Berkuasa Data dan Kecerdasan Buatan Saudi (SDAIA): sdaia.gov.sa
  • Bank Pusat Arab Saudi (SAMA) — kesedaran tentang penipuan kewangan: sama.gov.sa
  • Laporan tentang insiden penipuan deepfake pada 2024 — CNN: cnn.com