Como os Deepfakes estão gerando um novo tipo de crime cibernético

Mihai Surdu / Shutterstock. com

Criar deepfakes está ficando mais fácil e eles estão mais convincentes do que nunca. Os cibercriminosos estão usando deepfakes de vídeo e áudio para extorquir dinheiro das vítimas, adicionando uma credível “ falsa autenticidade ” a seus golpes.

Editando povos &’ Crenças

Desde que a primeira pessoa disse “ a câmera nunca mente ” tem havido pessoas para provar o contrário. Os fotógrafos criativos do final do século 19 usaram truques simples para criar imagens falsas.

A “ pessoa em uma garrafa ” gag desfrutou de seu momento de popularidade. Tire uma foto sua em uma pose adequada. Revele e imprima a fotografia no tamanho apropriado. Recorte sua imagem, coloque-a em uma garrafa de vidro e tire outra fotografia de você mesmo segurando a garrafa. Ei, pronto, você tem uma imagem de si mesmo segurando uma garrafa contendo uma versão em miniatura de você.

Claro, hoje podemos fazer esse tipo de coisa usando Photoshop ou GIMP. E estamos cientes de que, com habilidades e criatividade suficientes, os especialistas podem criar imagens que parecem completamente genuínas e, ainda assim, contêm elementos impossíveis. Paradoxalmente, essa consciência pode nos levar a duvidar das fotos genuínas. Uma imagem surpreendente que por puro acaso captura uma ocorrência única na vida é sempre saudada pela pergunta “ Isso é real? ”

Publicidade

A fotografia de uma pessoa em miniatura em uma garrafa é obviamente falsificada. Mas mude uma fotografia para que mostre algo que pode ser verdade e também parece real, e algumas pessoas vão acreditar.

Não se trata mais de piadas visuais. É uma imagem de armamento. É engenharia social.

RELACIONADO: As Muitas Faces da Engenharia Social

Imagens em movimento e talkies

Assim que o cinema se tornou um espetáculo social, os cineastas pioneiros usaram efeitos especiais e truques para resolver dois problemas. Um estava filmando algo que poderia realmente acontecer, mas não era prático de filmar, e o outro estava filmando algo que era simplesmente impossível. A solução para isso deu origem à enorme indústria de efeitos especiais que temos hoje.

A adição de som e diálogo viu o fim do filme mudo e a ascensão dos talkies. Algumas estrelas silenciosas não fizeram a transição. A voz deles não estava certa ou eles não conseguiam pronunciar as falas com convicção e tempo. Até que a dobragem se tornasse uma coisa, não havia outra solução a não ser escalar outra pessoa.

Hoje, também estamos manipulando as vozes dos atores. George Clooney realmente cantou em O Brother, Where Art Thou? Não, era a voz de Dan Tyminski, sincronizada por computador com a imagem em movimento de George Clooney.

Os sistemas que podem fazer esse tipo de manipulação de vídeo e som são grandes e caros e precisam de especialistas para conduzi-los. Mas resultados finais convincentes podem ser alcançados usando um software fácil de obter e relativamente simples que será executado em um hardware de computador razoável.

O vídeo e o áudio podem não ter a qualidade de Hollywood, mas certamente são bons o suficiente para permitir que os cibercriminosos adicionem imagens, vídeo e áudio falsos ao seu arsenal de armas.

Deepfakes

O termo deepfake foi cunhado para descrever imagens digitais que são manipuladas de forma que alguém no vídeo tenha o rosto inteiramente de outra pessoa. O nível “ profundo ” parte do nome vem de “ aprendizado profundo ”, um dos campos de aprendizado de máquina da inteligência artificial. O aprendizado de máquina usa algoritmos especializados e muitos dados para treinar redes neurais artificiais para atingir um objetivo. Quanto mais dados você tiver para treinar o sistema, melhores serão os resultados.

Publicidade

Forneça fotos suficientes de alguém e um sistema de aprendizado profundo compreenderá a fisionomia do rosto dessa pessoa tão bem que poderá imaginar como seria a exibição de qualquer expressão, de qualquer ângulo. Ele pode então criar imagens do rosto dessa pessoa que correspondam a todas as expressões e poses da cabeça da pessoa no vídeo.

Quando essas imagens são inseridas no vídeo, o novo rosto corresponde perfeitamente à ação do vídeo. Como as expressões faciais criadas artificialmente, a sincronização labial e os movimentos da cabeça são iguais aos usados ​​pela pessoa original quando o vídeo real foi filmado, o resultado pode ser uma farsa muito convincente.

RELACIONADO: O que é um Deepfake e devo me preocupar?

Isso é especialmente verdadeiro quando as formas dos dois rostos são semelhantes. Um deepfake bem conhecido mapeia o rosto de Lynda Carter no corpo de Gal Gadot, fundindo duas versões da Mulher Maravilha. Outros exemplos de destaque incluíram Barack Obama e Tom Cruise. Você pode encontrá-los — e muitos outros exemplos — no YouTube.

As mesmas técnicas de aprendizado de máquina podem ser aplicadas ao áudio. Com amostras de voz suficientes, você pode treinar uma rede neural artificial para produzir uma saída de som de alto nível, replicando a voz amostrada. E você pode fazer com que diga o que quiser. Quer ouvir Notorious B.I.G. fazer rap com alguns dos terrores antigos de H.P. Lovecraft? Mais uma vez, o YouTube é o lugar. Na verdade, você ouvirá algo que se parece muito com Notorious B.I.G. fazendo rap em Lovecraft.

Publicidade

Além de mash-ups malucos e sucessos de bilheteria, essas técnicas estão encontrando usos funcionais em outros lugares. Descript é um editor de som e vídeo que cria uma transcrição de texto de sua gravação. Edite o documento de texto e as alterações serão feitas na gravação. Se você não gostou da maneira como disse algo, apenas edite o texto. A descrição sintetizará qualquer áudio ausente de sua própria voz. Ele pode sintetizar uma voz com apenas um minuto da gravação de voz original.

O canal de televisão coreano MBN criou uma deepfake de Kim Joo-Ha, seu âncora de notícias. Se uma história que normalmente seria tratada por Kim Joo-Ha quebra quando ela não está no estúdio, o deepfake a entrega.

RELACIONADO: três aplicativos fáceis para se envolver em vídeos e GIFs

Os crimes cibernéticos já começaram

Os cibercriminosos são sempre rápidos em entrar em qualquer movimento que possam usar para melhorar ou modernizar seus ataques. As falsificações de áudio estão se tornando tão boas que é necessário um analisador de espectro para identificar definitivamente as falsificações, e os sistemas de IA foram desenvolvidos para identificar os vídeos falsos. Se a manipulação de imagens permite que você as torne como uma arma, imagine o que você pode fazer com falsificações de som e vídeo que são boas o suficiente para enganar a maioria das pessoas.

Já aconteceram crimes envolvendo imagens e áudio falsos. Os especialistas prevêem que a próxima onda de crimes cibernéticos falsos envolverá vídeo. O “ novo normal ” pode muito bem ter inaugurado uma nova era de crimes cibernéticos falsos.

Ataques de phishing

Um antigo ataque de phishing por e-mail envolve o envio de um e-mail para a vítima, alegando que você tem um vídeo dela em uma posição comprometedora ou embaraçosa. A menos que o pagamento seja recebido em Bitcoin, a filmagem será enviada para seus amigos e colegas. Com medo de que possa haver tal vídeo, algumas pessoas pagam o resgate.

A variante deepfake desse ataque envolve anexar algumas imagens ao e-mail. Eles são acusados ​​de serem imagens ampliadas do vídeo. O rosto da vítima — que ocupa a maior parte do quadro — foi inserido digitalmente nas imagens. Para os não iniciados, eles tornam a ameaça de chantagem mais convincente.

À medida que os sistemas deepfake se tornam mais eficientes, eles podem ser treinados com conjuntos de dados cada vez menores. Muitas vezes, as contas de mídia social podem fornecer imagens suficientes para usar como um banco de dados de aprendizagem.

Ataques de Vishing

Os ataques de phishing de e-mail usam uma variedade de técnicas para gerar um senso de urgência para tentar fazer com que as pessoas ajam com pressa ou aproveitam o desejo de um funcionário de ser visto como útil e eficaz. Ataques de phishing conduzidos por telefone são chamados de ataques de vishing. Eles usam as mesmas técnicas de engenharia social.

Publicidade

Um advogado nos EUA recebeu um telefonema de seu filho, que estava obviamente angustiado. Ele disse que havia batido em uma mulher grávida em um acidente automobilístico e agora estava sob custódia. Ele disse ao pai que esperasse um telefonema de um defensor público para organizar uma fiança de US $ 15.000.

A ligação não era de seu filho, eram golpistas usando um sistema de texto para fala que haviam treinado usando clipes de som de seu filho para criar um deepfake de áudio. O advogado não questionou por um momento. No que lhe dizia respeito, estava falando com o próprio filho. Enquanto esperava o defensor público ligar, ele ligou para sua nora e para o local de trabalho de seu filho para informá-los sobre o acidente. Um filho soube que ligou para dizer que era uma farsa.

Um CEO no Reino Unido não teve tanta sorte. Ele recebeu um e-mail de spear-phishing supostamente do executivo-chefe da empresa controladora alemã da empresa. Isso pedia um pagamento de £ 243.000 (cerca de US $ 335.000) a ser feito a um fornecedor húngaro dentro de uma hora. Foi imediatamente seguido por um telefonema do presidente-executivo, confirmando que o pagamento era urgente e deveria ser feito imediatamente.

A vítima diz que não apenas reconheceu seu chefe &’ voz e leve sotaque alemão, mas ele também reconheceu a cadência e enunciação cuidadosa. Então, ele felizmente fez o pagamento.

RELACIONADO: Deepfakes de áudio: alguém pode saber se eles são falsos?

Contramedidas

A ameaça potencial de deepfakes foi reconhecida pelo governo dos EUA. O Malicious Deep Fake Prohibition Act de 2018 e o Identifying Outputs of Generative Adversarial Networks Act ou IOGAN Act foram criados em resposta direta às ameaças representadas por deepfakes.

Publicidade

As empresas precisam incluir discussões sobre deepfakes em seus treinamentos de conscientização sobre segurança cibernética. O treinamento de conscientização cibernética deve fazer parte da introdução de um novo iniciador e deve ser repetido periodicamente para todos os funcionários.

Até agora, os ataques que foram vistos são versões polidas de ataques de phishing e spear-phishing. Procedimentos simples podem ajudar a interceptar muitos deles.

• Nenhuma transferência de finanças deve ser realizada somente após o recebimento de um e-mail.
• Uma chamada telefônica de acompanhamento deve ser feita do destinatário do e-mail para o remetente, não do remetente para o destinatário.
• Frases de desafio podem ser incorporadas de forma que um invasor externo não saiba.
• Faça uma referência cruzada e verifique novamente tudo o que está fora do comum.