Jak zmieniała się technologia deepfake?
Zanim wyjaśnimy cyberprzestępczy proceder z użyciem deepfake’ów, musimy wyjaśnić, jak działa ta technologia i jaką drogę przeszła i czemu stała się tak niebezpieczna. Deepfake rozwijany był w zasadzie od lat 90. XX wieku przez naukowców z różnych instytutów badawczych na całym świecie.
Jednak w ostatnich kilku latach technologią szerzej zainteresował się biznes czy internetowi aktywiści. Deepfake okazał się niezwykle przydatny, np. w przemyśle filmowym, bo dzięki niemu łatwiej jest np. odmładzać aktorów, grających chociażby w prequelach albo „wskrzeszać na ekran” tych odtwórców ról, którzy już dawno nie żyją.
Tak stało się np. w filmie Łotr 1. Gwiezdne Wojny – historie, gdzie Guy’owi Henry’emu za pomocą technologii deepfake zamieniono twarz na tę należącą do Petera Cushinga – oryginalnego odtwórcę roli wielkiego moffa Turkina w Gwiezdnych Wojnach.
A to tylko jeden z licznych przykładów pożytecznego użycia tej technologii. Niestety, deepfake ma też swoje ciemne strony. W internecie zaczęło pojawiać się coraz więcej np. treści pornograficznych, w których twarze aktorów i aktorek podmieniane są na wizerunek np. celebrytów, influencerek itd. itp.
Do swojego działania deepfake wykorzystuje głębokie sieci neuronowe, które są rodzajem sztucznej inteligencji. Rozwój tej technologii poszedł do przodu na tyle, że w zasadzie nie trzeba zbyt wielkiego materiału źródłowego, żeby wygenerować wideo czy dźwięk. W połączeniu z innymi generatywnymi AI technologia deepfake udostępnia cyberprzestępcom potężne narzędzie do szantażu, phishingu, czy niszczenia reputacji. I może stać się zagrożeniem również dla twojej firmy czy marki.
Phishing i spear pishing – deepfake to poważne zagrożenie
Istnieje wiele rodzajów cyberprzestępstw, jedne są mniej, a inne bardziej wyrafinowane. Jednak żadne nie jest tak powszechne, jak phishing. Zgodnie z danymi Stationx.net szacuje się, że cyberprzestępcy wysyłają codziennie ok. 3,4 mld wiadomości phishingowych.
Oczywiście – większość z nich jest dość prosta i bazuje nie tyle na jakości, co na ilości. Weźmy pod uwagę czystą statystykę – jeśli cyberprzestępca roześle 20 tys. wiadomości phishingowych miesięcznie i nabierze się na nie tylko 1%, to tym samym jego ofiarom padnie 200 osób.
Jednak w świecie cyberzagrożeń mamy też do czynienia z bardziej wyrafinowanymi technikami, np. spear phishing, w którym celuje się w konkretne organizacje czy osoby. A co może być skuteczniejsze niż połączenie wiadomości phishingowej z technologią deepfake? Załóżmy, że twój pracownik dostanie od ciebie „wiadomość”, np. głosową z konkretnym poleceniem, chociażby przelaniem środków na konkretne konto. Albo niech będzie to wręcz wideo, w którym rzekomo go do tego namawiasz.
Tylko co jeśli to tak naprawdę nie będziesz ty, a deepfake? Jeśli twój pracownik nie potrafi rozpoznać działania tej technologii – może być naprawdę źle. Myślisz sobie, że tobie to nie grozi? Popularnym i powszechnym narzędziom wystarczy tak naprawdę kilka minut do wygenerowania fałszywego obrazu czy dźwięku z tobą w roli głównej. Wystarczy niewielka próbka, dosłownie trzysekundowa – z wywiadu, podcastu, filmiku promocyjnego firmy, czy nawet nagranej rozmowy telefonicznej.
Deepfake – oszustwo na ponad 620 tys. dolarów
Bardziej wyrafinowani cyberprzestępcy idą o jeszcze krok dalej i wykorzystują technologię deepfake aktywnie. Zamiast wysyłać nagrania wideo czy audio, łączą się ze swoimi potencjalnymi ofiarami na popularnych komunikatorach i w ten sposób nakłaniają je do swoich celów.
W maju 2023 r. Reuters opisał głośną sprawę chińskiego oszusta, który za pomocą deepfake’a zmienił swój wizerunek, połączył się ze swoją ofiarą na Zoomie i pozyskał od niej 622 tys. dolarów.
Z kolei w 2024 r. pracownik finansowy w Hongkongu wypłacił 25 mln dolarów domniemanemu dyrektorowi finansowemu z Wielkiej Brytanii po podobnej rozmowie z użyciem technologii deepfake. Co gorsza – początkowo Hongkończyk podejrzewał, że ma do czynienia ze spear phishingiem, bo zaczęło się od maila, ale rozmowa wideo rozwiała jego wątpliwości. Ty czy twój pracownik niestety również możecie paść ofiarą podobnego oszustwa.
Warto tutaj też dodać, że jeśli jesteś rozpoznawalną marką – czy to jeśli mowa o organizacji, czy osobie – cyberprzestępcy mogą też się pod ciebie podszywać, aby oszukiwać innych. Na całym świecie mamy mnóstwo przykładów podszywania się pod znane osoby, organizacje czy instytucje. Mowa tutaj o deepfake’ach, w których cyberprzestępcy podszywali się m.in. pod Mateusza Morawieckiego, Donalda Trumpa, Baracka Obamę, Janusza Kowalskiego, Nancy Pelosi, Taylor Swift itd. itp.
Tym samym nie tylko mogą oszukać twoich potencjalnych klientów czy osób obserwujących cię w internecie, ale też naruszyć w ten sposób twoją reputację.
Szarganie reputacji za pomocą deepfake’ów
A skoro już przechodzimy do psucia dobrej opinii, to technologię deepfake cyberprzestępcy mogą też wykorzystać przeciwko tobie, próbując wrobić cię w przestępstwa czy czyny moralnie nieakceptowalne. Nietrudno sobie wyobrazić, że za pomocą sztucznej inteligencji mogliby wygenerować treść, w której popełniasz jakieś przestępstwo, nakłaniasz do łamania prawa lub oszustwa itd. itp.
Ba, deepfake’ami można też namieszać, szerząc dezinformację. Twoja firma może paść ofiarom trollingu, w którym cyberprzestępca stworzy fałszywe wideo, w którym np. mówisz o grupowych zwolnieniach w swojej organizacji. W 2022 r. internet obiegło takie wideo z Elonem Muskiem, który w trakcie wideokonferencji na Zoomie miał zwalniać po kolei pracowników Twittera. Problem jednak w tym, że… nic takiego nie miało miejsca, a wideo zostało zmanipulowane.
Oczywiście – twórcy tego wideo wskazali w opisie, że jest to żart (choć nie podkreślili tego na początku), ale kiedy materiał poszedł viralowo (bo na samym głównym kanale obejrzano je 10 mln razy), to autorzy dowcipu stracili nad nim kontrolę i niektóre osoby naprawdę uwierzyły w to, co widzą. A co jeśli nie byłby to niewinny żart i twoja firma naprawdę ucierpiałaby w ten sposób?
Deepfake i handel podróbkami
Technologia deepfake jest też wykorzystywana przez nieuczciwą konkurencję i organizacje, które podrabiają oryginalne produkty – czy to cyfrowe, czy fizyczne. Oszuści tworzą materiały reklamowe, podszywając się pod znane marki i namawiają do zakupu produktów w nieautoryzowanych sklepach. Tym samym zwiększają swoją sprzedaż.
Jednak jeśli konsument czy klient się na to nabierze i będzie święcie przekonany, że to twój produkt jest tak naprawdę niskiej jakości, prawdopodobnie z negatywną opinią uderzy w ciebie, a nie w fałszerzy.
Jak rozpoznawać deepfake?
A jak rozpoznać deepfake? Obrazy czy treści wideo nim wygenerowane nie są doskonałe. Nierzadko mimika jest niedopasowana do treści, jaka pada z ust danej osoby. Również często pojawia się problem z synchronizacją ruchu warg z wypowiadanymi słowami. Jest ona np. opóźniona albo niekoniecznie dostosowana do języka.
W kontekście treści audio problem pojawia się np. ze zbyt szybkim, jednostajnym wypowiadaniem zdań albo błędną intonacją. Kiedy cyberprzestępca stojący za procederem jest obcokrajowcem, możemy też usłyszeć np. błędy językowe charakterystyczne dla tłumaczenia treści, czy to przez Google’a, czy Chat GPT.
Jak bronić się przed deepfake’ami?
Pierwszym krokiem w obronie przed deepfake'ami jest zwiększenie świadomości wśród pracowników na temat tego, czym jest i jak działa ta technologia, bo jak widzisz po przykładzie z Chin czy Hongkongu – nierzadko to człowiek jest tym najsłabszym ogniwem. A zwłaszcza w takim przypadku jak deepfake.
Twoja firma powinna prowadzić regularne szkolenia dotyczące zagrożeń związanych z deepfake'ami oraz informować pracowników o sposobach rozpoznawania fałszywych multimediów. Im bardziej pracownicy będą świadomi tego zagrożenia, tym łatwiej będzie im bronić się przed nim. Warto również wyrobić wśród pracowników nawyk związany z weryfikowaniem i poszukiwaniem źródła treści, z którego pochodzą dane pliki multimedialne.
Z pomocą mogą też przyjść wszelkiego rodzaju organizacje, które specjalizują się w wykrywaniu zmanipulowanych treści czy uwierzytelnianiu wieloskładnikowemu. Dlaczego wieloskładnikowemu? Bo niestety – aplikacje stosujące np. rozpoznawanie twarzy – nierzadko są podatne na technologię deepfake. Dlatego warto korzystać z wielu rodzajów uwierzytelniania.
Musisz też zaktualizować procedury bezpieczeństwa w swojej organizacji, wdrażając np. zasadę, że jeśli pracownicy wysyłają maile, to muszą zadbać o unikalny podpis cyfrowy. Albo, gdy mowa o przekazywaniu poufnych informacji czy wysyłaniu przelewów – muszą wymieniać się unikalnym hasłem, o którym cyberprzestępca nie miałby prawa wiedzieć.
Co jednak w przypadku gdy twoja organizacja „oberwała” deepfakiem niebezpośrednio? Np. w kontekście wspomnianych wcześniej podróbek czy phishingu na potencjalnych klientach? Wtedy w grę wchodzą już tylko kwestie PR-owe. Dlatego warto korzystać z narzędzi monitorujących wspomnienia o twojej organizacji w sieci, aby w porę reagować. Musisz też edukować swoich klientów, żeby mieli świadomość, że takie technologie istnieją i również dla nich mogą stanowić zagrożenie.
Rząd zainteresuje się problemem deepfake’ów?
Podczas konferencji SECURE 2024 organizowanej przez NASK wiceminister Krzysztof Śmiszek podkreślił, że sztuczna inteligencja odgrywa coraz większą rolę w naszym życiu. I tyczy się to również deepfake’ów. Podzielił się on swoją historią, w której za pomocą rzeczonej technologii wygenerowano wideo, w którym przekonywał, że skomplikowane hasła są niepotrzebne, a jego ulubionym jest „55555”.
Z podobnym problemem zetknęła się jego siostra, która jest lektorką. Jej głos został użyty przez cyberprzestępców do reklamowania produktów, o których istnieniu nawet nie zdawała sobie sprawy. Wiceminister Śmiszek podkreślał w ten sposób, że problem deepfake’ów został przez państwo zauważony.
Podkreślił jednocześnie, że mamy do dyspozycji przepisy, które mogą nas ochronić, np. przepisy kodeksu karnego, art. 190a par. 2, który mówi o tym, że grozi kara od sześciu miesięcy do ośmiu lat za podszywanie się pod inną osobę, wykorzystywanie jej wizerunku, jej innych danych osobowych lub innych danych, za pomocą których jest publicznie identyfikowalna, przez co wyrządza się jej szkodę osobistą. Mamy też do dyspozycji prawo cywilne – art. 23 wymienia dobra osobiste, które podlegają ochronie, np. tożsamość, dobre imię.
Mimo wszystko przypomniał jednak, że AI jest o krok przed ustawodawcami, więc zapewne będziemy mogli się spodziewać zmian w prawie w najbliższym czasie, które lepiej zaadresują problem związany ze sztuczną inteligencją – w tym deepfake’ami.
Jak widzisz – deepfake to naprawdę zaawansowana technologia, która w niewłaściwych rękach może wyrządzić sporo krzywd tobie i twojej organizacji. Dlatego najważniejszą kwestią, jaką musisz zaadresować jest edukowanie siebie i swoich pracowników, aby jak najbardziej zminimalizować ryzyko związane z deepfake’ami.
