Chasse à la baleine avec un Deepfake

Qu'est-ce que Chasse à la baleine avec un Deepfake?

En 2024, un employé des finances de Hong Kong a participé à un appel vidéo avec ce qui semblait être son directeur financier et plusieurs collègues et a autorisé un transfert. Tous les autres participants étaient des deepfakes. Vous rejoindrez un appel similaire au cours duquel un cadre supérieur fait une demande financière urgente qui semble correcte. Vous découvrirez les artefacts qui révèlent encore la vidéo synthétique et les défenses qui tiennent même lorsque ce n'est pas le cas : rappel hors bande, mots de code convenus et approbation de plusieurs personnes pour les transferts.

Ce que vous apprendrez dans Chasse à la baleine avec un Deepfake

• Identifiez les artefacts visuels et audio actuels dans les vidéos deepfake, notamment les retards de synchronisation labiale, les mouvements oculaires artificiels et la distorsion des phonèmes.
• Appliquez la vérification hors bande en appelant le numéro de téléphone connu du responsable sur un appareil distinct pour confirmer les demandes d'appel vidéo.
• Mettre en œuvre des contrôles procéduraux comprenant des mots de code préétablis et une autorisation multi-personnes qui éliminent les deepfakes, quelle que soit leur qualité.
• Reconnaître qu'aucune transaction financière ne devrait jamais être autorisée uniquement par le biais d'un appel vidéo, quelle que soit la personne qui apparaît à l'écran.
• Reconnaître qu'un deepfake en temps réel peut répondre aux objections en direct, donc une conversation convaincante ne constitue pas une preuve d'identité

Chasse à la baleine avec un Deepfake — Étapes de la formation

1. Présentation

   C'est un vendredi matin chargé. Alice doit partir pour des vacances de deux semaines en Europe à partir de lundi matin, et il y a de nombreux rapports financiers à finaliser et approbations à finaliser avant son départ. Assise à son bureau, elle examine les allocations budgétaires trimestrielles sur son ordinateur portable. Son calendrier affiche des réunions consécutives pour le reste de la journée et sa boîte de réception affiche 47 messages non lus. Elle prend une gorgée de café et soupire, sachant que ce sera une longue journée de rattrapage au travail.

2. Une invitation à une réunion inattendue

   Alice's email notification chimes. Elle ouvre son application de messagerie et voit un nouveau message provenant de ce qui semble être l'e-mail du PDG avec la ligne d'objet « URGENT : Réunion confidentielle du conseil d'administration - Attention immédiate requise ».

3. Rejoindre la réunion Zoom

   Même si elle se sent légèrement pressée, Alice remarque l'urgence dans le ton du PDG et rejoint immédiatement la réunion. La réunion se charge rapidement et elle voit ce qui semble être Michael Thompson devant la caméra. La qualité vidéo semble légèrement pixellisée, mais Alice attribue cela à des problèmes de réseau.

4. Rejoindre l'appel vidéo

   Alice se joint à l'appel. Elle ne sait pas que le PDG à l'écran est un deepfake d'IA en temps réel : l'attaquant parle et bouge, et le logiciel transforme son visage et sa voix en ceux de Michael au fur et à mesure qu'il avance. Le PDG commence immédiatement à parler. La voix ressemble exactement à celle de Michael Thompson et les traits du visage sont convaincants malgré quelques artefacts vidéo mineurs.

5. L'acquisition secrète

   Michael a informé les participants à l'appel que la société acquiert secrètement TechFlow Industries et nécessite une réponse rapide. Il demande l'approbation immédiate du conseil d'administration et déclare qu'un virement bancaire de $2.8 millions doit être organisé par le département financier avant la fin de la journée pour garantir le dépôt. L'affaire est hautement confidentielle et les coordonnées bancaires suivront bientôt. Le PDG a souligné qu'il ne fallait pas les contacter directement, car il serait occupé à des réunions juridiques continues pendant le reste de la journée.

6. Les instructions de virement bancaire arrivent

   Vingt minutes plus tard, un autre email arrive de la même adresse d’expéditeur. Alice est toujours à son bureau, essayant de terminer ses préparatifs de vacances.

7. Accéder au système de paiement

   Alice se connecte au portail financier de Ormsgrave et lance un virement bancaire vers les coordonnées bancaires fournies dans l'e-mail de Michael.

8. Soumettre les détails du transfert

   Elle saisit toutes les informations bancaires de l'e-mail : le nom du bénéficiaire « TechFlow Acquisition Holdings LLC », le numéro de compte, le numéro de routage et le montant de $2,800,000.. Alice revérifie les numéros par rapport à l'e-mail et procède à l'autorisation. La transaction est soumise avec succès et sera traitée dans les 24 heures. Elle se sent accomplie d'avoir traité efficacement cette demande urgente avant ses vacances.

9. L'e-mail du vrai PDG

   En fin d'après-midi, alors qu'Alice s'apprête à quitter le bureau pour le week-end, elle reçoit un autre e-mail. Cette fois, il s'agit de l'adresse e-mail réelle du véritable PDG.

10. La réalisation

    Alice revient sur le courriel précédent du PDG. Quelque chose ne va pas. Elle examine de plus près l'adresse e-mail de l'expéditeur.