Finanzmitarbeiter überweist nach Videoanruf mit Deepfake-CFO 25 Millionen US-Dollar an Betrüger

• Laut der Polizei in Hongkong wurde ein Finanzmitarbeiter eines multinationalen Unternehmens dazu gebracht, Betrügern 25 Millionen US-Dollar zu überweisen, nachdem diese mithilfe von Deepfake-Technologie den Chief Financial Officer (CFO) des Unternehmens imitiert hatten
• Die Betrüger täuschten den Finanzmitarbeiter durch eine Videokonferenz mit per Deepfake nachgebildeten falschen Mitarbeitern
• Der Finanzmitarbeiter erhielt eine Nachricht von einem in Großbritannien ansässigen CFO, in der eine geheime Transaktion verlangt wurde, und vermutete zunächst Phishing, ließ seine Zweifel jedoch fallen, nachdem er in der Videokonferenz Gesichter und Stimmen von Personen sah und hörte, die er als Kollegen erkannte

Deepfake-Betrugsfall in Hongkong

• Die Polizei in Hongkong erklärte, dass es in letzter Zeit mehrere Fälle gegeben habe, in denen Deepfake-Technologie eingesetzt wurde, um Menschen zu täuschen und Geld zu stehlen
• Die Polizei nahm in diesem Zusammenhang sechs Personen fest
• Nach Angaben der Polizei wurden mit acht als verloren gemeldeten Hongkonger Ausweisen zwischen Juli und September des vergangenen Jahres 90 Kreditanträge gestellt und 54 Bankkonten eröffnet
• In mindestens 20 Fällen täuschten AI-Deepfakes Gesichtserkennungsprogramme, indem sie die Personen auf den Ausweisen imitierten
• Der Betrug mit dem falschen CFO wurde erst entdeckt, nachdem der Finanzmitarbeiter dies mit der Unternehmenszentrale abgeglichen hatte

Weltweit wachsende Sorgen über AI-Technologie

• Weltweit nehmen die Sorgen über die Weiterentwicklung der Deepfake-Technologie und das Potenzial für Missbrauch zu
• Ende Januar verbreiteten sich AI-generierte pornografische Bilder des US-Popstars Taylor Swift in den sozialen Medien und verdeutlichten das schädliche Potenzial von AI-Technologie
• Die Bilder der Sängerin in sexuell anzüglichen und expliziten Posen wurden zig Millionen Mal angesehen, bevor sie von den sozialen Plattformen entfernt wurden

Meinung von GN⁺

• Die Weiterentwicklung der Deepfake-Technologie zeigt, dass sie in gesellschaftlichen und wirtschaftlichen Bereichen zu einer ernsthaften Bedrohung werden kann. Es ist wichtig zu verstehen, wie diese Technologie für Betrug und Kriminalität missbraucht werden kann
• Dieser Artikel schärft das Bewusstsein für die Risiken von Deepfake-Technologie und unterstreicht, warum Einzelpersonen und Unternehmen der Sicherheit mehr Aufmerksamkeit schenken müssen
• Der Artikel hilft dabei, das Bewusstsein für die negativen Seiten des technologischen Fortschritts zu schärfen und die Bedeutung von Gegenmaßnahmen hervorzuheben

[GN⁺]

Hacker-News-Kommentare

• Viele mittelgroße und gehobene Hotels in den USA gehören Personen indischer Herkunft mit dem Nachnamen Patel.

  • Betrugsanrufe, bei denen jemand mit dem Nachnamen Patel unter dem Vorwand einer Notlage um eine Überweisung bittet, kommen häufig vor.
  • Hotelmitarbeiter glauben das mitunter und brechen Tresore auf oder überweisen Geld von privaten Konten.
  • Diese Betrugsmaschen nutzen Social Engineering, ganz ohne KI oder Deepfake-Technologie.

• Ein kultureller Faktor namens „Power Distance“ könnte zu solchen Betrugsfällen beitragen.

  • In manchen Kulturen werden Verfahren ignoriert und Anweisungen von Vorgesetzten bedingungslos befolgt.
  • Ähnliche Fälle wurden auch aus einigen Hardware-Technikunternehmen in den USA berichtet.

• In Frankreich gab es Mitarbeiter, die Geld überwiesen, nachdem sie auf Anrufe hereingefallen waren, die angeblich vom CEO, CFO oder von Anwälten kamen.

  • Eine 2022/2023 festgenommene franco-israelische Bande erbeutete durch Betrug mindestens 38 Millionen Euro.
  • Sie gaben sich als CEOs aus, ohne Deepfake-KI einzusetzen.

• Es gibt die Behauptung, dass in einer Videokonferenz mit mehreren Teilnehmern alle Teilnehmer gefälscht gewesen seien.

  • Das könnte tatsächlich so gewesen sein, aber es ist auch möglich, dass ein Mitarbeiter Deepfakes als Ausrede vorgeschoben hat.
  • Es wird die Frage aufgeworfen, wann Betrüger in großem Stil Videoanrufe einsetzen werden, um Eltern oder Großeltern als ihre Kinder Geld abzunehmen, und wie sich das verhindern ließe.

• Ein im Finanzbereich tätiger Mitarbeiter aus Boston überwies 2023 6 Millionen Dollar an Betrüger.

  • Es gab Social-Engineering-Elemente, aber keinen Hinweis auf Deepfakes.
  • Beim MGM-Casino-Hack 2023 wurden technische Support-Mitarbeiter mithilfe von Deepfakes getäuscht, sodass MFA umgangen werden konnte.

• Es gibt Spekulationen über die Möglichkeit, dass der CFO mit Deepfake-Experten zusammenarbeitet und die Gewinne teilt.

  • Das ist in diesem Fall nicht tatsächlich passiert, richtet den Blick aber auf mögliche künftige Szenarien.

• Die Behauptung, dass in einer Videokonferenz mit mehreren Teilnehmern alle Teilnehmer gefälscht gewesen seien, wird erneut erwähnt.

  • Das deutet auf erheblichen Vorbereitungsaufwand hin, etwa das Sammeln von Bild- und Sprachproben jedes Teilnehmers.
  • Wenn ein solches Maß an Raffinesse bereits erreicht ist, dürften neue Verfahren zur Verifizierung von Teilnehmern bei sensiblen Meetings entstehen.

• Es ist schwer nachzuvollziehen, wie so etwas in einem großen Unternehmen passieren kann.

  • Damit eine Transaktion stattfindet, braucht es klar dokumentierte Verfahren.
  • Damit eine Transaktion genehmigt wird, sind mehrere Freigabestufen erforderlich, und die Person, die die Zahlung erfasst, sollte nicht dieselbe sein wie die Person, die sie genehmigt.
  • Sobald eine Transaktion erfasst wird, muss sie eine erste Freigabe durchlaufen; abhängig vom Zahlungslimit sind weitere Freigaben erforderlich.

• Es wird die Frage nach Software aufgeworfen, mit der sich Menschen mithilfe von Deepfakes tatsächlich täuschen lassen.

  • Eine solche Software hat man bislang noch nicht gesehen, und es besteht Zweifel daran, ob es bereits Produkte gibt, die wirklich überzeugend genug sind.

• Diese Betrugsfälle scheinen auf schlechte Prozesse im Unternehmen zurückzugehen.

  • Bei großen Geldbeträgen reicht ein Videoanruf allein nicht aus.
  • Erforderlich sind eine Bestätigung per E-Mail, Gespräche über den Firmenchat und Telefonate mit hochrangigen Verantwortlichen auf dem Handy.