Yapay zekâ güdümlü aldatma: Kurumsal dolandırıcılığın yeni yüzü

Kötü niyetli yapay zekâ kullanımı, dolandırıcılık ortamını yeniden şekillendiriyor ve yaratıyor: İşletmeler için yeni riskler büyük.

Yapay zekâ (AI) birçok işletme için harika şeyler yapıyor. Verimlilik ve maliyet tasarrufu için tekrarlayan görevlerin otomatikleştirilmesine yardımcı oluyor, Müşteri Hizmetlerini ve kodlamayı güçlendiriyor. Ve gelişmiş iş karar alma süreçlerini yönlendirmek için içgörüler ortaya çıkarmaya yardımcı oluyor. Ekim 2023’te Gartner, kuruluşların %55’inin üretken yapay zekâ (GenAI) ile pilot veya üretim aşamasında olduğunu tahmin ediyordu. Bu rakam bugün kesinlikle daha yüksektir.
 
Ancak suç örgütleri de bu teknolojiyle yenilikler ortaya koyuyor ve bu da her yerdeki BT ve iş liderleri için kötü haber anlamına geliyor. Artık artan dolandırıcılık tehdidiyle mücadele etmek için insanlara, süreçlere ve teknolojiye odaklanan katmanlı bir müdahaleye ihtiyacınız var.

En son yapay zekâ ve deepfake tehditleri nelerdir? 

Siber suçlular yapay zekânın ve deepfake’lerin gücünü çeşitli şekillerde kullanmaktadır. Bunlara birlikte bakalım: 

• Sahte çalışanlar: Kuzey Korelilerin uzaktan çalışan BT serbest çalışanları gibi davranarak yüzlerce şirkete sızdığı bildirildi. Bu kişiler, sahte özgeçmişler ve sahte belgeler derlemek için yapay zekâ araçlarını kullanıyor. Yapay zekâ tarafından manipüle edilmiş görüntüler de dahil olmak üzere arka plan kontrollerini geçiyorlar. Nihai amaç Kuzey Kore rejimine geri göndermek için para kazanmanın yanı sıra veri hırsızlığı, casusluk ve hatta fidye yazılımıdır. 

• Yeni bir BEC dolandırıcılığı türü: Deepfake ses ve video klipleri, finans çalışanlarının kurumsal fonları dolandırıcının kontrolündeki hesaplara aktarmaları için kandırıldığı iş e-postası tehlikesi (BEC) tipi dolandırıcılığı güçlendirmek için kullanılıyor. Yakın zamanda yaşanan kötü bir vakada bir finans çalışanı, video konferans görüşmesinde deepfake’lerden yararlanarak şirketin CFO’su ve diğer personel üyeleri gibi davranan dolandırıcılara 25 milyon dolar aktarmaya ikna edildi. Ancak bu durum hiçbir şekilde yeni değil: 2019’da İngiltere’de bir enerji yöneticisi, patronunun deepfake versiyonuyla telefonda konuştuktan sonra dolandırıcılara 200.000 sterlin havale etmeye ikna edilmişti. 

• Kimlik doğrulama baypası: Deepfake’ler dolandırıcıların meşru müşterileri taklit etmelerine, yeni kişilikler yaratmalarına ve hesap oluşturma ve oturum açma için kimlik doğrulama kontrollerini atlamalarına yardımcı olmak için de kullanılıyor. Özellikle sofistike bir kötü amaçlı yazılım olan GoldPickaxe, daha sonra deepfake videolar oluşturmak için kullanılan yüz tanıma verilerini toplamak üzere tasarlanmıştır. Bir rapora göre, geçen yıl tüm küresel dijital hesap açılışlarının %13,5’inin dolandırıcılık faaliyeti olduğundan şüpheleniliyordu. 

• Deepfake dolandırıcılığı: Siber suçlular, yatırım ve diğer dolandırıcılıkları ilerletmek için sosyal medyada şirket CEO’larını ve diğer yüksek profilli kişileri taklit etmek gibi daha az hedefli yollarla da deepfake’leri kullanabilir. ESET’ten Jake Moore’un gösterdiği gibi teorik olarak herhangi bir kurumsal yönetici aynı şekilde mağdur edilebilir. Benzer bir şekilde, ESET’in son Tehdit Raporu’nda açıklandığı üzere siber suçlular, Nomani adı verilen yeni bir yatırım dolandırıcılığı türünün bir parçası olarak kurbanları cezbetmek için deepfake’lerden ve şirket adına olan sosyal medya paylaşımlarından yararlanıyor.

• Parola kırma: Yapay zekâ algoritmaları müşterilerin ve çalışanların parolalarını kırarak veri hırsızlığı, fidye yazılımı ve kitlesel kimlik dolandırıcılığına olanak sağlayabilir. Bu örneklerden biri olan PassGAN‘nin parolaları yarım dakikadan daha kısa bir sürede kırabildiği bildiriliyor.

• Belge sahteciliği: Yapay zekâ tarafından üretilen veya değiştirilen belgeler, bankalarda ve diğer şirketlerde “müşterini tanı (KYC)” kontrollerini atlamanın bir başka yoludur. Ayrıca sigorta dolandırıcılığı için de kullanılabilirler. Hasar yöneticilerinin neredeyse tamamı (%94), ‘taleplerin en az %5’inin, özellikle de düşük değerli taleplerin yapay zekâ ile manipüle edildiğinden şüphelenmektedir 

• Kimlik avı ve keşif: Birleşik Krallık Ulusal Siber Güvenlik Merkezi (NCSC), siber suçluların üretken ve diğer yapay zekâ türlerinden elde ettikleri artış konusunda uyarıda bulundu. Merkez, 2024’ün başlarında bu teknolojinin “önümüzdeki iki yıl içinde siber saldırıların hacmini kesinlikle artıracağını ve etkisini yükselteceğini” iddia etti. Özellikle sosyal mühendisliğin etkinliğini artırma ve hedeflerin keşfi üzerinde yüksek bir etkiye sahip olacaktır. Bu durum fidye yazılımları ve veri hırsızlığının yanı sıra müşterilere yönelik geniş çaplı kimlik avı saldırılarını da körükleyecektir. 

Yapay zekâ tehditlerinin etkisi nedir? 

Yapay zekâ destekli dolandırıcılığın etkisi, nihayetinde çeşitli derecelerde finansal ve itibar hasarıdır. Bir rapor, geçtiğimiz yıl dolandırıcılık nedeniyle kaybedilen gelirin %38’inin yapay zekâ destekli dolandırıcılıktan kaynaklandığını tahmin ediyor. Nasıl olduğunu düşünün: 

• KYC baypası, dolandırıcıların kredi kullanmasına ve yasal müşteri hesaplarındaki fonları boşaltmasına olanak tanır, 

• Sahte çalışanlar hassas IP ve düzenlemeye tabi müşteri bilgilerini çalarak finansal, itibar ve uyum sorunlarına yol açabilir, 

• BEC dolandırıcılığı tek seferde büyük kayıplara yol açabilir. Bu kategori, siber suçlulara yalnızca 2023 yılında 2,9 doların üzerinde milyar kazanç sağlamıştır, 

Yapay zekâ destekli dolandırıcılığa karşı mücadele 

Yapay zekâ destekli dolandırıcılıktaki bu artışla mücadele etmek, insanlara, süreçlere ve teknolojiye odaklanan çok katmanlı bir müdahale gerektirmektedir. Buna şunlar dahil olmalıdır: 

• Sık sık dolandırıcılık riski değerlendirmeleri, 

• Dolandırıcılıkla mücadele politikalarının yapay zekâya uygun hâle getirilmesi için güncellenmesi, 

• Personel için kapsamlı eğitim ve farkındalık programları (örneğin, kimlik avı ve derin sahtekârlıkların nasıl tespit edileceği konusunda), 

• Müşteriler için eğitim ve farkındalık programları, 

• Tüm hassas kurumsal hesaplar ve müşteriler için çok faktörlü kimlik doğrulamanın (MFA) devreye alınması, 

• Kariyer tutarsızlıkları için özgeçmişlerin taranması gibi çalışanlar için geliştirilmiş geçmiş kontrolleri, 

• İşe almadan önce tüm çalışanlarla video mülakatı yapılması, 

Örneğin yapay zekâ teknolojisi de bu mücadelede kullanılabilir: 

• Derin sahtekârlıkları tespit için yapay zekâ destekli araçlar (örneğin KYC kontrollerinde), 

• Personel ve müşteri verilerindeki şüpheli davranış kalıplarını tespit etmek için makine öğrenimi algoritmaları, 

• Yeni dolandırıcılık modellerinin geliştirilebileceği, test edilebileceği ve eğitilebileceği sentetik veriler üretmek için üretken yapay zekâ. 

Kötü niyetli ve iyi niyetli yapay zekâ arasındaki savaş yoğun bir yeni aşamaya girerken kuruluşlar gelişen tehdit ortamına ayak uydurmak için siber güvenlik ve dolandırıcılıkla mücadele politikalarını güncellemelidir. Tehlikede olan bu kadar çok şey varken bunu yapmamak uzun vadeli müşteri sadakatini, marka değerini etkileyebilir ve hatta önemli dijital dönüşüm girişimlerini raydan çıkarabilir. 

Yapay zekâ, düşmanlarımız için oyunu değiştirme potansiyeline sahip. Ancak bunu kurumsal güvenlik ve risk ekipleri için de yapabilir.