Deepfake Phishing
7. Oktober 2022

Deepfake Phishing: neue Gefahren für Unternehmen und Organisationen

Die Weiterentwicklung künstlicher Intelligenz und damit verbundener Technologien bringt Unternehmen nicht nur Vorteile. Das sogenannte Deepfake Phishing nutzt diese, um irreführende Audio-, Video- und Bilddateien zu erzeugen. Die Dateien verleiten User zur Preisgabe sensibler Informationen oder zur Vornahme anderer Handlungen, mit dem Ziel, den Hackern einen wirtschaftlichen Vorteil zu verschaffen.

Was ist Deepfake Phishing?

Deepfake Phishing zählt zu den neuesten Angriffsmethoden von Cyberkriminellen. Wie auch bei anderen Phishing-Methoden, beispielsweise dem CEO-Fraud, wird auch beim hier den Opfern des Angriffs eine falsche Identität vorgespiegelt. Allerdings beschränken sich die Hacker hierbei nicht auf technische Details wie die Manipulation von Absenderadressen. Sie setzen vielmehr auf Verfahren zur Manipulation von medialen Identitäten.

Im Vordergrund stehen dabei die Medienformen Video bzw. Bild, Audio und Text. Sie werden für die unterschiedlichen Angriffsarten genutzt, indem durch Methoden aus dem Bereich der KI Fälschungen erstellt werden. Wie diese aussehen, zeigen wir Ihnen im folgenden Überblick:

Gesichtsfälschung

Bei der Gesichtsfälschung bedienen sich Cyberkriminelle folgenden Methoden:

  1. Face Swapping: Die Gesichter in einem Video werden getauscht.
  2. Face Reenactment: Die Bewegungen und Mimik einer Person werden im Video frei gesteuert. 
  3. Erstellung von Pseudoidentitäten: Die Cyberkriminiellen erstellen komplett neue Identitäten, welche in der Realität gar nicht existieren. 

Manipulation von Stimmen

Auch Stimmen lassen sich fälschen. Dabei kommen hauptsächlich zwei Verfahren in Betracht:

  1. Text-to-Speech: Hier wird zu einem vorgegebenen Text ein Audiosignal erzeugt. Dieses hört sich sowohl für menschliche Hörende als auch für eine Spracherkennungssoftware wie die imitierte Person an. 
  2. Voice Conversion:  Dabei wird mit vorhandenen Audiosignalen „trainiert“, die zu manipulierten Audiosignalen umgewandelt werden. Dadurch klingt das vorhandene Audiosignal, wie von der imitierten Person gesprochen.

Textfälschung

Dank neuer KI-Methoden ist es für Hacker auch möglich, ihre Opfer zu täuschen, indem sie lange und zusammenhängende Texte erzeugen. Diese können für Laien nur schwer von „echten“, also von durch Menschen erstellten Texten, unterschieden werden. Cyberkriminelle nutzen diese Methode, um täuschend echte Nachrichten zu verfassen oder auch, um in 1:1-Chats ein scheinbar echtes Gegenüber zu simulieren. 

Warum ist Deepfake Phishing so gefährlich?

Die neuen Methoden der Hacker und die Weiterentwicklung der KI sorgen für neue, extrem bedrohliche Risiken in Unternehmen und Organisationen. Dies liegt vor allem daran, dass es nun möglich ist, Identitäten im medialen Umfeld zu erzeugen, die für Laien nicht von real existierenden Personen unterschieden werden können. 

Dies ist in den folgenden Fällen von besonderer Brisanz:

  • Biometrische Systeme: Systeme und Verfahren, die maßgeblich von biometrischen Merkmalen abhängen, lassen sich per Deepfake Phishing schnell in die Irre führen. Dabei versteht man unter biometrischen Merkmalen jene Eigenschaften, die biologisch mess- und erfassbar sind, etwa Fingerabdrücke oder die Stimmfarbe. Bei Identifikationsverfahren (zum Beispiel im Rahmen der Spracherkennung) können Deepfakes erfolgreich das System täuschen und so Berechtigungen erlangen oder Informationen abgreifen.
  • Social Engineering: Beim Social Engineering geben sich die Hacker als Vertraute des Opfers aus, zum Beispiel als Mitarbeitende oder als Führungskräfte des Unternehmens. Sie erschleichen sich über die zunächst harmlose Kommunikation das Vertrauen des Opfers. Dieses wird genutzt, um anschließend erfolgreich einen Angriff auf sensible Daten oder Unternehmensinformationen durchzuführen. Per Deepfake Phishing können die Cyberkriminellen beispielsweise durch einen angeblichen Anruf eines Mitarbeitenden das Opfer auch dazu bringen, bestimmte Handlungen vorzunehmen oder finanzielle Mittel abzugreifen. 
  • Verleumdung und Rufschädigung: Dort, wo Deepfakes eingesetzt werden, lassen sich auch Personen in prekären Situationen darstellen (zum Beispiel per Bild oder Video, auf dem das Opfer angeblich eine bestimmte Handlung vornimmt) und so deren Ruf bzw. Image nachhaltig schädigen. 

Welche bekannten Deepfakes gibt es?

Deepfakes verzeichnen nicht selten große mediale Aufmerksamkeit. Das liegt auch daran, dass diese Täuschungen so echt sind, dass es selbst mit geübtem Auge nicht möglich ist, sie zu erkennen. Allerdings sind diese nicht zwingend mit einem Cyberangriff verbunden, sondern dienen oft nur der Unterhaltung.

Krimineller Natur war der Einsatz eines Deepfakes 2015. Der chinesisch-österreichische Luftfahrtzulieferer FACC war in E-Mails getäuscht worden. Eine Mitarbeiterin in der Finanzbuchhaltung bekam durch bestimmte Formulierungen und die Wortwahl den Eindruck, dass der Vorstand in einer E-Mail einen Auftrag zur Überweisung von insgesamt 54 Millionen Euro erteilt hätte. Tatsächlich war die E-Mail zwecks Deepfake Phishing durch Cyberkriminelle verfasst worden. Diese konnten so insgesamt 44 Millionen Euro erbeuten; lediglich 10 Millionen Euro konnte der Flugzeugteilehersteller noch retten, bevor die Hacker darauf zugreifen konnten.

Auch der ehemalige US-Präsident Barack Obama war schon Bestandteil eines bekannten Deepfakes, bei dem dieser in einem Video vor den Gefahren von manipulierten Videos warnt und seinen Nachfolger im Amt, Donald Trump, als „Volltrottel“ beleidigt. Auch hierbei handelt es sich um ein komplett gefälschtes Video. Die dafür eingesetzte Technik war im Vorfeld durch vorhandenes Bildmaterial von Barack Obama bespielt und trainiert worden.

Deepfake Phishing erkennen und abwehren

Der Erfolg beim Deepfake Phishing ist wie auch bei anderen Cyberattacken maßgeblich davon abhängig, dass Menschen Fehler machen. Diese lassen sich in Unternehmen und Organisationen aber nur verhindern, indem  Mitarbeitende umfassend geschult und sensibilisiert werden. Die Informationssicherheit für Mitarbeitende wird damit zum Dreh- und Angelpunkt für den Schutz Ihres Unternehmens: Nur dort, wo Ihre Beschäftigen zur menschlichen Firewall werden, haben Cyberkriminelle keine Möglichkeit, auf sensible Daten und relevante Informationen zuzugreifen. Andererseits stellen unzureichend geschulte Mitarbeitende den größten Risikofaktor dar, wenn es darum geht, die Informationssicherheit in Ihrem Unternehmen zu untergraben.

Mit fortschreitenden Möglichkeiten zählt das Deepfake Phishing auch in Zukunft zu den gefährlichsten Arten von Cyberangriffen auf Unternehmen in Deutschland. Dabei spielt insbesondere auch eine Rolle, dass Deepfakes wirklich nur mit geschultem Auge zu erkennen sind. Daher ist eine nachhaltige Sensibilisierung Ihrer Mitarbeitenden nicht nur empfehlenswert, sondern unerlässlich, um die Sicherheit Ihres Unternehmens vor Cyberangriffen zu erhöhen. Neben Online-Schulungen zum Thema Ransomware oder zur effektiven Abwehr von Phishingattacken bietet lawpilots zusätzliches Wissen zum Thema Cyberattacken in unserem kostenlosen Whitepaper „Cyberangriffe verhindern“

lawpilots ist Marktführer in E-Learnings zu rechtlich-regulatorischen Themen und schult Ihre Mitarbeitenden nicht nur zum Thema IT-Sicherheit, sondern auch in den Bereichen Datenschutz, Compliance und Arbeitsschutz. Durch unsere interaktiven E-Learnings  stellen Sie sicher, dass Ihre Mitarbeitenden Ihr Unternehmen aktiv vor Bedrohungen und Schäden durch Hacker schützen und Risiken frühzeitig identifizieren und umgehen.

21. Oktober 2022
Biometrische Daten und Datenschutz: Gilt die DSGVO auch für Fingerabdruck & Co.?
23. September 2022
Cyberangriffe 2022 – das sind die brisantesten Fälle im DACH-Raum!
lawpilots GmbH hat 4,64 von 5 Sternen 2330 Bewertungen auf ProvenExpert.com