Um caso incomum de fraude contra CEO utilizou um áudio deepfake, ou seja, um áudio gerado por inteligência artificial (IA) e foi relatado que ludibriou US$ 243.000 de uma empresa de energia sediada no Reino Unido. De acordo com um relatório do Wall Street Journal, em março os fraudadores usaram um software de IA para gerar voz a fim de imitar a do executivo-chefe da empresa controladora com sede na Alemanha para facilitar uma transferência ilegal de fundos.

Os cibercriminosos ligaram para o CEO da empresa do Reino Unido fingindo ser o CEO da empresa controladora. Os criminosos exigiram que uma transferência eletrônica urgente fosse feita a um fornecedor com sede na Hungria e o CEO da empresa no Reino Unido teve a garantia de um reembolso. Após a transferência, o montante foi encaminhado para uma conta no México e depois para outros locais, dificultando a identificação dos fraudadores.

Os fraudadores ligaram para a empresa pela segunda vez para outra transferência, afirmando que o primeiro pagamento já havia sido reembolsado. Como o reembolso não foi bem-sucedido, o CEO da empresa no Reino Unido recusou. Na terceira ligação, os fraudadores tentaram exigir um pagamento de garantia. No entanto, essa ligação foi recebida com suspeita, principalmente porque a chamada foi feita usando um número de telefone austríaco.

Permaneça seguro contra golpes de engenharia social por meio de práticas recomendadas, soluções com Machine Learning

A fraude de áudio do deepfake é um novo ataque cibernético, destacando ainda mais como a inteligência artificial pode ser usada e abusada por cibercriminosos com a finalidade de dificultar a detecção de golpes. Apesar das novas formas de desviar dinheiro das empresas, as antigas formas já testadas e comprovadas, tais como o phishing e o comprometimento do e-mail comercial (BEC), permanecem sendo os principais vetores de ataque aos quais as empresas devem ficar atentas.

Os golpes do BEC continuam desfalcando grandes somas de dinheiro de empresas em escala global. De fato, o resumo de segurança da primeira metade de 2019 da Trend Micro informou que o BEC subiu 52% em relação ao segundo semestre de 2018. Recentemente, foi relatado que os cibercriminosos tentam roubar US$ 301 milhões por mês com golpes do BEC.

Para impedir que as organizações caiam em ataques de BEC, tanto o pessoal da empresa quanto os parceiros de negócios devem se esforçar em conjunto para praticar a prudência e aumentar a conscientização sobre segurança dentro da organização. Aqui seguem algumas práticas recomendadas que podem ser aplicadas:

• As solicitações de transferência e pagamento de fundos, especialmente aquelas que envolvem grandes quantias, devem sempre ser verificadas, preferencialmente entrando em contato com o fornecedor por telefone e confirmando a transação. Se possível, uma aprovação secundária também deve ser feita por alguém com cargo acima na organização.
• Procure sinais de alerta quando se trata de transações comerciais. Por exemplo, uma alteração nas informações da conta bancária sem aviso prévio é uma bandeira vermelha e um possível sinal de uma tentativa de BEC.
• Os elementos de ameaças do BEC tentam se disfarçar como um membro ou pelo menos como um indivíduo conectado à organização. Os funcionários sempre devem examinar os e-mails recebidos quanto a elementos suspeitos – por exemplo, o uso de domínios incomuns ou alterações nas assinaturas de e-mail.

Além disso, as empresas também podem considerar o uso de uma tecnologia de segurança projetada para combater os golpes BEC, como o Writing Style DNA, usado pelas soluções Trend Micro™ Cloud App Security™ e ScanMail™ Suite for Microsoft® Exchange™. Ele pode ajudar a detectar as táticas de falsificação de e-mail usadas no BEC e em golpes similares. Ele usa a IA para reconhecer o DNA do estilo de escrita de um usuário com base em e-mails anteriores e, em seguida, compara-o a suspeitas de falsificações. A tecnologia verifica a legitimidade do estilo de escrita do conteúdo de e-mail por meio de um modelo de machine learning que contém as características de escrita do remetente legítimo do e-mail.