Rozpoznawanie twarzy jako metoda uwierzytelniania jest stosowane w smartfonach, laptopach, systemach kontroli dostępu, autoryzacji płatności, a także jako forma weryfikacji tożsamości podczas spotkań online. Jeszcze niedawno wydawało się to być solidnym, trudnym do sforsowania zabezpieczeniem. Jednak, jak wynika z najnowszego raportu firmy iProov, specjalizującej się w weryfikacji tożsamości za pomocą rozpoznawania twarzy, ataki wykorzystujące fałszowanie twarzy wzrosły o 300 proc. w 2024 roku. Na początku ubiegłego roku szerokim echem odbiła się historia specjalisty ds. finansów z Hongkongu, który został oszukany na 25 milionów dolarów. Oszuści wykorzystali technologię deepfake, tworząc fałszywy wizerunek jego dyrektora finansowego z Londynu podczas wideokonferencji.

iProov odnotował również 783-procentowy wzrost ataków iniekcyjnych, wymierzonych w mobilne aplikacje internetowe (czyli wstrzykiwanie fałszywych kanałów kamer wideo oraz innych danych do oprogramowania weryfikacyjnego, aby ominąć kontrole uwierzytelniania bazujące na rozpoznawaniu twarzy) oraz 2665-procentowy wzrost wykorzystania oprogramowania do tworzenia wirtualnych kamer w celu popełniania oszustw.

– Kiedy sprzedawca twierdzi, że oferuje pełną ochronę przed deepfake, zapytaj go, którą z 115 tysięcy znanych kombinacji ataków przetestował. Jak do tej pory udokumentowaliśmy 127 narzędzi do zamiany twarzy, 91 wirtualnych kamer i 10 emulatorów – z których każde tworzy różne wektory ataku. Większość dostawców testuje tylko niewielką część tych kombinacji, zostawiając krytyczne luki w zabezpieczeniach – radzi Andrew Newell, Chief Scientific Officer w iProov.

Innym poważnym problemem jest dynamiczny rozwój czarnego rynku. W samym 2024 roku iProov zidentyfikował 31 nowych grup sprzedających narzędzia wykorzystywane do fałszowania weryfikacji tożsamości.

– Ekosystem ten obejmuje 34 965 użytkowników. Dziewięć grup liczy ponad 1500 członków, a największa z nich liczy aż 6400 osób. Mamy do czynienia ze sprzedażą usług cyberprzestępczych, co dramatycznie rozszerza powierzchnię ataków. Wcześniej były one domeną wysoko wykwalifikowanych napastników – mówi Andrew Newell.

Choć raport pochodzi od firmy zajmującej się zabezpieczeniami, dyrektorzy IT powinni potraktować go poważnie. Jeszcze kilka lat temu oszustwa wykorzystujące deepfake były stosunkowo łatwe do wykrycia. Jednak nowe narzędzia sztucznej inteligencji umożliwiają tworzenie fałszywych zdjęć i filmów, które niemal niczym nie różnią się od oryginałów.

Trudno powiedzieć, czy deepfake kiedykolwiek osiągnie taki poziom, by konkurować z popularnymi metodami oszustw, jak phishing. Spreparowanie fałszywego e-maila jest prostsze i szybsze niż stworzenie deepfake’a. Niemniej jednak, napastnicy patrzą na to z perspektywy potencjalnych szkód i zysków, co sprawia, że deepfake staje się coraz bardziej atrakcyjną metodą.