Malware na iOS i Androidzie kradnie twarze, by następnie pokonywać zabezpieczenia biometryczne za pomocą zamiany twarzy w narzędziach AI. Zabezpieczenia biometryczne nie mają szans ze sztuczną inteligencją.
Azja Południowo-Wschodnia uczy się na własnej skórze, że skany biometryczne są niemal tak samo łatwe do obejścia, jak inne rodzaje danych uwierzytelniających. Cyberprzestępcy wykorzystują AI i wykradają twarze użytkowników, a następnie podszywają się za nich, aby odblokowywać urządzenia i konta bankowe.
Sprawdź: Szukaj po zdjęciu
Chińscy hakerzy opracowali zaawansowanego trojana bankowego. Jego cel? Skłonienie ludzi do oddania swoich osobistych identyfikatorów, numerów telefonów i skanów twarzy. Kiedy hakerzy zdobędą już odpowiednie dane, używają ich do logowania się na konta bankowe swoich ofiar.
Malware kradnie twarze. To gorsze niż utrata hasła
Nowe złośliwe oprogramowanie, „GoldPickaxe”, zostało opracowane przez dużą (choć niezidentyfikowaną) chińskojęzyczną grupę. Jego warianty działają na urządzeniach z systemami iOS i Android, udając aplikację usług rządowych, aby oszukać głównie starszych odbiorców.
Skanują twarze użytkowników, a następnie używają tych skanów do stworzenia deepfake’ów, które mogą obejść zaawansowane kontrole bezpieczeństwa biometrycznego w bankach Azji Południowo-Wschodniej.
W nowym raporcie czytamy, że badacze z Group-IB zidentyfikowali co najmniej jedną osobę, którą uważają za wczesną ofiarę: obywatela Wietnamu, który na początku tego miesiąca stracił około 40 000 dolarów w wyniku oszustwa z podmianą twarzy.
Zobacz: Jak odzyskać usunięte SMS-y
W ataku wykorzystywana jest inżynieria społeczna i potężne złośliwe oprogramowanie. Jest wysoce skuteczne z dwóch powodów: ponieważ technologia deepfake dorównała mechanizmom uwierzytelniania biometrycznego, i po drugie — większość z nas jeszcze tego nie rozumie.
Widzimy, że zamiana twarzy jest narzędziem wyboru dla hakerów. Daje im niesamowity poziom mocy i kontroli
mówi Andrew Newell, główny naukowiec w iProov
Jak chińscy hakerzy pokonali tajskie banki
W marcu ub.r., aby zwalczać powszechne oszustwa finansowe, Bank Tajlandii ogłosił zmianę polityki: wszystkie tajskie instytucje finansowe muszą zrezygnować z e-maila i SMS-ów oraz wymagać rozpoznawania twarzy przy wszelkich większych działaniach klientów (np. otwieranie nowego konta, dostosowywanie dziennego limitu przelewów lub inicjowanie transakcji powyżej 50 000 bahtów). Zaczęli egzekwować to nowe prawo, między innymi, od zeszłego lipca.
GoldPickaxe, trojan bankowy pokonujący skany twarzy, pojawił się na wolności zaledwie trzy miesiące później.
Czytaj też: Jak odzyskac usuniete wiadomosci WhatsApp
Zbudowany na fundamentach poprzedniego trojana, „GoldDigger”, GoldPickaxe został zidentyfikowany w listopadzie przez CERT sektora bankowego Tajlandii. Był zamaskowany jako „Digital Pension”, prawdziwa aplikacja używana przez starszych ludzi do odbierania emerytur w od Generalnego Kontrolera Tajlandii.
Pod przykrywką usługi rządowej, fałszywa aplikacja wymaga od ofiar skanowania twarzy, przesyłania identyfikatorów rządowych i podawania numerów telefonów.
Zwalczanie trojanów bankowych z biometrią
Fakt, że hakerom udało się tak skutecznie i szybko podważyć najnowsze ulepszenia polityki cyberbezpieczeństwa Tajlandii, nie zaskakuje specjalistów.
Działamy teraz w ramach czasowych, które są znacznie krótsze niż kiedyś. Widzimy, że bardziej zaawansowane narzędzia pojawiają się co tydzień. Myślę więc, że naprawdę potrzebujemy ogromnej zmiany w branży bankowej, aby uznać fakt, że tempo ewolucji zagrożeń się zmieniło. I że potrzebujemy innego podejścia
mówi ekspert z Group-IB
Banki muszą się dostosować. — Jeśli mają systemy, które wprowadzili na przykład 12 miesięcy temu, 18 miesięcy temu, czy to oznacza, że naprawdę są w stanie sprostać zagrożeniom, które teraz widzą? Jeśli nie, muszą szybko znaleźć inne podejście — przekonuje Andrew Newell.
Group-IB zaleca bankom wprowadzenie zaawansowanego monitorowania sesji użytkowników. A klientom banków radzi: „unikać klikania na podejrzane linki, używać oficjalnych sklepów z aplikacjami do pobierania aplikacji, przeglądać uprawnienia wszystkich aplikacji, unikać dodawania nieznanych kontaktów, weryfikować legalność komunikacji bankowej i działać szybko w przypadku podejrzenia oszustwa, kontaktując się z bankiem”.
Autor: Kamil Gliński, dziennikarz Vault-Tech.pl
Dziękujemy, że przeczytałaś/eś nasz artykuł. Obserwuj Vault-Tech.pl w Wiadomościach Google, aby być na bieżąco.