Molte istituzioni finanziarie, con le relative piattaforme, stanno chiedendo agli utenti selfie e video come prove di verifica facciale o «prova di vita». Il problema è che queste verifiche hanno dimostrato di essere molto vulnerabili agli attacchi deepfake. In altre parole, un elemento malizioso può sostituire il proprio volto con un altro in tempo reale, rubando identità o creando account falsi. La società di sicurezza Sensity ha valutato la robustezza di questi sistemi con uno strumento chiamato Dot o Deepfake Offensive Toolkit, e se hai un po' di esperienza in materia, puoi scaricarne una copia da GitHub…
Prendi una foto, gira la testa da un lato, gira dall'altro, sorridi! Questo rituale è obbligatorio in molte applicazioni mobili e piattaforme di appuntamenti / cripto / home banking per «conoscere il cliente», o KYC come lo chiamano dall'altra parte dell'oceano. I clienti con conoscenze di base di sicurezza informatica si chiedono inevitabilmente cosa fanno le istituzioni con questi dati e come li proteggono, ma a questo si aggiunge un altro problema: l'integrità generale dei sistemi.
La società di sicurezza Sensity è specializzata nella generazione di attacchi usando volti creati con intelligenza artificiale... deepfake. Questi deepfake vengono utilizzati per falsificare documenti d'identità e iniettati in uno stream video con una webcam virtuale che supera la verifica facciale. Sensity ha condotto test sui primi 10 fornitori (protetti da accordi di riservatezza) e i suoi attacchi hanno avuto successo nel 90% dei casi. La chiave di un risultato del genere è Dot, Deepfake Offensive Toolkit.
Deepfake Offensive Toolkit: generatore di deepfake per audit di sicurezza
Una delle cose che ha sorpreso l'azienda è stata la scarsa risposta da parte dei fornitori, probabilmente legata alla difficoltà naturale di installare, eseguire e configurare Dot. Chiunque cerchi una «soluzione con un solo clic» con un'interfaccia piacevole e facile da usare rimarrà molto deluso, ma abbiamo già visto in passato cosa possono fare alcuni esperti con un po' di codice. Quello che oggi sembra un incubo di file e dipendenze, domani può diventare uno strumento pronto all'uso.
Ora, è vero che non tutti gli ambienti sono vulnerabili. Qualsiasi sistema di verifica facciale che possa sfruttare sensori di profondità (viene in mente il Face ID di Apple) sarà immune a questi attacchi, ma quel 90% di efficacia non smette di essere preoccupante. Il codice di Dot è stato rilasciato con scopi «a scopo dimostrativo e di ricerca», e tutti i dettagli tecnici rilevanti sono pubblicati sul suo profilo ufficiale su GitHub. Per concludere, consiglio un po' di pazienza, perché il download totale è di circa tre gigabyte.
Sito ufficiale e download: Fai clic qui
Fonte: The Verge
