深度偽造技術對網絡安全意味着什麼

長久以來，商業電郵詐騙（BEC）及其他魚叉式網絡釣魚攻擊一直是惡意攻擊者的慣用手段，用作騙取毫無防備的受害者的資金。

這類攻擊的邏輯十分簡單：透過電郵冒充掌權人員，誘使員工轉出資金或泄露資料。如今，員工或許自認為已經能熟練識別不可信的通訊內容。但遺憾的是，攻擊者也清楚這一點，因此他們在騙局中加入了新元素：人工智能（AI）。我們已經進入深度偽造攻擊的時代，這類攻擊可能帶來深遠的安全影響。

什麼是「深度偽造」？

深度偽造技術可讓使用者以極高的逼真度冒充他人，這類偽造內容是透過AI生成的媒體素材（圖像、影片、音頻）製作而成。儘管大眾最熟悉的深度偽造案例多圍繞名人或政客，但實際上幾乎任何人都能利用相關技術偽造他人的媒體內容，製作者只需取得目標對象的圖像、影片和錄音素材即可。

技術原理

惡意攻擊者可使用名為深度學習的一類機器學習技術，透過讓神經網絡學習目標對象現有的圖像、影片素材，訓練其生成偽造內容。

大多數人並未意識到近年來深度偽造技術的發展程度，也不了解它的使用門檻有多低。這項技術並非只有電腦高手和網絡犯罪頭目才能使用。任何人都能在互聯網上找到深度偽造軟件及相關服務，在數分鐘內生成可信度頗高的他人偽造形象。

AI深度偽造技術的普及帶出了兩個問題：

1. 我們看到、聽到的內容還能信任嗎？
2. 深度偽造技術對身份驗證意味着什麼？

深度偽造容易識別嗎？

簡單來說，答案是否定的——現在已經不容易識別了。深度偽造影片的甄別難度很高，尤其是當偽造內容中人物的行為舉止看上去十分合理時。如果場景換成我們日常更熟悉、信任感更強的媒介，識別難度還會進一步提升。

很多人對互聯網上的文字交流抱有警惕心，但如果是來自經理、客戶或CEO的來電呢？2020年，一位中國的銀行經理就遭遇了以這種方式實施的網絡釣魚攻擊。這起騙局最終導致該名經理轉出3500萬美元，這至少是已知第二起利用深度偽造成功實施的網絡釣魚騙局。在第一起案例中，惡意攻擊者冒充了某公司的CEO，誘使員工轉出了22萬歐元。

深度偽造如何威脅安全

隨着深度偽造技術的複雜程度不斷提升，且製作深度偽造所需的技術越來越容易獲取，安全流程可能會受到嚴重影響。隨着密碼的使用頻率逐漸降低，生物識別已成為廣受信任的身份驗證方式。這種轉變是合理的：就在不久前，大多數人都從未想過能製作出如此逼真的他人偽造形象。但如今，深度偽造技術可以相對輕鬆地複製虹膜、聲音、面部等生物特徵。

網絡攻擊與威脅防範

安全團隊及個人都必須緊記，深度偽造可能被用於針對自身發動攻擊，切勿對此掉以輕心。所有高價值目標人士都應當謹慎選擇生物識別認證方式，並且要意識到：隨着深度偽造技術不斷迭代升級，部分生物識別認證方式可能會失效。

了解您如何借助Sectigo的 零信任數碼身份管理.

搶先應對這些潛在網絡安全威脅。要深入了解深度偽造可能對安全造成的影響，請收聽 《根源探析》, 第198期《深度語音偽造》。