全港首宗 Deepfake 視像會議騙案 專家教路兩套心法應對!

警方表示今年 1 月底接獲全港首宗利用深偽技術進行多人視像會議的詐騙案件,更有別於以往「單對單」式詐騙,今次騙徒利用多人視像會議,利用技術偽造其他與會者的聲音及嘴型,騙去香港某跨國公司逾 2 億元款項。

是次騙案有如電影《Ocean’s Eleven》情節的人工智能 deepfake 加強版,我們如何防範未來的「深科技」攻擊?漏洞及入侵研究員賴灼東將帶領我們深入分析這一事件的始末。他認為要對抗這種科技風暴,我們最有效的防護措施並非某種高科技方案,而是「人」 – 透過正確的培訓和制定應對 SOP,企業或個人都可以強化自己的防禦能力,提升警覺性,應對與日俱新的深科技騙子。

案發經過

2024 年 2 月,警方透露,今年 1 月底發生了全港第一宗運用深偽技術進行多人視像會議詐騙的案件。這次案件與過去的「單對單」詐騙有所不同,詐騙者運用多人視像會議,透過技術模仿其他與會者的聲音和口型。

受害者是一家跨國企業,其香港財務人員收到一條自稱來自英國總公司首席財務官的短訊,聲稱需要進行機密交易,要求參加線上多人視像會議。在視像會議上,除了該英國首席財務官外,還有其他看似是英國財務人員的人。過程中該名香港員工被指示進行轉帳交易,其後共進行了 15 次轉帳,總金額達 2 億港元,轉入了本地 5 個銀行帳戶。

約一週後,涉事香港公司與總公司核實後方發現並無任何「秘密交易」,才意識到已經受騙,遂報警處理。除了被騙的員工外,同公司其他員工也曾被指示參加相關視像會議。過程中,詐騙者假扮成英國首席財務官,透過 WhatsApp、電子郵件以及「單對單」視像會議與香港員工溝通,以增加可信度。

大機率電腦事前被入侵

在分析案情及詐騙手法以制定適當的防範措施方面,我們這次訪問了在業內又名為「道德駭客」(Ethical Hacker) 的漏洞及入侵研究專家賴灼東 Anthony,替我們深入挖掘,剖析事件的來龍去脈!

「首先,讓我們來看看香港的情況。在香港,許多基金公司,特別是在中環地區,這些公司往往規模不大,僅有十至二十名員工,但實際上財務實力雄厚。這些公司多為跨國企業,涵蓋加拿大、美國和香港等地。然而,就其 IT 和安全知識而言,實際情況卻相對薄弱。」

賴灼東表示,意識不足的意思是,當你看到的畫面模糊不清,而僅認為這僅是解析度的問題、圖像不清晰,未能聯想到可能有騙徒在偽裝,就可以定義為意識不足。「對於那些規模較大、較正式的基金公司或美資公司來說,他們通常會有更嚴格的程序和多重的審批流程。」

賴灼東認為從犯罪手法和技術方面來看,入侵者善於獲取資料,就像電影《Ocean’s Eleven》情節一樣,他們會仔細搜集目標公司的資料,包括客戶信息、業務對象等,以了解對方的營運模式和習慣,利用事先取得的會議記錄和訂單等資料,模仿主管發出指示,要求舉行特定會議。」

「現今,許多入侵者利用深度學習和機器學習等技術,使得其製作的虛假內容、影像和聲音與真人幾乎無法區分,例如在 Zoom Meeting 等工具,會議錄音和錄影檔案存放在資料夾中,假設電腦被入侵,入侵者將輕而易舉地獲取以往的會議記錄,了解對方的語言風格和慣常表現,實施偽冒行動。」

預防措施一:金融交易作業程序

為了保障您資料安全,賴灼東建議企業採取標準作業程序(Standard Operating Procedure),仿效傳統銀行電話理財的身份認證流程,「可要求對方出示身份證明文件,例如護照、銀行帳戶或卡片等。如果對方無法提供這些資料,請謹慎處理;但入侵者可能會竊取您的個人資料,務必從不同的鏡頭角度去檢查。與此同時,員工亦要好好保護自己護照的資料。」

「企業每當遇到轉帳匯款要求,最好嘅方法是要求對方在鏡頭前出示身份證明證件,與此同時要求對方回答一些指定的身份認證問題,就像平日使用銀行的電話理財一樣,每次都要回答不同的問題。如果想加倍『穩陣』,某至可以要求對方稍候片刻,hold 住對話然後再以另一部裝置,以傳統固網電話(不用 WhatsApp 或其他軟件)致電對方,再觀察對方畫面有沒有收到來電,進一步驗證身份。」

預防措施二:防止駭客入侵

由於是次入侵疑似有持份者電腦事前被入侵,以獲取過去會議紀錄影片。賴灼東另一項建議是定期更新您的電腦系統和軟件。「不要忽視軟件更新,因為漏洞可能會讓駭客利用。請注意操作系統和瀏覽器的安全性,避免受到遠程攻擊。另外也要注意網絡安全和電子郵件的保護,一個假扮成普通的 google calendar invite 的 email,如果不慎按下,也有可能成為 Zero-day attack 漏洞入侵的機會。」

所謂 Zero-day attack(零日攻擊)指的是駭客利用軟件中未被發現(即開發者和公眾都尚未知曉)的安全漏洞進行的攻擊。Zero-day 這個名稱來自於開發者在了解到漏洞存在的那一刻起,實際上已經面臨被攻擊的風險,而在這之前,他們有「零天」時間來修補這個漏洞。

「坊間有不少『正規』比賽,將 Zero-day 漏洞主動匯報 Google 或 Microsoft 等科技公司,但其實在 dark market 部分正以高價 50 萬至 100 萬美金出售也為數不少。舉例我留意到一些針對 Zero-day 漏洞買賣的『broker』,對一個名為 Foscam 的 IP Cam 的潛在漏洞十分有興趣。換言之,代表 broker 背後有買家願意出價購買,有可能進行監察活動,也有可能用來實施網絡攻擊!

Deepfake 行騙門檻低

考慮到香港是次「先例」有公司損失 2500 萬美元金額,騙徒即使用 100 萬美元購買了「零日漏洞」,仍有相當「水位」去以身試法。

事實上,近年隨著 AI 技術的普及發展,能為騙徒「換臉換聲」並同時登入 Zoom 會議的軟件工具,使用門檻已經變得相當低,這些 deepfake 工具再和電腦被入侵的風險,再加上企業網絡安全意識不足,將會大大增加同類「深科技騙案」再次發生的機率!

處身數位時代,除了企業之外,其實每一個人都有可能成為攻擊對象,當我們在享受科技帶來的便利的同時,也要同意增強自身防護意識及能力。最佳預防措施往往不是什麼科技方案或軟件,而是「人的因素」,一些有效應對類似情況的 SOP,也可以從員工培訓當中建立。

編採:尹思哲