LastPass: dipendente evita deepfake audio generato con l'intelligenza artificiale

La forza dell'intelligenza artificiale ha cambiato le nostre vite aumentando le possibilità operative, Ma ha dato man forte anche ai malintenzionati. Ne è la prova questo tentativo di attacco ai danni di LastPass, programma per browser per la gestione delle password, attraverso un deepfake audio. 

Il comunicato ufficiale ci aiuta a delineare i contorni della vicenda. La sintesi: un dipendente della nota azienda, già al centro di diverse critiche per le intrusioni registrate nel 2022, ha ricevuto una serie di chiamate sospette, messaggi testuali e vocali su WhatsApp con la voce del CEO Karim Toubba.

Cos'è esattamente un deepfake?

Prima di descrivere la vicenda che ha interessato questo software per la gestione di password personali e aziendali, cerchiamo di capire di cosa stiamo parlando. I deepfake sono delle azioni di sintesi dell'immagine o della voce umana che consentono di riprodurre caratteristiche tipiche di un soggetto.

In altre parole, puoi far fare o dire cose a una persona che è all'oscuro di quello che si sta facendo. Lo puoi fare grazie all'intelligenza artificiale che consente di sfruttare i tratti caratteristici di un volto o il timbro di una voce per creare qualsiasi tipo di contenuto. Anche potenzialmente pericoloso.

Questa tecnologia è stata utilizzata in ambito accademico ma è diventata la base per fare disinformazione politica come mostra il deepfake (2'18) nel video in alto. In realtà è un esperimento seguito dal regista americano Jordan Peele che ha come protagonista l'ex Presidente USA Barak Obama. Il quale fa un discorso sulla pericolosità delle fake news che in realtà non ha mai pronunciato.

Cosa è successo a LastPass?

Concentriamoci sull'accaduto. Un dipendente ha segnalato di aver ricevuto da quello che poi si è rivelato un cybercriminale - per ora sconosciuto - delle chiamate e un messaggio vocale WhatsApp da parte di un finto account del CEO Karim Toubba. Fortunatamente per LastPass, il dipendente ha capito tutto.

Inoltre ha allertato l'ufficio di sicurezza interno perché l'intervento è avvenuto al di fuori dei normali canali di comunicazione aziendale. Inoltre, ricorda il comunicato ufficiale, c'erano chiari indizi di social engineering, ingegneria sociale. Ovvero un tentativo di impossessarsi dei dati privati.

Attualmente, la software house conferma di non aver avuto alcuna ripercussione dall'evento. Ma sta collaborando con le autorità per fare chiarezza e avere maggiori informazioni sull'accaduto.

I casi di deepfake sono in aumento

Questo è un dato da registrare a livello globale: le attività di deepfake anche solo di tipo vocale sono in aumento. Per avere un'idea del fenomeno possiamo dare uno sguardo a questo articolo di Statista che suggerisce numeri importanti: i tentativi di frode basati sull'AI sono aumentati in modo esponenziale.

La stessa LastPass ricorda che nel 2019 una società con sede nel Regno Unito è stata vittima di un deepfake audio. Qui un dipendente è stato convinto a trasferire denaro a un truffatore che utilizzava un software di intelligenza artificiale per generare, in questo caso specifico, la voce del CEO.

Qualcosa di simile è avvenuto di recente (fonte Il Fatto Quotidiano): un dipendente di una grande azienda di Hong Kong ha trasferito 25 milioni di dollari dopo una finta riunione online. Tutto questo, però, non riguarda solo l'ingegneria sociale di alto profilo, quella che mira ai CEO e alle grandi aziende.

Sono in aumento i messaggi inviati a persone comuni in cui si chiedono bonifici di piccola entità. Quali strategie usare per evitare truffe? Sì, impostiamo una parola chiave vocale che conosciamo noi e le persone di riferimento, prestando sempre attenzione a tutto ciò che ci appare sospetto.

Il problema è che gli strumenti per creare manipolazioni del genere sono sempre più comuni e facili da utilizzare. Se qualche anno fa l'intelligenza artificiale era uno strumento destinato a pochi specialisti, oggi l'accesso è economico e immediato. Basti pensare che da poco OpenAI ha annunciato Voice Engine per clonare qualsiasi voce partendo da una base di 15 secondi. Cosa succederà a questo punto?