Bu Help Net Security röportajında, Visa’nın Kuzey Amerika Risk Sorumlusu Kıdemli Başkan Yardımcısı Mike Lemberger, üçgenleme dolandırıcılığından kaynaklanan ciddi mali kayıpları tartışıyor ve tüccarlar arasında aylık kayıpların 660 milyon ila 1 milyar dolar arasında değişeceğini tahmin ediyor.
Ayrıca, yapay zeka destekli ses dolandırıcılıklarının ortaya çıkan tehdidinin altını çiziyor ve işletmeleri, güvenlik açıklarını azaltmak ve işletmeler, teknoloji sağlayıcıları ve düzenleyici kurumlar arasındaki işbirliğini teşvik etmek için MFA, davranışsal biyometri ve çalışan eğitimini uygulamaya çağırıyor.
Nirengi dolandırıcılığından kaynaklanan ciddi mali kayıplara ışık tutabilir ve bu planın inceliklerini açıklayabilir misiniz?
Ödeme sektörü, üçgenleme dolandırıcılığının tüccarlar arasında aylık 660 milyon ila 1 milyar dolar arasında değişen mali kayıplara neden olduğunu tahmin ediyor. Bu dolandırıcılık planıyla, tehdit aktörleri, talep gören veya lüks ürün ve hizmetlerde indirim sundukları gayri meşru çevrimiçi vitrinler yaratıyor. Gayri meşru tüccar daha sonra müşterinin siparişini yerine getirmek için bağlantısız, meşru bir tüccar kullanır ve genellikle siber suç yeraltı pazarlarından elde edilen çalıntı ödeme bilgilerini kullanarak mal veya hizmetlerin ödemesini yapar.
Bu, tehdit aktörünün, görünüşte meşru bir işlem yoluyla çalınan ödeme hesabından para kazanmasına olanak tanır. Gayri meşru tüccar daha sonra müşteriden olumlu bir puan talep eder, bu da gayri meşru tüccarın arama motoru sonuçlarındaki alakalılığını artırır ve güvenilirliğini artırır.
Finans ve perakende sektörlerindeki güvenlik profesyonellerinin operasyonlarını bu dolandırıcılık tehditlerinden korumak için hangi acil önlemleri almaları gerekiyor?
Sahtekar satıcıların mağaza açmasını önlemek için güçlü üye işyeri katılım uygulamaları oluşturun. Tehdit aktörleri, dolandırıcı satıcılar oluşturmak için genellikle zayıf üye işyeri katılım uygulamalarından yararlanır; bu, üçgenleme gibi dolandırıcılık planları gerçekleştiren tehdit aktörleri tarafından kullanılan yaygın bir taktiktir. Bankalar aynı zamanda sahte veya yeni üye olan satıcılardan kaynaklanan dolandırıcılıkla mücadele konusunda da dikkatli olmalıdır.
Bankalar, riske girmeyi önlemek için, katılım kararı vermeden önce potansiyel olarak yüksek riskli, güvenilmez veya dolandırıcı satıcıları ve üçüncü taraf acenteleri tespit etmek amacıyla bir tarama hizmetinden yararlanmayı düşünebilir. Bu, sahtekarlık ve yasa dışı işlemlere maruz kalma riskinin azaltılmasına ve markanın zarar görmesine karşı korunmaya yardımcı olacaktır.
Yapay zeka teknolojileri giderek daha karmaşık hale geliyor. Ne yazık ki dolandırıcılar bunları istismar etmenin yollarını buluyor. Ses dolandırıcılığını geliştirmek için yapay zekayı nasıl kullandıklarıyla özellikle ilgileniyorum. Bunun gerçek hayattaki uygulamalı örnekleri var mı?
Yapay zeka teknolojileri ve gelişmiş dil öğrenme modelleri (ALM’ler) sayesinde, tehdit aktörleri artık finansal dolandırıcılığı sürdürmek için meşru kuruluş veya kişiden neredeyse ayırt edilemeyecek sahte mesajlar oluşturabiliyor.
Örneğin, tehdit aktörleri, dolandırıcıların, hedeflerini aile üyelerinin başının dertte olduğuna ve paranın hızlı bir şekilde gönderilmesi gerektiğine inandırmak için yaygın olarak bulunan ses klonlama araçlarını kullandığı “aile içi acil durum” planlarından yararlanıyor. Yapay zeka tarafından oluşturulan konuşmayı oluşturmak için gereken tek şey, bir aile üyesinin genellikle internetten veya sosyal medyadan edinilebilen kısa bir ses klibidir. Tehdit aktörleri, dili ve üslubu özelleştirerek kurbanları genellikle hesaplara erişim veya çalınan ödeme bilgileri ile sonuçlanan kimlik avı dolandırıcılıklarına katılmaya ikna edebilir.
İşletmeler, yapay zeka destekli ses dolandırıcılığının başarılı olmasını sağlayan hangi güvenlik açıklarını açığa çıkarıyor? Bu güvenlik açıkları nasıl azaltılabilir?
Yapay zeka destekli ses dolandırıcılıkları, zayıf güvenlik protokolleri, kimlik doğrulama yöntemlerinin eksikliği ve çalışanların yetersiz eğitimi gibi iş güvenlik açıklarından yararlanıyor. İşletmeler aşağıdaki taktikleri kullanarak bu güvenlik açıklarını azaltabilir:
- Hassas ortamlara ve bilgilere erişimi sınırlamak için çok faktörlü kimlik doğrulamayı uygulayın
- Kimliği doğrulamak amacıyla dijital parmak izleri oluşturmak için davranışsal biyometriyi kullanın.
- Müşterinin meşru kart sahibi olduğundan emin olmak için kart sahibi kimlik doğrulama kontrollerini sıkı bir şekilde uygulayın
- Kimlik avının tehlikeleri ve bu tür saldırıların nasıl tespit edileceği konusunda kart sahiplerini ve çalışanları eğitin
- Her yönetici kullanıcıya kendi kullanıcı kimlik bilgilerini sağlayın. Kullanıcı hesaplarına yalnızca iş sorumlulukları açısından hayati önem taşıyan izinler sağlanmalıdır.
- Şüpheli davranışları aramak ve kötü amaçlı yazılımdan koruma uygulamalarını güncellemek için kötü amaçlı yazılımdan koruma yazılımında davranış analizini açın.
- Uzaktan erişimi güçlü parolalarla güvence altına alarak yalnızca gerekli kişilerin uzaktan erişim iznine sahip olmasını sağlayın. Kullanılmadığı zaman uzaktan erişimi devre dışı bırakın ve uzak oturumlar için iki faktörlü kimlik doğrulamayı kullanın.
Bu tür dolandırıcılıklarla mücadelede işletmeler, teknoloji sağlayıcılar ve düzenleyici kurumlar arasındaki işbirliği ne kadar önemlidir? Başarılı işbirlikçi girişimlerden bahseder misiniz?
Kurumlar arası işbirliği, dolandırıcılıkla mücadelede en önemli bileşendir ve iş dünyası, teknoloji sağlayıcıları ve düzenleyici kurumlar arasındaki ortaklarla yakın işbirliği, ekosisteme yönelik tehditlerin etkili bir şekilde tanımlanmasını ve azaltılmasını sağlayacaktır.
Dijital ödeme sağlayıcıları, devlet kurumlarının finans ve ödeme ekosistemini hedef alan suçluları engellemesine yardımcı olabilecek yeni teknik ve teknolojilere erişime sahip. Örneğin geçen yılın temmuz ayında Visa, dolandırıcılık planlarından 30 milyon dolara kadar kar elde ettiği tahmin edilen siber suç grubu OPERA1ER’in önemli bir aktörünün Interpol tarafından tutuklanmasına destek verdi.
Mevcut trendlere dayanarak dolandırıcılık planlarının gelişimini nasıl öngörüyorsunuz?
Geleceğe baktığımızda, işlem mesajları veya dolandırıcılık kontrollerindeki güvenlik açıklarını tespit edebilen yeni kötü amaçlı yazılımlar geliştirmek için yapay zeka ve ALM’lerin kullanılması gibi teknolojik gelişmeler ne yazık ki dolandırıcılık planlarının çoğalmasına yardımcı olmaya devam edecek.
Bu araçlar, kötü niyetli kişilerin, ödeme yapan müşterilerden hassas ödeme ve hesap verilerini çalmak için çevrimiçi satıcı ödeme sayfalarına yerleştirilebilecek dijital tarama kodu oluşturmasına olanak sağlayabilir.
Ayrıca müşteriler, tehdit aktörleri için çekici bir hedef olmaya devam edecek ve bu hedef kitleye yönelik saldırıların hacmi ve karmaşıklığı artacak. Kuruluşların ve bireylerin, tehdit aktörlerinin kurban olmayı önlemek amacıyla daha karmaşık dolandırıcılık planları oluşturmak için gelişen teknolojiyi nasıl kullandıklarının farkında olmaları her zamankinden daha önemli.