Anatomien i et stemmeangreb – sekund for sekund

Onsdag den 5. august skrev Bloomberg, at flere af verdens største hedgefonde – blandt dem Citadel, Millennium Management, Two Sigma og Point72 – var mål for en koordineret kampagne med stemmefiskning. Angriberne brugte AI-genererede stemmer i telefonopkald og talebeskeder for at få medarbejdere til at oplyse loginoplysninger eller godkende adgang til interne systemer. Two Sigma oplyser, at forsøget blev stoppet, uden at data eller systemer blev berørt. Point72 orienterede sine investorer og fandt ingen tegn på, at kundedata var hentet ud. Citadel og Millennium har ikke kommenteret sagen offentligt.

Det interessante er ikke, hvem der blev ringet op. Det er, hvor angrebet ramte: ikke i betalingsflowet, men i servicedesken. Det indgående opkald.

Nedenfor er det opkald brudt ned i led. Ikke fordi din virksomhed er en hedgefond, men fordi hvert eneste led findes i en helt almindelig servicedesk – og fordi flere af dem er lettere at lukke, end folk tror.

Sekund 0: nummeret ser rigtigt ud

Opkaldet kommer fra et nummer, der ser internt ud, eller som allerede ligger i kontaktlisten. Det koster ikke meget at få det til at ske.

A-nummeret er ikke en kontrol. Det er en oplysning, der følger med opkaldet, og som den, der ringer, i praksis selv vælger. Alligevel er det det første signal, den, der tager telefonen, forholder sig til, og det farver alt, hvad der kommer bagefter. At der findes strenge regler for, hvilket nummer en lovlydig virksomhed må vise, hjælper ikke meget over for en, der ikke retter sig efter regler.

Det, der skal være sandt i dette led: ingen i organisationen tror, at et nummer beviser noget.

Sekund 6: stemmen er kendt

Så taler vedkommende. Det er driftschefen. Eller it-support. Eller en kollega fra et andet kontor, som du har hørt på et videomøde en håndfuld gange.

Nogle få sekunders offentlig lyd er nok til at lave en brugbar kopi – et webinar, en podcast, en indtalt telefonsvarerbesked. Genkendelse er ikke en kontrol. Det er en fornemmelse, og den er nu triviel at fremkalde. At stemmen er et biometrisk kendetegn har konsekvenser langt ud over svindel, men den praktiske konsekvens er denne: stemmen kan ikke længere være det, der afgør, hvem du taler med.

Sekund 25: sagen er kedelig og derfor troværdig

Angriberen beder ikke om en pengeoverførsel. Han siger, at han har skiftet telefon og ikke kan modtage engangskoden. Eller at han står i lufthavnen og er låst ude af VPN'en.

Det er den del, folk undervurderer. Et krav om et stort beløb udløser mistanke. En nulstilling af adgangskoden gør det ikke, fordi den er den mest almindelige henvendelse, servicedesken har. Angrebet gemmer sig i det normale.

Sekund 40: presset kommer, ikke spørgsmålet

Der er altid en grund til, at det haster, og grunden er altid rimelig: et bestyrelsesmøde begynder om ti minutter, en kunde venter, en frist udløber i dag.

Tidspres er ikke i sig selv et tegn på svindel. Men det er den mest konsekvente fællesnævner i disse opkald, fordi det er tidspresset, der får den, der tager telefonen, til at springe det trin over, hun ellers ville have taget.

Der, hvor opkaldet faktisk kan stoppes

Alt ovenfor er beskrivelse. Her er pointen: der findes kun ét led, hvor opkaldet kan stoppes pålideligt, og det er der, hvor kontrollen ikke kan leveres af den, der ringer.

En engangskode læst op mundtligt er ingen kontrol – den, der ringer, leverer den selv. Et spørgsmål om fødselsdato eller medarbejdernummer er ingen kontrol – svaret står i data, der allerede er lækket flere steder. At stemmen lyder rigtig, er ingen kontrol.

Det, der er en kontrol, er at lægge på og ringe tilbage til det nummer, der står registreret i personalesystemet. Eller at bede om godkendelse fra en leder gennem en anden kanal end den, opkaldet kom ind på. Det er ikke elegant, og det tager to minutter.

Den svære del er organisatorisk, ikke teknisk: den, der tager telefonen, skal have lov til at bruge de to minutter på en, der lyder som chefen, og skal vide, at ingen kritiserer hende for det bagefter. Det skal stå skrevet ned, og det skal siges højt. Ellers vinder almindelig høflighed over proceduren hver gang.

Bagefter: hvad loggen skal kunne vise

Two Sigma kunne sige, at forsøget blev stoppet. For at kunne sige noget sådant skal du vide, hvad der faktisk skete i opkaldene.

Tre spørgsmål er værd at kunne svare på allerede i morgen: hvilke opkald bad om en ændring i adgang, hvad blev der besluttet, og hvem besluttede det. Findes svaret kun i hukommelsen hos den, der sad med telefonen, findes det ikke. Hvordan et sådant spor bygges i praksis, har vi gennemgået trin for trin.

Det gælder også, når det er en stemmeagent, der tager opkaldet. En agent kan gøre det bedre end et menneske – den bliver ikke stresset, den springer ikke trin over for at være rar, og den kan logge hvert led. Den kan også gøre det værre, hvis den er sat op til at være hjælpsom uden grænser. Hvordan samtalelogfilerne ser ud, og hvad agenten må gøre uden bekræftelse fra et andet system, hører hjemme i vurderingen af leverandøren – ikke i det første driftsmøde.

Stemmen er en kanal, ikke legitimation

Det er værd at holde de to ting adskilt. En lovlydig stemmeagent siger i sin åbningsreplik, at den er AI. En angriber, der bruger en syntetisk stemme, gør det aldrig. Han bruger den til at lyde som et menneske, du kender.

Forskellen ligger ikke i teknologien. Den ligger i, om opkaldet kan tåle at blive gjort rede for bagefter.

Threll.ai bygger stemmeagenter på norsk, svensk og dansk på nordisk teleinfrastruktur. Det, der gør et opkald sikkert, er ikke, at det lyder rigtigt. Det er, at du kan vise, hvad der blev sagt, hvad der blev gjort, og hvorfor.