Anatomien i et stemmeangrep – sekund for sekund

Onsdag 5. august meldte Bloomberg at flere av verdens største hedgefond – blant dem Citadel, Millennium Management, Two Sigma og Point72 – var mål for en samordnet kampanje med stemmefisking. Angriperne brukte KI-genererte stemmer i telefonsamtaler og talemeldinger for å få ansatte til å oppgi innloggingsinformasjon eller godkjenne tilgang til interne systemer. Two Sigma opplyser at forsøket ble stanset uten at data eller systemer ble berørt. Point72 varslet investorene og fant ikke tegn til at kundedata var hentet ut. Citadel og Millennium har ikke kommentert saken offentlig.

Det interessante er ikke hvem som ble ringt. Det er hvor angrepet traff: ikke i betalingsflyten, men i kundestøtten. Telefonen inn.

Under er den samtalen brutt ned i ledd. Ikke fordi norske virksomheter er hedgefond, men fordi hvert eneste ledd finnes i en helt vanlig servicedesk – og fordi flere av dem er enklere å tette enn folk tror.

Sekund 0: nummeret ser riktig ut

Anropet kommer fra et nummer som ser internt ut, eller som allerede ligger i kontaktlisten. Det koster lite å få det til.

A-nummeret er ikke en kontroll. Det er en opplysning som følger med samtalen, og som den som ringer i praksis kan velge selv. Likevel er det det første signalet den som svarer forholder seg til, og det farger alt som kommer etterpå. At det finnes strenge regler for hvilket nummer en lovlydig virksomhet kan vise, hjelper lite mot noen som ikke forholder seg til regler.

Det som må være sant i dette leddet: ingen i organisasjonen tror at et nummer beviser noe.

Sekund 6: stemmen er kjent

Så snakker vedkommende. Det er driftssjefen. Eller IT-support. Eller en kollega fra et annet kontor, som du har hørt på et videomøte en håndfull ganger.

Noen sekunder offentlig lyd holder for å lage en brukbar kopi – et webinar, en podkast, en innspilt telefonsvarermelding. Gjenkjennelse er ikke en kontroll. Det er en følelse, og den er nå triviell å fremkalle. At stemmen er et biometrisk kjennetegn har konsekvenser langt utover svindel, men den praktiske konsekvensen er denne: stemmen kan ikke lenger være det som avgjør hvem du snakker med.

Sekund 25: saken er kjedelig, og derfor troverdig

Angriperen ber ikke om en pengeoverføring. Han sier at han har byttet telefon og ikke får inn engangskoden. Eller at han står på flyplassen og er låst ute av VPN-en.

Dette er delen folk undervurderer. Et krav om en million kroner utløser mistanke. En passordtilbakestilling gjør det ikke, fordi den er den vanligste henvendelsen servicedesken har. Angrepet gjemmer seg i det normale.

Sekund 40: presset kommer, ikke spørsmålet

Det er alltid en grunn til at det haster, og grunnen er alltid rimelig: et styremøte begynner om ti minutter, en kunde venter, en frist går ut i dag.

Tidspress er ikke i seg selv et tegn på svindel. Men det er den mest konsekvente fellesnevneren i disse samtalene, fordi det er tidspresset som gjør at den som svarer hopper over trinnet hun ellers ville tatt.

Der samtalen faktisk kan stoppes

Alt over er beskrivelse. Dette er poenget: det finnes bare ett ledd der samtalen lar seg stoppe pålitelig, og det er der kontrollen ikke kan leveres av den som ringer.

En engangskode lest opp muntlig er ingen kontroll – den som ringer leverer den selv. Et spørsmål om fødselsdato eller ansattnummer er ingen kontroll – svaret står i data som allerede er på avveie mange steder. At stemmen høres riktig ut, er ingen kontroll.

Det som er en kontroll, er å legge på og ringe tilbake til nummeret som står registrert i personalsystemet. Eller å be om godkjenning fra en leder gjennom en annen kanal enn den samtalen kom inn på. Det er ikke elegant, og det tar to minutter.

Den vanskelige delen er organisatorisk, ikke teknisk: den som svarer må ha lov til å bruke de to minuttene på en som høres ut som sjefen, og vite at ingen kritiserer henne for det etterpå. Det må stå skrevet ned, og det må sies høyt. Ellers vinner alminnelig høflighet over rutinen hver gang.

Etterpå: hva loggen må kunne vise

Two Sigma kunne si at forsøket ble stanset. For å kunne si noe slikt må du vite hva som faktisk skjedde i samtalene.

Tre spørsmål er verdt å kunne svare på allerede i morgen: hvilke samtaler ba om en endring i tilgang, hva ble besluttet, og hvem besluttet det. Finnes svaret bare i hukommelsen til den som satt i telefonen, finnes det ikke. Hvordan et slikt spor bygges i praksis, har vi gått gjennom trinn for trinn.

Det gjelder også når det er en stemmeagent som tar samtalen. En agent kan gjøre dette bedre enn et menneske – den blir ikke stresset, den hopper ikke over trinn for å være hyggelig, og den kan logge hvert ledd. Den kan også gjøre det verre, hvis den er satt opp til å være hjelpsom uten grenser. Hvordan samtaleloggene ser ut, og hva agenten har lov til å gjøre uten bekreftelse fra et annet system, hører hjemme i vurderingen av leverandøren – ikke i det første driftsmøtet.

Stemmen er en kanal, ikke legitimasjon

Det er verdt å holde de to fra hverandre. En lovlydig stemmeagent sier i åpningsreplikken at den er KI. En angriper som bruker syntetisk stemme, gjør aldri det. Han bruker den til å høres ut som et menneske du kjenner.

Forskjellen ligger ikke i teknologien. Den ligger i om samtalen tåler å bli gjort rede for i ettertid.

Threll.ai bygger stemmeagenter på norsk, svensk og dansk, på nordisk teleinfrastruktur. Det som gjør en samtale trygg, er ikke at den høres riktig ut. Det er at du kan vise hva som ble sagt, hva som ble gjort, og hvorfor.