Anatomin i ett röstangrepp – sekund för sekund

Onsdagen den 5 augusti rapporterade Bloomberg att flera av världens största hedgefonder – bland dem Citadel, Millennium Management, Two Sigma och Point72 – var måltavlor för en samordnad kampanj med röstfiske. Angriparna använde AI-genererade röster i telefonsamtal och röstmeddelanden för att få anställda att lämna ut inloggningsuppgifter eller godkänna åtkomst till interna system. Two Sigma uppger att försöket stoppades utan att data eller system påverkades. Point72 informerade sina investerare och fann inga tecken på att kunddata hade hämtats ut. Citadel och Millennium har inte kommenterat saken offentligt.

Det intressanta är inte vem som blev uppringd. Det är var angreppet träffade: inte i betalningsflödet, utan i servicedesken. Det inkommande samtalet.

Nedan är det samtalet nedbrutet i led. Inte för att ditt företag är en hedgefond, utan för att varje enskilt led finns i en helt vanlig servicedesk – och för att flera av dem är enklare att täppa till än folk tror.

Sekund 0: numret ser rätt ut

Samtalet kommer från ett nummer som ser internt ut, eller som redan finns i kontaktlistan. Det kostar inte mycket att ordna.

A-numret är ingen kontroll. Det är en uppgift som följer med samtalet, och som den som ringer i praktiken väljer själv. Ändå är det den första signalen som den som svarar förhåller sig till, och den färgar allt som kommer efteråt. Att det finns strikta regler för vilket nummer ett laglydigt företag får visa hjälper föga mot någon som inte bryr sig om regler.

Det som måste vara sant i det här ledet: ingen i organisationen tror att ett nummer bevisar något.

Sekund 6: rösten är bekant

Sedan talar personen. Det är driftschefen. Eller it-supporten. Eller en kollega från ett annat kontor som du har hört på ett videomöte en handfull gånger.

Några sekunders offentligt ljud räcker för att göra en användbar kopia – ett webbinarium, en podd, ett inspelat telefonsvararmeddelande. Igenkänning är ingen kontroll. Det är en känsla, och den är numera trivial att framkalla. Att rösten är ett biometriskt kännetecken får konsekvenser långt bortom bedrägerier, men den praktiska konsekvensen är den här: rösten kan inte längre vara det som avgör vem du talar med.

Sekund 25: ärendet är tråkigt och därför trovärdigt

Angriparen ber inte om en penningöverföring. Han säger att han har bytt telefon och inte kan ta emot engångskoden. Eller att han står på flygplatsen och är utelåst från VPN:et.

Det är den delen folk underskattar. Ett krav på ett stort belopp väcker misstanke. En återställning av lösenordet gör det inte, eftersom det är det vanligaste ärendet servicedesken har. Angreppet gömmer sig i det normala.

Sekund 40: pressen kommer, inte frågan

Det finns alltid ett skäl till att det brådskar, och skälet är alltid rimligt: ett styrelsemöte börjar om tio minuter, en kund väntar, en deadline går ut i dag.

Tidspress är inte i sig ett tecken på bedrägeri. Men det är den mest konsekventa gemensamma nämnaren i de här samtalen, eftersom det är tidspressen som får den som svarar att hoppa över steget hon annars hade tagit.

Där samtalet faktiskt kan stoppas

Allt ovanför är beskrivning. Här är poängen: det finns bara ett led där samtalet kan stoppas tillförlitligt, och det är där kontrollen inte kan levereras av den som ringer.

En engångskod som läses upp muntligt är ingen kontroll – den som ringer levererar den själv. En fråga om födelsedatum eller anställningsnummer är ingen kontroll – svaret finns i data som redan har läckt på flera håll. Att rösten låter rätt är ingen kontroll.

Det som är en kontroll är att lägga på och ringa tillbaka till det nummer som står registrerat i personalsystemet. Eller att be om godkännande från en chef via en annan kanal än den samtalet kom in på. Det är inte elegant, och det tar två minuter.

Den svåra delen är organisatorisk, inte teknisk: den som svarar måste få lov att lägga de två minuterna på någon som låter som chefen, och veta att ingen kritiserar henne för det efteråt. Det måste stå nedskrivet, och det måste sägas högt. Annars vinner vanlig artighet över rutinen varje gång.

Efteråt: vad loggen måste kunna visa

Two Sigma kunde säga att försöket stoppades. För att kunna säga något sådant måste du veta vad som faktiskt hände i samtalen.

Tre frågor är värda att kunna svara på redan i morgon: vilka samtal bad om en ändring av behörighet, vad beslutades, och vem beslutade det. Finns svaret bara i minnet hos den som satt i telefonen finns det inte. Hur ett sådant spår byggs i praktiken har vi gått igenom steg för steg.

Det gäller också när det är en röstagent som tar samtalet. En agent kan göra det här bättre än en människa – den blir inte stressad, den hoppar inte över steg för att vara trevlig, och den kan logga varje led. Den kan också göra det sämre, om den är konfigurerad att vara hjälpsam utan gränser. Hur samtalsloggarna ser ut, och vad agenten får göra utan bekräftelse från ett annat system, hör hemma i bedömningen av leverantören – inte i det första driftsmötet.

Rösten är en kanal, inte en legitimation

Det är värt att hålla isär de två. En laglydig röstagent säger i sin öppningsreplik att den är AI. En angripare som använder en syntetisk röst gör aldrig det. Han använder den för att låta som en människa du känner.

Skillnaden ligger inte i tekniken. Den ligger i om samtalet tål att redovisas i efterhand.

Threll.ai bygger röstagenter på norska, svenska och danska, på nordisk teleinfrastruktur. Det som gör ett samtal säkert är inte att det låter rätt. Det är att du kan visa vad som sades, vad som gjordes och varför.