L’impact croissant de l’IA générative sur la cybersécurité et le vol d’identité

Présenté par Télésign

Les données personnelles sont assiégées dans le monde numérique. Vaincre la menace est plus qu’un fait, il faut construire une pile de fraude complète à plusieurs niveaux. Dans ce VB Spotlight, les experts de l’industrie de la sécurité révèlent ce qu’il faut pour garder une longueur d’avance sur les cybercriminels et le vol d’identité aujourd’hui.

Regarder gratuitement, à la demande.

À mesure que la technologie de prévention de la fraude devient plus sophistiquée, les tactiques de prise de contrôle de compte (ATO) suivent le rythme. Entre 2019 et 2021, les attaques ATO ont augmenté de 307 %, avec des pertes monétaires totales totalisant 11,4 milliards de dollars, et une perte de crédibilité et de confiance des clients incalculable.

Les violations de données massives qui semblent se produire quotidiennement, une ingénierie sociale intelligente alimentée par une aide de l’IA générative, du phishing et des attaques par force brute donnent aux pirates l’accès aux informations personnellement identifiables (PII), puis les prises de contrôle des comptes des consommateurs commencent. Les pertes financières frappent durement les consommateurs, mais il existe également une composante psychologique très réelle, qui a un impact direct sur la relation des clients avec l’entreprise qui n’a pas protégé leurs données.

Il y a une impuissance à se rendre compte que votre compte a été compromis et que vos informations personnelles sont maintenant entre les mains de quelqu’un d’autre, a déclaré Juan Rivera, ingénieur principal des solutions chez Telesign lors d’un récent VB Spotlight. C’est préjudiciable à la fois à court terme et à long terme.

Rivera s’est entretenue avec Joni Brennan, président du Digital ID & Authentication Council of Canada (DIACC), de l’évolution des menaces actuelles dans le monde de l’IA, de la manière d’atténuer les risques et plus encore.

Internet n’a pas été inventé avec une couche de vérification d’identité, a déclaré Brennan. Remplissaient un espace qui n’existait pas. Nous avons encore beaucoup de travail à faire en tant que communauté de professionnels et de praticiens dans cet espace, et bien continuer à faire ce travail.

Comment l’IA générative remue la marmite

Les méthodes traditionnelles de fraude sont toujours là, le phishing et la plongée dans les poubelles sont plus populaires que jamais. Mais l’IA a permis de nouvelles zones d’attaque spectaculaires, à la fois dans l’ATO et le credential stuffing.

Par exemple, une violation de données offre un trésor de noms d’utilisateur et de mots de passe, puis les bots infiltrent les comptes et mènent des attaques par force brute en utilisant ces données. Avec la capacité des IA à traiter de grandes quantités d’informations, ce processus est incroyablement rapide. Et avec l’IA, les attaquants peuvent également créer des combinaisons de mots de passe basées sur les PII. Par exemple, il peut utiliser votre mot de passe comme guide pour les mots de passe que vous pourriez choisir sur d’autres sites.

Les contrefaçons profondes ne sont pas non plus une histoire pour enfants. Récemment, une femme a été victime de chantage par des criminels affirmant qu’ils avaient kidnappé sa fille, et ils ont utilisé des échantillons de voix de la fille pour construire une simulation convaincante avec l’IA. Et en février 2023, un journaliste a réussi à contourner le système d’authentification d’une grande institution financière du Royaume-Uni en utilisant une technologie de contrefaçon profonde.

Le coût d’utilisation de l’IA générative pour quelque chose comme une fausse voix profonde a augmenté la capacité d’accéder à ces capacités, a déclaré Rivera. L’IA générative commence déjà à casser les méthodes d’authentification que nous avons aujourd’hui, et elle continuera à casser davantage.

Mais d’un autre côté, il est possible de tirer parti de l’IA générative en interne, pour automatiser la surveillance des comportements suspects.

Je pense que l’IA générative, comme pour tout écosystème de sécurité, se joue des deux côtés de la clôture, pour les attaquants comme pour les défenseurs, a-t-il ajouté. Il s’agira vraiment de savoir qui peut accéder à la technologie en premier. Alors que les experts en sécurité s’emparent de la technologie, les fraudeurs aussi.

Construire des défenses contre les cybermenaces

Il y a beaucoup de travail à faire dans le domaine de l’identification et de la vérification numériques, a déclaré Brennan.

La prise de conscience de la menace, de son niveau et de son potentiel de nuisance est la première étape. Prendre cela au sérieux signifie investir dans la technologie dont vous avez besoin pour verrouiller les PII dont vous êtes responsable, en particulier l’authentification multifactorielle.

Tant dans votre vie personnelle que si vous exploitez une entreprise, si vous êtes dans le service informatique, vous devez insister sur au moins une authentification à deux facteurs, voire à plusieurs facteurs, a déclaré Brennan. Qu’il s’agisse d’utiliser différents canaux disponibles via mobile, par e-mail ou, mieux encore, d’utiliser des jetons matériels qui existent pour les mots de passe à usage unique et des choses de cette nature.

Malheureusement, c’est un niveau de friction trop élevé pour de nombreux utilisateurs, ils doivent donc, à tout le moins, créer un nom d’utilisateur et un mot de passe forts, et s’assurer qu’ils sont uniques sur chaque site. Les générateurs de mots de passe d’aujourd’hui sont extrêmement cryptés et sécurisés, faciles à utiliser et, avec le cloud, généralement disponibles sur tous les appareils. Les coffres-forts de mots de passe sont un autre outil utile, tout aussi sécurisé et simple à utiliser, et signifient qu’un client n’a pas à se souvenir de ces mots de passe extrêmement complexes qu’il a générés.

Pourquoi l’éducation et la sensibilisation sont fondamentales

Les entreprises ont beaucoup à perdre en ne éduquant pas leurs employés, a expliqué Rivera. Ils vont constamment envoyer des e-mails de test pour s’assurer que vous ne tombez pas dans ces pièges. Mais le consommateur moyen n’a pas le luxe de cela. S’ils ne sont pas conscients de ce que font les fraudeurs, ils en profiteront. C’est pourquoi nous constatons une augmentation de l’ATO chaque année.

Les consommateurs doivent être informés de la manière dont ils peuvent mettre en œuvre de manière proactive une approche à plusieurs niveaux pour détecter et prévenir les comportements suspects, afin de réduire le risque que les comptes soient compromis pour commencer. Les organisations ont la responsabilité de mettre en place les flux qui aident, étape par étape, à guider le client tout au long du processus de mise en place de cet effet en couches via différents authentificateurs et différentes méthodologies, a déclaré Brennan.

Cela comprend leur apprendre à rester au courant des informations d’identification d’un site Web, qu’il s’agisse de naviguer, d’acheter ou d’interagir. Surveiller les e-mails et messages suspects, ne jamais cliquer sur un lien et revenir immédiatement à la véritable source présumée de l’e-mail (que ce soit votre banque ou un site d’achat) et vérifier avec la source.

Au fur et à mesure que nous avançons, nous voyions les opportunités de changements de paradigme à travers des réseaux distribués, des écosystèmes distribués et des choses comme des informations d’identification vérifiables ; façons dont nous pouvons présenter les données, minimiser les informations, utiliser la cryptographie pour vérifier, a ajouté Brennan. Nous avons beaucoup d’excellents outils aujourd’hui et voyons plus d’évolutions, des réseaux de confiance pour le partage d’informations dans cet espace, parce que des gens comme Juan et bien d’autres travaillent dessus tous les jours pour aider à améliorer l’expérience.

Ne manquez pas ce webinaire gratuit, à la demande ici.

Ordre du jour

• Les derniers stratagèmes d’usurpation d’identité, de violation de données et de prise de contrôle de compte
• Comment l’identité mobile peut fournir une défense efficace contre la fraude
• Protocoles et stratégies de sécurité avancés disponibles dès maintenant
• Pourquoi les programmes d’éducation et de sensibilisation sont essentiels
• et plus!

Présentateurs

• Joni BrennanPrésident, Digital ID & Authentication Council of Canada (DIACC)
• john riveraIngénieur principal de solutions, télésignalisation
• Greg SchafferModérateur, VentureBeat