Bank di Hong Kong Kehilangan $25,6 Juta Karena Penipuan Deepfake!

Insiden ini menunjukkan bagaimana penjahat siber dapat menggunakan deepfake untuk menipu manusia dan melakukan penipuan. Ini juga menimbulkan kekhawatiran tentang ancaman yang ditimbulkan deepfake terhadap sistem autentikasi biometrik.

Penggunaan penanda biometrik untuk mengautentikasi identitas dan mengakses sistem digital telah meningkat pesat dalam dekade terakhir dan diperkirakan akan tumbuh lebih dari 20% setiap tahun hingga 2030. Namun, seperti setiap kemajuan dalam keamanan siber, penjahat juga tidak jauh tertinggal.

Semua yang dapat diambil sampelnya secara digital dapat dipalsukan dengan deepfake — gambar, video, audio, atau bahkan teks untuk meniru gaya dan sintaks pengirim. Dilengkapi dengan beberapa alat yang tersedia secara luas dan dataset pelatihan seperti video YouTube, bahkan seorang amatir dapat menghasilkan deepfake yang meyakinkan.

Serangan deepfake pada autentikasi datang dalam dua jenis, yaitu serangan presentasi dan injeksi.

Serangan presentasi melibatkan penyajian gambar palsu, rendering, atau video ke kamera atau sensor untuk autentikasi. Beberapa contoh termasuk:

• Serangan cetak gambar 2D
• Topeng kertas 2D dengan mata yang dilubangi
• Foto yang ditampilkan di smartphone
• Topeng berlapis 3D
• Serangan replay video pengguna yang sah

Serangan deepfake:

• Pertukaran wajah
• Lip syncing
• Kloning suara
• Transfer gerakan/ekspresi
• Teks ke ucapan

Serangan injeksi melibatkan manipulasi aliran data atau saluran komunikasi antara kamera atau pemindai dan sistem autentikasi, mirip dengan serangan man-in-the-middle (MITM).

Menggunakan perangkat lunak otomatis yang dimaksudkan untuk pengujian aplikasi, penjahat siber dengan akses ke perangkat terbuka dapat menyuntikkan sidik jari atau ID wajah yang lulus ke proses autentikasi, melewati langkah keamanan dan mendapatkan akses yang tidak sah ke layanan online. Contohnya termasuk:

• Mengunggah media sintetis
• Streaming media melalui perangkat virtual (misalnya, kamera)
• Manipulasi data antara peramban web dan server (yaitu, man-in-the-middle)

Melindungi Diri dari Deepfake

Beberapa tindakan pencegahan menawarkan perlindungan terhadap serangan ini, seringkali berfokus pada memastikan bahwa penanda biometrik berasal dari orang yang nyata dan hidup.

Teknik pengujian keaktifan meliputi analisis gerakan wajah atau verifikasi informasi kedalaman 3D untuk mengonfirmasi kecocokan wajah, pemeriksaan gerakan dan tekstur iris (optik), penginderaan impuls elektronik (kapasitif), dan verifikasi sidik jari di bawah permukaan kulit (ultrasonik).

Pendekatan ini adalah garis pertahanan pertama terhadap sebagian besar jenis deepfake, tetapi dapat mempengaruhi pengalaman pengguna karena memerlukan partisipasi dari pengguna. Ada dua jenis pemeriksaan keaktifan:

• Perlindungan pasif berjalan di latar belakang tanpa memerlukan input pengguna untuk memverifikasi identitas mereka. Ini mungkin tidak menimbulkan hambatan tetapi menawarkan perlindungan yang lebih sedikit.
• Metode aktif, yang memerlukan tindakan pengguna secara real-time, seperti tersenyum atau berbicara untuk membuktikan pengguna adalah orang yang nyata, menawarkan lebih banyak keamanan sambil mengubah pengalaman pengguna.

Sebagai tanggapan terhadap ancaman baru ini, organisasi harus memprioritaskan aset mana yang memerlukan tingkat keamanan lebih tinggi yang terlibat dalam pengujian keaktifan aktif dan kapan itu tidak diperlukan. Banyak standar regulasi dan kepatuhan saat ini memerlukan deteksi keaktifan, dan banyak lagi mungkin di masa depan, seiring dengan munculnya lebih banyak insiden seperti penipuan bank Hong Kong ini.

Praktik Terbaik Melawan Deepfake

Pendekatan berlapis diperlukan untuk melawan deepfake secara efektif, menggabungkan pemeriksaan keaktifan aktif dan pasif. Pemeriksaan keaktifan aktif membutuhkan pengguna untuk melakukan ekspresi acak, sementara keaktifan pasif beroperasi tanpa keterlibatan langsung pengguna, memastikan verifikasi yang kuat.

Selain itu, fungsionalitas kamera kedalaman sebenarnya diperlukan untuk mencegah serangan presentasi dan melindungi dari manipulasi perangkat yang digunakan dalam serangan injeksi. Akhirnya, organisasi harus mempertimbangkan praktik terbaik berikut untuk melindungi diri dari deepfake:

• Algoritma Anti-Penipuan: Algoritma yang mendeteksi dan membedakan antara data biometrik asli dan data yang dipalsukan dapat menangkap palsu dan mengautentikasi identitas. Algoritma ini dapat menganalisis faktor seperti tekstur, suhu, warna, gerakan, dan injeksi data untuk menentukan keaslian penanda biometrik.
• Enkripsi Data: Pastikan data biometrik dienkripsi selama transmisi dan penyimpanan untuk mencegah akses tidak sah. Kontrol akses ketat dan protokol enkripsi dapat mencegah serangan man-in-the-middle dan injeksi protokol yang dapat merusak validitas identitas.
• Autentikasi Adaptif: Gunakan sinyal tambahan untuk memverifikasi identitas pengguna berdasarkan faktor seperti jaringan, perangkat, aplikasi, dan konteks untuk secara tepat menyajikan metode autentikasi atau re-autentikasi berdasarkan tingkat risiko permintaan atau transaksi.
• Pertahanan Berlapis: Mengandalkan analisis statis atau aliran video/foto untuk memverifikasi identitas pengguna dapat mengakibatkan aktor jahat melewati mekanisme pertahanan saat ini. Dengan menambahkan transaksi berisiko tinggi (misalnya, transfer kawat tunai) dengan kredensial yang diverifikasi dan ditandatangani secara digital, operasi sensitif dapat dilindungi dengan identitas digital yang dapat digunakan kembali. Dengan pendekatan ini, panggilan video dapat ditambah dengan tanda centang hijau yang menyatakan, “Orang ini telah diverifikasi secara independen.”

Memperkuat Sistem Manajemen Identitas

Penting untuk diingat bahwa hanya mengganti kata sandi dengan autentikasi biometrik bukanlah pertahanan yang sempurna terhadap serangan identitas kecuali itu adalah bagian dari strategi manajemen identitas dan akses yang komprehensif yang menangani risiko transaksi, pencegahan penipuan, dan serangan penipuan.

Untuk secara efektif mengatasi ancaman canggih yang ditimbulkan oleh teknologi deepfake, organisasi harus meningkatkan sistem manajemen identitas dan akses mereka dengan kemajuan terbaru dalam teknologi deteksi dan enkripsi. Pendekatan proaktif ini tidak hanya akan memperkuat keamanan sistem biometrik tetapi juga meningkatkan ketahanan infrastruktur digital terhadap ancaman siber yang muncul.

Memprioritaskan strategi ini akan sangat penting dalam melindungi dari pencurian identitas dan memastikan keandalan jangka panjang autentikasi biometrik.