Deepfake på et videomøde: sagen, der kostede 25 millioner dollars
En medarbejder hos ingeniørfirmaet Arup overførte 25 millioner dollars efter et videomøde, hvor alle deltagere var deepfakes. Vi gennemgår sagen og den procedure, der stopper den.
I begyndelsen af 2024 modtog en medarbejder i økonomiafdelingen hos det britiske ingeniørfirma Arup i Hongkong en besked om en fortrolig transaktion. Medarbejderen var skeptisk og troede, det var phishing. Så blev der indkaldt til et videomøde med økonomidirektøren og flere kolleger.
Alle på mødet var falske
Ifølge politiet i Hongkong var alle deltagere på mødet deepfakes, altså genererede videoer og stemmer, der lignede kolleger, medarbejderen kendte. Tvivlen forsvandt, og i løbet af kort tid blev omkring 25 millioner dollars overført i 15 transaktioner til fem bankkonti. Arup bekræftede sagen og understregede, at ingen af deres systemer var brudt. Det var ikke et hack. Det var et bedrag.
Hvorfor det rammer små virksomheder også
Teknikken kræver i dag kun et par minutters video og lyd af en person, og det findes af ledere i de fleste virksomheder: på LinkedIn, i webinarer, i podcasts. Den danske trusselsvurdering fra Styrelsen for Samfundssikkerhed vurderer det som meget sandsynligt, at danske virksomheder bliver forsøgt bedraget, og nævner netop digitalt bedrageri som en af de former, der rammer bredt.
Proceduren, der stopper det
- Ingen betaling på baggrund af ét møde eller én mail. Hverken fra direktøren eller fra revisoren.
- Ring tilbage på et nummer, I kender i forvejen. Ikke det nummer, der står i beskeden.
- To personer godkender overførsler over et fast beløb. Det gælder også, når det haster. Især når det haster.
- Aftal et kodeord. Et ord, ledelsen og økonomi kender, og som skal nævnes, før usædvanlige betalinger sættes i gang.
- Øv situationen. Når medarbejderne har prøvet at sige nej til "direktøren" i en øvelse, er det lettere i virkeligheden.
Det gør vi for vores kunder
Teknik stopper ikke et bedrag, der kommer ind ad hoveddøren med et kendt ansigt. Vi hjælper med at skrive proceduren ned, træne den og sætte de tekniske spærringer, der er mulige: advarsler på mails udefra, beskyttelse mod forfalskede afsendere og to-faktor på de systemer, betalinger går igennem.
Kilder
- Arup revealed as victim of $25 million deepfake scam, CNN, 16. maj 2024.
- Trusselsvurderinger, Styrelsen for Samfundssikkerhed.