Beskyttelse mot deepfakes krever tre lag

Deltakerne var Christoffer Holmgren, IT-security manager i Gunnebo AB, Lars-Olof Johansson, professor i anvendt psykologi ved Göteborgs universitet, og Hanna Rönnqvist, content learning specialist i Junglemap.

Webinaret startet med at samtaleleder Per Lagerström ba publikum besvare et spørsmål om deres evne til å oppdage deepfakes. Nesten 80 prosent svarte at de kan se forskjell på ekte og uekte innhold, men at det blir stadig vanskeligere. Dette var også noe panelet var enige i.
– Men jeg tror også at vi har for stor selvtillit på dette området. Det er mye vanskeligere å oppdage deepfakes enn det vi tror, mente Hanna Rönnqvist.

Ingen kjenner igjen en deepfake

At det er vanskelig å kjenne igjen en deepfake, er ingen overdrivelse. I en studie fra iProov var det bare 0,1 prosent som faktisk klarte å skille ekte fra manipulert innhold. Studien viste også at videosnutter er vanskeligere å avsløre enn bilder, samt at eldre mennesker er mer sårbare for slik manipulasjon, mens unge er mer selvsikre på vegne av egne ferdigheter.

Noe som også skiller seg ut, er at bare 11 prosent av oss faktisk sjekker om kildene er ekte. Dette er noe panelet mener må tas på alvor.
– Samtidig er de fleste bare konsumenter av nyheter og underholdning og bryr seg ikke om noe er ekte eller ei, konstaterte Lars-Olof Johansson.

Christoffer Holmgren påpekte at også kontekst spiller en rolle.
– Det er én ting å se det på en stor skjerm og analysere alt i detalj, noe helt annet å se det på en mobiltelefon.

VD-en som deepfake

For å illustrere hvordan en deepfake kan se ut, deltok Junglemaps CEO Goran Govorcinovic i samtalen og ble deretter sammenlignet med en fersk deepfake av seg selv.

Å bli gjort om til en deepfake er både «litt morsomt og skremmende», mener han.

– Alle som kjenner meg, kjenner igjen stemmen min. At jeg av og til stammer, har deepfaken også fått med seg – og det er ganske urovekkende. Det er nettopp slike små detaljer som avgjør om deepfaken blir troverdig eller ei.

I Gunnebo har de nylig bestemt seg for å lage en lignende deepfake-produksjon med selskapets CEO. Det krevde ikke mye overtalelse.
– Jeg spurte om han fantes på YouTube, og da er jo saken enkel – i  prinsippet vil det jo være mulig for hvem som helst å bruke dette innholdet til en deepfake.

Gunnebo har lenge jobbet systematisk med phishing-simuleringer. Hva kan deepfakes tilføre dette arbeidet?
– Målet vårt med informasjonssikkerhetsarbeidet er å få alle til å stoppe opp og spørre seg: Er dette rimelig? Er det riktig person som spør? Følger vi prosessene våre?

Professor Lars-Olof Johansson understreker hvor viktig det er med tydelige prosesser. Det første en bedrager prøver, er å få oss til å handle spontant og impulsivt.
– Det første trikset er stress. Beslutninger må tas raskt. Dette er et kjent fenomen, også fra salg. Det handler om å lure hjernen til å tro at noe haster. Når vi blir stresset, får vi dårligere impulskontroll.

Inngrupper skaper tillit

Bedragere kombinerer ofte stress med å få oss til å føle at vi tilhører samme gruppe – et «vi». Vi mennesker er sosiale og ønsker å stole på hverandre, og dette er noe som utnyttes.

Lars-Olof Johansson trakk frem en sak fra Høyesterett der svindlerne gikk over til offerets morsmål for å bygge tillit.
– Da var løpet kjørt. Tilliten til noen fra samme land er sterk, og man tenker at de aldri vil lure deg. Personen tapte 400 000 kroner. Så enkelt kan det være.

Hanna Rönnqvist påpekte at autoritet også spiller en viktig rolle, og Christoffer Holmgren mener denne typen angrep kan bli enda mer effektive dersom svindlerne retter dem mot mer realistiske roller.
– I store selskaper er det lite sannsynlig at CEO kontakter deg direkte. Angripere vil bli flinkere til å bruke nærmeste leder – da blir det enda vanskeligere å stå imot angrepet.

Sikkerhet i tre lag

Lars-Olof Johansson advarer mot å tro at kunnskap alene er nok. I stressede situasjoner hjelper det ikke at vi egentlig vet hva som er riktig.
– Det handler om å trene inn atferd som blir nesten automatisk. Det er det systematiske som er avgjørende. Kunnskap er bra, men ikke tilstrekkelig.

Christoffer Holmgren mener de fleste organisasjoner jobber med sikkerhet i flere lag. Først handler det om å stoppe angrepet før det når frem, gjennom ulike tekniske løsninger. Deretter handler det om å gjøre medarbeidere bevisste.
– Å utdanne dette bort er vanskelig. Det må ligge i selve ryggmargsrefleksen vår. Det tredje laget er tydelige prosesser.

Han understreker at ingen av lagene fungerer alene – det er helheten som gir effekt.

Hanna Rönnqvist, som jobber med innholdet i Junglemaps kurs, er enig og minner også om at regelmessige påminnelser skaper og opprettholder tryggere atferd.

En vannmerket fremtid?

Webinaret ble avsluttet med noen refleksjoner omkring fremtiden. Christoffer Holmgren mener deepfakes er kommet for å bli, men at vi historisk sett har vært gode til å utvikle mottiltak.

Vi vil trolig se mer bruk av sikkerhetsnøkler, vannmerking og ulike identitetsløsninger.
– Den som logger inn i et digitalt møte, vil i fremtiden sannsynligvis måtte bevise hvem vedkommende er.

‍

Fyll ut skjemaet for å få tilgang til opptaket av webinaret:

‍