Skydd mot deepfakes behöver tre olika lager

Medverkade gjorde Christoffer Holmgren, IT-security manager på Gunnebo AB, Lars-Olof Johansson, professor i tillämpad psykologi vid Göteborgs universitet och Hanna Rönnqvist, content learning specialist på Junglemap.

Webinariet inleddes med att samtalsledaren Per Lagerström bad publiken svara på en enkätfråga om deras förmåga att upptäcka deepfakes. Nästan 80 procent svarade att de kan se skillnad på vad som är fejk eller äkta, men att det blir allt svårare. Något som även panelen instämde i.  
- Men jag tror också att vi har en väldigt stark övertro på oss själva där och det är redan svårare än vi tror, menade Hanna Rönnqvist.  

Ingen känner igen en deepfake

Att det är svårt att känna igen en deepfake är ingen underdrift. I en studie från iProov var det bara 0,1 procent som faktiskt kunde se skillnad på äkta och fejkat innehåll. Dessutom visade studien att video är svårare att avslöja än foton, att äldre är mer sårbara, medan unga är mer självsäkra. Något som också sticker ut i den undersökningen är att bara 11 procent kollar källor och äkthet. Något som panelen menar är viktigt att ta på allvar.  
-  Samtidigt är de allra flesta bara konsumenter av nyheter och underhållning och bryr sig inte om något är äkta eller inte konstaterade Lars-Olof Johansson.  

Christoffer Holmgren pekade också på att sammanhanget spelar roll.  
- Det är en sak att få upp i det på en stor skärm framför sig och kan analysera allting i detalj kontra att se innehållet på en mobiltelefon.

VD:n som deepfake

För att illustrera hur en deepfake kan se ut medverkade Junglemaps vd Goran Govorcinovic i samtalet och jämfördes sedan med en färsk deepfake av honom själv.  
Att bli gjord som deepfake är både ”lite småkul och skrämmande”, menar Goran Govorcinovic.
- Alla som känner mig känner också igen min röst. Att jag ibland stammar, har deepfaken också fått med, vilket känns riktigt skrämmande. Det är ju den typen av små detaljer som avgör om det blir trovärdigt eller inte.  

På Gunnebo har man precis bestämt sig för att göra en liknande deepfake-produktion med företagets VD. Det krävdes inte så mycket övertalning för att få honom att ställa upp.  
- Jag frågade honom om han fanns på Youtube och då är liksom ’out of the bag’ efterso vem som helst kan göra vad som helst med det innehållet.  

Gunnebo har länge arbetat väldigt systematiskt och genomarbetat med fishingsimuleringar. Vad kan det här med deepfake tillföra för värde i det jobbet?
- Vårt uttalade mål med informationssäkerhetsarbetet är att hela tiden finnas back of mind hos våra medarbetare. Att få alla att stanna upp, tänka efter och våga fråga sig: Är det här rimligt?  Är det rätt person som frågar? Följer vi våra processer och så vidare?

Professor Lars-Olof Johansson poängterar att det är viktigt att det finns processer att hålla sig till. Det första bedragaren försöker är att få oss att vara spontana så att vi inte kontrollerar våra impulser. Det första tricket som alla använder är någon form av stress så att beslut fattas snabbt. Ett känt fenomen som inte bara gäller bedrägerier utan även en hel del försäljning.  
- Det här handlar om att man lurar hjärnan att det är bråttom och när hjärnan tycker att det är bråttom då blir vi lite stressade och får sämre impulskontroll.

In-grupper skapar förtroende

Bedragarna kombinerar ofta känslan av stress med att lura in folk i en känsla av att man tillhör samma grupp, ett ”vi”. Vi människor är anpassade för att vara sociala varelser, vi vill lita på varandra och det här utnyttjas.  

Lars-Olof Johansson tog ett fall från Högsta domstolen som exempel där bedragarna efter inledande kontakt växlade över till offrets modersmål, vilket ingav förtroende.  
- Då var det kört. Tilliten till folk från mitt eget hemland är så stark och de kommer ju aldrig att lura mig. Den här personen åkte dit och blev av med fyrahundratusen kronor. Så enkelt kan det vara.  

Hanna Rönnqvist menade att detta med auktoriteter, förutom in-grupper, spelar en stor roll och Christoffer Holmgren tror att den här typen av attacker kan vara ännu mer effektiv om man pin-pointar vissa roller som är mer realistiska.  
- På stora företag så är det ganska orealistiskt att VDn kontaktar dig direkt. Jag tror att de som försöker göra intrång kommer att bli allt bättre på att använda sig av närmsta chef i stället, då blir det ännu svårare att värja sig emot.  

Säkerhet i tre lager  

Lars-Olof Johansson varnar för en övertro på att det går att komma bort från sårbarheterna genom ökad kunskap, men i stressade situationen hjälper det inte att man egentligen vet vad som är rätt eller fel. Det handlar om att träna in beteenden som blir nästan automatiska vanor och handlingar.  
- Det är det systematiska tänkandet som måste till, konstaterar Lars-Olof Johansson. Kunskap är bra, men man kan inte lita på det.

Christoffer Holmgren menar att de flesta organisationer med sin säkerhet i flera olika lager. Det första lagret är hur stoppar vi den här deepfaken för att ens komma fram med olika typer av e-postskydd, whatsappskydd, teamskydd mm. Nästa lager handlar om att göra alla medarbetare medvetna om att den här typen av attacker sker.
- Att utbilda bort det här tror jag också är svårt. Det gäller att vara back of mind hela tiden. Det tredje lagret i skyddet är att det finns tydliga processer att förhålla sig till.  

Christoffer Holmgren är noga med att inget av dessa tre skyddslager räcker var för sig, utan att det handlar om en helhet.  

Hanna Rönnqvist, som är ansvarig för innehållet i Junglemaps kurser om informationssäkerhet håller med om att även om innehållet i en kurs kan vara nytt, så är det just påminnelse-effekten som är den avgörande för att skapa och bibehålla säkrare beteenden.  

En vattenstämplad framtid  

Webinariet avslutades med att panelen resonerade lite kring framtiden. Christoffer Holmgren menar att deepfakes är här för att stanna, men att vi som arbetar med säkerhet varit bra på att hitta motståndskraftiga lösningar historiskt och att vi kommer att se ännu mer av säkerhetsnycklar, vattenstämplar och olika typer av identifierings-lösningar i framtiden.  
- Den som skall logga in i ett digitalt möte kommer nog att behöva visa vem den är ännu mer i framtiden.  

‍

Fyll i formuläret för att få tillgång till inspelningen av detta webinar: