Das Szenario, das wir inzwischen mit einer gewissen Regelmäßigkeit sehen, hat nichts mit einer fehlerhaft formulierten Phishing-E-Mail gemein. Ein Mitglied des Finanzteams tritt einem bereits laufenden Videoanruf bei. Der CFO ist zu sehen, spricht mit vertrauter Stimme, bezieht sich auf einen realen, laufenden Deal und bittet um eine dringende Überweisung aus der Kasse, um ihn vor einer nicht verschiebbaren Frist abzuschließen. Alles an dem Anruf wirkt und klingt korrekt. Es ist nicht der CFO.
Das unterscheidet sich sowohl von den statischen Deepfake-Bildern und geklonten Stimmen bei Telefonanrufen, die die meiste öffentliche Aufmerksamkeit erhalten, als auch von gewöhnlichem Business E-Mail Compromise. Echtzeit-Video-Deepfake-Betrug nutzt Live-Gesichts- und Stimmsynthese während eines tatsächlichen Videoanrufs, reagiert auf Fragen, führt ein Gespräch und passt den Ton im Moment an. Das macht ihn überzeugender als einen vorab aufgezeichneten Clip, weil er wie ein echtes Gespräch reagiert, und er zielt gezielt genau auf den einen Kontext, eine Live-Anfrage einer Führungskraft, den viele Organisationen nach wie vor allein als ausreichende Autorisierung behandeln.
Warum Krypto-Kassenüberweisungen ein bevorzugtes Ziel sind
Eine Kryptowährungsüberweisung ist in dem Moment endgültig, in dem sie on-chain bestätigt wird. Es gibt keinen dazwischenliegenden Bankarbeitstag, keine Korrespondenzbank, die ein ungewöhnliches Muster melden könnte, und keine einfache Rückrufmöglichkeit, sobald die Transaktion abgewickelt ist. Für einen Angreifer, der eine Führungskraft imitiert, macht das eine Unternehmens-Wallet zu einem erheblich attraktiveren Ziel als ein Bankkonto, bei dem eine betrügerische Überweisung zumindest ein enges Zeitfenster hat, in dem sie noch gestoppt oder zurückgeholt werden könnte, bevor sie endgültig verrechnet wird.
Der Anruf selbst ist meist der Höhepunkt einer Aufklärungsphase, nicht der erste Schritt. Angreifer greifen häufig auf öffentlich verfügbares Videomaterial zurück, Earnings Calls, Konferenzvorträge, intern aufgezeichnete und online gestellte Town-Hall-Meetings, um das Modell zu trainieren, das eine bestimmte Führungskraft imitiert, und kennen typischerweise interne Terminologie, Deal-Namen und Berichtslinien bereits gut genug, um glaubwürdig zu klingen, ohne dass diese Details irgendetwas preisgeben.
Warum ein Videoanruf allein keine verlässliche Prüfung mehr ist
Viele Organisationen haben ihre interne Betrugssensibilisierung auf der Annahme aufgebaut, dass ein Telefon- oder Videoanruf der sichere Weg sei, eine verdächtige E-Mail-Anfrage zu bestätigen, da eine Stimme oder ein Gesicht in einem Live-Anruf schwerer überzeugend zu fälschen schien als Text. Diese Annahme ist inzwischen überholt. Ein Live-Anruf verleiht eine zusätzliche Ebene scheinbarer Legitimität, die Mitarbeitende dazu bringen kann, eine ungewöhnliche Anfrage weniger zu hinterfragen statt mehr, gerade weil er sich persönlicher und schwerer fälschbar anfühlt, als er tatsächlich ist.
Die Verteidigung, die tatsächlich funktioniert, besteht nicht darin, einen Deepfake im Moment zu erkennen. Die Erkennung während eines Live-Anrufs ist selbst für Menschen, die wissen, worauf sie achten müssen, tatsächlich schwierig. Die Verteidigung, die funktioniert, besteht darin, sich zu weigern, einen einzelnen Kommunikationskanal, einschließlich eines Live-Videoanrufs, als ausreichende Autorisierung für eine unumkehrbare Überweisung zu behandeln.
Verifizierungsprotokolle, die sich zu etablieren lohnen
- Out-of-Band-Bestätigung für jede Überweisung oberhalb eines festgelegten Schwellenwerts: Die Anfrage muss unabhängig über einen zweiten Kanal bestätigt werden, den die anfragende Person nicht selbst initiiert hat, etwa über einen Anruf bei einer bereits hinterlegten Nummer statt einer während des ursprünglichen Anrufs genannten.
- Ein rotierendes mündliches Codewort oder eine Codephrase, die nur einer kleinen internen Gruppe bekannt ist und regelmäßig geändert wird, das vor jeder hochwertigen Überweisungsanweisung genannt werden muss, unabhängig davon, auf welchem Weg die Anfrage eingeht.
- Eine strikte Rückrufrichtlinie: Geht eine Anfrage dringend während eines Live-Anrufs ein, legt die empfangende Person auf und ruft die anfragende Person über eine bekannte, zuvor hinterlegte Nummer zurück, statt die ursprüngliche Leitung fortzusetzen oder einer während des Anrufs genannten Nummer zu vertrauen.
- Eine Zwei-Genehmigungs-Pflicht für Kassenbewegungen oberhalb einer festgelegten Größe, so strukturiert, dass die zweite genehmigende Person nicht über denselben Kommunikationsstrang erreichbar ist wie die erste Anfrage.
- Eine grundsätzliche Haltung, dass Dringlichkeit selbst ein Warnsignal ist. Echter Zeitdruck bei einer unumkehrbaren Krypto-Überweisung ist selten genug, dass er mehr Prüfung auslösen sollte, nicht weniger.
Wenn eine Überweisung bereits erfolgt ist
Die Transaktionskennung, die Ziel-Wallet-Adresse und eine vollständige Aufzeichnung des Anrufs selbst, einschließlich jeder Aufzeichnung, der Meeting-Metadaten und der genauen gestellten Anfrage, sind der Ausgangspunkt jeder Untersuchung. Sichern Sie diese, bevor interne Diskussionen darüber, was geschehen ist, die Zeitachse zu verwischen beginnen. Von dort an wird der Fall weitgehend wie jede andere Kompromittierung einer Unternehmens-Wallet behandelt: Der nachvollziehbare Weg, den die Gelder genommen haben, zählt mehr, als exakt zu rekonstruieren, wie überzeugend die Imitation war.