De CEO van een gerenommeerd energiebedrijf in het Verenigd Koninkrijk dacht dat hij zijn baas aan de lijn had vanuit het Duitse moederbedrijf. In het voor hem herkenbare Engels met typisch Duitse melodische accent kreeg hij de opdracht € 220.000 over te maken naar een Hongaarse leverancier. In goed vertrouwen maakte de bestuurder het geld direct over, waarna bleek dat het de bankrekening was van cybercriminelen.
Voor zover nu bekend, is dit een van de eerste cyberaanvallen waarbij deepfake voice technologie het verschil heeft gemaakt. Inmiddels heeft de verzekeraar Euler Hermes Group het bedrag vergoed. De stem werd via kunstmatige intelligentie ontwikkeld en was nauwelijks van echt te onderscheiden. Vraag blijft wat te doen tegen dergelijke digitale praktijken, waarbij de inzet van AI het nieuwe normaal wordt. Deepfakes komen eraan en hebben impact op de architectuur, security, identity management, marketing en ongetwijfeld nog veel meer binnen de it-huishouding van een organisatie.
Digitale mensen
Deepfake technologie is de laatste tijd veel in het nieuws. Niet voor niks. Generative Adversarial Networks (GANs[1]) zorgen voor een doorbraak in het synthetiseren van gezichten, producten en eigenlijk elke willekeurige vorm van data en materiaal. Zo wordt de technologie ook gebruikt om mensen met ALS hun eigen stem terug te geven. Het eerste bedrijf dat met AI gerealiseerde stockfoto’s aanbiedt, is ook al een feit. Op de website generated.photos worden 100.000 portretten aangeboden. Gezichten van digitale mensen zonder geschiedenis, gedachten of privacy-gerelateerde wensen. Bovendien wordt de technologie steeds toegankelijker en handzamer. Via de applicatie Ebsynth kan elke consument in een handomdraai een eigen film deepfaken. De Chinese app ‘Zao’ zet met een paar foto’s ieder willekeurig persoon in grote tv-shows of bekende filmklassiekers.
Voor hackers
Net als andere technologie is de impact van deepfakes heel veelzijdig. Het stemincident van de bestuurder van het energiebedrijf staat niet op zichzelf. Afgelopen zomer rapporteerde securitysoftwarebedrijf Symantec drie gevallen waarbij deepfake audiotechnologie was ingezet waarbij de stem van bestuurders aan hun financiële collega’s verzocht geld over te maken. De technologie is nog niet perfect, maar de praktijk leert dat imperfecties gecamoufleerd worden door achtergrondgeluiden of het nabootsen van slechte verbindingen. Deepfake technologie wordt ook gebruikt om phishing-aanvallen te verbeteren. Zo zijn berichten van banken, zorgverleners, een veilingsite of elk andere willekeurige e-mailaanbieder niet of nauwelijks meer van echt te onderscheiden.
Kat-en-muisspel
De race in dit nieuwe kat-en-muisspel is inmiddels in volle gang. Het lijkt erop dat betrouwbare, snelle en schaalbare detectie van deepfakes nu nog ontbreekt. Digitaal forensische wetenschappers werken hard aan nieuwe tools om deepfakes beter op te sporen. Tegelijkertijd waarschuwen experts dat deze slimme technologie alleen maar beter wordt. Zo voorziet Hao Li, deepfake pionier en onderzoeker, dat het niet langer dan drie jaar duurt voordat geavanceerde deepfakes echt helemaal niet meer te onderscheiden zijn van de werkelijkheid. Blockchaintechnologie kan voor oplossingen zorgen. Data, bijvoorbeeld in de vorm van video, kan eenmaal in blockchain niet meer gemanipuleerd worden. Echter, blockchain beloftes zitten nog in een experimentele fase. Ook Google deelde onlangs een opensource database met 3.000 originele, gemanipuleerde deepfake video’s als onderdeel van haar inspanningen om de ontwikkeling van detectietools voor deepfake technologie te versnellen. Facebook komt eind dit jaar met een vergelijkbare database. Met de Amerikaanse verkiezingen van 2020 in het vooruitzicht, zullen zij schandalen zoals eerder met Cambridge Analytica ongetwijfeld willen voorkomen.
Anticiperen
Ontwikkeling van deepfakes vraagt om nieuwe bedrijfsmaatregelen. Iedere organisatie moet zich voorbereiden op maatregelen ter bescherming van de identiteit. Mogelijk moeten onboarding-processen worden herzien op het gebruik van biometrische gegevens van (toekomstige) werknemers. Gegevens moeten op betrouwbaarheid getoetst worden. Tegelijkertijd vereist identiteitsbescherming ook dat gegevens zò beveiligd worden dat ze niet gebruikt kunnen worden voor deepfakes.
Volgens het recente Nationale Cybersecurity-bewustzijnsonderzoek is het bewustzijn over phishingmails, cyberaanvallen, datalekken, spyware, keyloggers en poortscans toegenomen. Maar het woord ‘deepfake’ komt nog niet in het Nederlandse rapport voor. Burgers moeten beseffen dat beeld en geluid ook te synthetiseren is, zodanig dat het nauwelijks meer te onderscheiden is of iets echt is of nep. Wie weet volgen binnenkort cursussen ‘Hoe om te gaan met deepfakes’ en zetten ingehuurde zogeheten red-teams deepfakes in om de security van organisaties op de proef te stellen. Want wie bewijst dat het om een deepfake video gaat die marketeers bijvoorbeeld op sociale media gepubliceerd hebben? Hoe zal de waarde van gezichtherkenningssoftware zich verder gaan ontwikkelen komende jaren? En wat moet de it-manager doen met deze ontwikkelingen?
Echte ontmoetingen
In deze nieuwe fase van synthetische media lijkt menselijk fysiek contact waardevoller dan ooit. Hoe ironisch is dat in een tijdperk waarin alles gedigitaliseerd wordt en digitale innovaties elkaar in een rap tempo opvolgen? De verificatie van de waarheid vereist straks misschien dat je iemand in de ogen kijkt en woorden rechtstreeks aanhoort. Niets is zekerder dan een persoon die voor je staat met een tastbaar paspoort in zijn of haar handen. Of is dit slechts een van de vele iteraties van onze zoektocht naar optimale synergie tussen ons digitale en analoge leven? Linksom of rechtsom, we moeten ons it-landschap hierop voorbereiden.
Thijs Pepping is trendanalist bij het Verkenningsinstituut Nieuwe Technologie (VINT) van Sogeti.
[1] Zie het artikel ‘GANs: tooling van morgen’ in de aprileditie van ICT/Magazine.
