Podvodníci našli nový spôsob vydierania. Stačí mať verejný profil na Facebooku a do útoku už nezaťahujú iba samotnú obeť
Podvodníci dokážu z obyčajnej fotky vytvoriť falošný intímny záber a poslať ho tvojej rodine. AI tak mení sextortion podvody na oveľa agresívnejšiu formu vydierania.
Podvodníci využívajú umelú inteligenciu čoraz častejšie na útoky, pri ktorých nepotrebujú prelomiť bankový účet ani infikovať telefón škodlivým softvérom. Stačí im fotografia človeka, niekoľko informácií z internetu a kontakty na jeho blízkych. Následne môžu vytvoriť falošnú intímnu fotografiu a použiť ju na vydieranie.
Ide o agresívnejšiu podobu takzvaného sextortion podvodu. Kým pri klasickom scenári útočník získal alebo vylákal intímnu fotografiu obete a následne sa vyhrážal jej zverejnením, nový variant môže fungovať aj vtedy, keď obeť nikdy žiadnu intímnu fotografiu nevytvorila ani nikomu neposlala.
Na problém upozornil The Wall Street Journal, ktorý opísal prípad 24-ročnej Allyson Parmleyovej. Neznáme číslo vytvorilo skupinovú konverzáciu, do ktorej pridalo jej otca Chrisa Clinea, mamu Jeanne, manžela Jordana Parmleyho, jeho rodičov aj Allysoninho 16-ročného brata.
Útočník najskôr do skupiny poslal obyčajnú fotografiu Allyson a jej manžela z verejného Facebook profilu. O chvíľu neskôr nasledoval explicitný záber ženy, ktorá sa na Allyson podobala. WSJ uvádza, že fotografia pôsobila ako vytvorená pomocou umelej inteligencie, jej pôvod však forenzná analýza nepotvrdila.
Allyson aj jej manžel tvrdia, že takýto záber nikdy nevytvorili. Rodina preto číslo zablokovala skôr, než podvodník stihol povedať, koľko peňazí chce. Z priebehu správ však podľa Chrisa Clinea bolo zrejmé, že útok smeroval k vydieraniu a ďalšiemu šíreniu fotografie.
Neprehliadni
Na vydieranie už podvodník nepotrebuje tvoju skutočnú intímnu fotku
Pri finančne motivovanom sextortion podvode sa útočník tradične snaží dostať od obete intímnu fotografiu alebo video. Keď ho získa, začne žiadať peniaze a vyhráža sa, že materiál pošle rodine, priateľom alebo ďalším ľuďom.
FBI pri finančne motivovanom sextortion upozorňuje, že páchatelia fotografie niekedy rozpošlú aj vtedy, keď obeť zaplatí.
Dnes však skutočný intímny materiál ani nemusia mať.
FBI v upozornení na deepfake fotografie používané pri sextortion opisuje prípady maloletých aj dospelých, ktorých bežné fotografie alebo videá páchatelia upravili na sexuálne explicitný obsah.
Zdrojom môže byť sociálna sieť, verejná fotografia, obrázok poslaný útočníkovi alebo záber z videohovoru. Výsledný falzifikát potom môže slúžiť na vydieranie a vyhrážky rozoslaním rodine či priateľom.
Na podobný problém sme upozorňovali aj pri aplikáciách, ktoré pomocou AI dokážu vytvárať falošné nahé fotografie ľudí.
Obeť tak môže byť vydieraná fotografiou situácie, ktorá sa nikdy nestala.
Podvodník nemal len fotografiu. Mal aj kontakty na jej najbližších
Útočník nepracoval iba s fotografiami. Presne vedel, kto patrí do Allysoninej rodiny, a dokázal získať telefónne čísla jej rodičov, manžela, svokrovcov aj mladšieho brata.
Odkiaľ kontakty pochádzali, sa nepodarilo potvrdiť. Experti oslovení WSJ poukázali na verejné informácie zo sociálnych sietí aj na možnosť kompromitovaného e-mailového účtu.
Facebook či Instagram môžu prezradiť partnera, rodičov, súrodencov, pracovisko alebo ďalších blízkych ľudí. Ak sa útočník dostane do e-mailového účtu, môže navyše získať kontakty a komunikáciu, ktorá vzájomné vzťahy odhalí.
Steve Grobman, technologický riaditeľ spoločnosti McAfee, pre WSJ vysvetlil, že kompromitovaný účet môže obsahovať telefónne čísla, e-mailové adresy aj informácie o tom, ako sú jednotliví ľudia prepojení.
Michael Scheumack zo spoločnosti IDIQ upozornil, že AI dokáže prehľadávanie verejných profilov a fotografií automatizovať. Podvodník tak nemusí ručne otvárať desiatky účtov a skladať rodinné väzby jednu po druhej.
Grobman zároveň upozornil, že páchatelia nemusia používať služby ako ChatGPT, Gemini či Claude s bezpečnostnými obmedzeniami. Môžu siahnuť po open-weight modeloch spustených na vlastnom hardvéri, nad ktorými majú väčšiu kontrolu.
Podvodník už nehrozí zverejnením. Obrázok pošle rovno tvojim blízkym
Pri klasickom vydieraní útočník hrozí, že fotografiu zverejní. V prípade Allyson túto fázu preskočil.
Rodina dostala najskôr bežnú fotografiu páru z Facebooku a vzápätí sexuálne explicitný obrázok. Allyson vedela, že podobná fotografia nie je pravá, jej rodičia alebo svokrovci však v prvom momente nemuseli vedieť, na čo sa pozerajú.
FBI upozorňuje, že páchatelia pri finančnom sextortion často ukazujú obeti zoznam jej priateľov, príbuzných alebo sledovateľov a hrozia, že materiál pošlú práve im.
Tu útočník hrozbu rovno uskutočnil.
Ani po zaplatení nemáš istotu, že fotografiu nepošle ďalej
Ak podvodník začne žiadať peniaze, zaplatením si nekupuješ istotu, že obrázok vymaže.
FBI upozorňuje, že spolupráca s páchateľom spravidla vydieranie nezastaví. Útočník môže žiadať ďalšie peniaze alebo fotografie napriek platbe rozoslať.
Aj FBI pri podvodoch s manipulovanými fotografiami odporúča peniaze neposielať. Platba podľa úradu nezaručuje, že obsah nebude zverejnený.
Ak sa ti niečo podobné stane, účet alebo telefónne číslo podvodníka zablokuj a nahlás platforme. Správy však predtým nemaž. Používateľské mená, telefónne čísla, fotografie či názvy účtov môžu neskôr poslúžiť ako dôkaz.
Ak máš podozrenie, že sa niekto dostal do tvojho e-mailu alebo sociálnej siete, skontroluj aktívne relácie a odpoj neznáme zariadenia. Následne zmeň heslo a zapni dvojfaktorové overenie.
Ak používaš Gmail, takto si skontroluješ zariadenia prihlásené k tvojmu Google účtu.
Podvodníkovi môže stačiť obyčajná fotka z Facebooku
Fotografia, ktorú podvodník použil pri útoku na Allyson, nebola intímna. Išlo o bežný záber s manželom na golfovom vozíku z verejného Facebook profilu.
Práve verejne dostupné fotografie patria medzi zdroje, na ktoré upozorňuje FBI.
Úrad vo svojom upozornení na syntetický explicitný obsah odporúča obmedziť verejnú dostupnosť fotografií, videí a osobných informácií. Fotografie z internetu môže niekto skopírovať a upraviť bez vedomia človeka, ktorý na nich je.
FBI odporúča nastaviť profily aj zoznamy priateľov ako súkromné. Allyson po útoku podľa WSJ svoj profil sprivatizovala.
Na sextortion tak už nemusíš mať v telefóne jedinú intímnu fotografiu. Útočníkovi môže stačiť obyčajný záber tvojej tváre.
Keď sa obrázok raz rozšíri, už nad ním nemáš kontrolu
Keď sa falošná intímna fotografia raz rozpošle, obeť už nevie, kto si ju uložil alebo komu ju preposlal. Ak sa objaví na sociálnej sieti alebo inej platforme, treba ju čo najskôr nahlásiť a požiadať o odstránenie.
Predtým si však odlož dôkazy. Ulož si správy, telefónne číslo alebo účet podvodníka, prípadne odkazy na miesta, kde sa fotografia objavila. Ak útočník žiada peniaze alebo sa vyhráža ďalším šírením, komunikáciu nemaž.
Podvodník pritom od Allyson nepotreboval žiadnu skutočnú intímnu fotografiu. Stačil mu verejný profil, kontakty na jej rodinu a falošný obrázok, ktorý mal vyzerať presvedčivo.
