Så skyddar du dig mot AI-bedrägerier

Utveckligen av AI går i en rasande takt. Nu är det enklare och mer tillgängligt än någonsin att begå brott med hjälp av AI. Problemet med brott som utnyttjar klonade röster och deepfake-videos är ännu i sin linda, och vi har troligtvis bara sett början av brott som utnyttjar denna typen av AI-teknik.

Men det finns redan exempel på brott som begåtts i Sverige, berättar Jan Olsson, kriminalkommisarie och talesperson vid polisens nationella it-brottscentrum.

– Till exempel har klonade röster använts mot företag i Sverige vid ett fåtal tillfällen. Den uppringda personen har blivit lurad att tro att den pratar med företagets vd och känt igen rösten med hundra procents säkerhet, och uppfyllt vd:ns önskan om genomförande av en transaktion.

– Mig veterligen har detta ännu inte använts inom familjer, vilket det finns exempel på från USA, säger Jan Olsson.

Det handlar nödvändigtvis inte om mängder av nya brott som växer fram, utan snarare att de allra vanligaste vardagsbrotten som finns i dag kommer att växa och bli mer sofistikerade med hjälp av AI.

– Modus är ofta detsamma. Den vanliga cyberbrottsligheten blir lättare att begå och går att automatisera på ett helt nytt sätt. Med hjälp av chattrobotar, exempelvis ChatGPT, kan bedragare på kort tid generera mängder av phishingmejl eller fejkade sms, säger David Jacoby, it-säkerhetsexpert.

Ett växande problem

Jan Ohlson ser framför sig att de AI-relaterade brotten kommer att öka, och uppmanar aktörer att ta ansvar:

– Vi ser redan att det har startat, med allt från sofistikerade phishingmail, påverkanskampanjer och utpressning med fejkade porrfilmssnuttar där offrets ansikte mycket väl integrerats i en annan persons kropp. Vi står inför ett vägskäl där allt hänger på hur vi agerar. Mobiloperatörer, tillverkare av smartphones, utvecklare av operativsystem, arkitekter, etc. har alla möjligheten att motverka den negativa utvecklingen med användningen av AI-teknik och deepfake.

Svårare att upptäcka

Förr gick det ofta att urskilja ett phishing-mejl på långa vägar, inte sällan innehöll mejlet felaktig grammatik, märkliga symboler och konstiga formuleringar. I dag kan det vara betydligt svårare att skilja ett äkta mejl från ett falskt, menar David Jacoby.

– Med hjälp av AI kan du inte bara skapa ett välskrivet och övertygande mejl, du kan också länka till en fejkad sajt som du skapat helt själv. Det är bara att be AI att ta fram en kod, och på bara några sekunder kan du bygga upp en webbshop som ser ut att sälja sneakers.

En bedragare behöver med andra ord inte längre vara särskilt vass för att begå brott, eller kunna flera språk för den sakens skull.

– Lika enkelt och snabbt går det att be AI att översätta ett phishing-mejl till flera olika språk för att skapa och sprida omfattande cyberbrottskampanjer över hela världen, fortsätter David Jacoby.

Trovärdig teknik

I dag finns även avancerade verktyg för att skapa fejkade AI-röster, bilder och videos som både kan låta och ser ut precis som någon du känner, en teknik som bland annat kallas deepfake och fake voice. Det kräver inte längre stora mängder ljud- eller videomaterial för att göra det hela trovärdigt.

När bedrägerierna sker i flera lager är det ännu svårare att urskilja vad som är sant eller falskt, fortsätter David Jacoby.

– Phishingmejl i framtiden kanske består av att du först får ett sms av en kompis och sedan ett videosamtal där kompisen ber dig att klicka på länken de nyss skickade, och att det är bråttom. Då kan det vara svårt att stå emot.

Rådet: Stanna upp

Brotten har redan börjat växa fram, och många privatpersoner kommer med stor sannolikhet att drabbas inom en snar framtid, menar David.

– Frågan som många nu behöver ställa sig är därför; vågar jag stå emot impulsen om någon jag känner ringer och ber mig klicka på en länk eller swisha ett nytt och okänt nummer, dessutom under press?

Bedragare som begår dessa typer av brott vill ofta få offret att känna att det är bråttom och agera snabbt utan eftertanke. Det kan handla om att föra över pengar eller lämna ifrån sig sina uppgifter, förklarar David vidare.

– De kan få dig att tro att de behöver hjälp nu, de sitter i skiten. Där ska man vara försiktig.

Till dessa har David Jacoby ett viktigt råd:

– Om någon kontaktar dig, vare sig det är på telefon eller via mejl och vill att du ska utföra något, exempelvis låna ut pengar, bör du vara stanna upp och vara försiktig för att inte agera i affekt, säger David Jacoby.

Jan Olsson tillägger:

– Man kan naturligtvis använda kodord (inom exempelvis familjen). Men när det gäller företag måste de policy-regler företagen har efterlevas till fullo. Även om du känner igen vd:ns röst bör du motringa ändå, eftersom det bör göras vid utlandstransaktioner av större belopp, vilket kan avstyra bedrägeriet. Om du får en förfrågan som sticker ut från det normala – var sunt misstänksam och motring.

Kontrollera vem du pratar med

Enligt David är det bra att ha som vana att kontrollera att personen man pratar med faktiskt är på riktigt.

– Det gäller att hitta ett sätt att verifiera personen du pratar med. Det kan exempelvis vara att be om ett kodord som du och en familjemedlem eller kompis kommit överens om, eller genom att ställa kontrollfrågor.

Det kan vara svårt att ha kodord med alla man känner, då finns det andra knep för att dubbelkolla vem man pratar med.

– Det kanske är en granne eller någon du pratar med sällan, då kan du exempelvis ställa en kontrollfråga som du vet att bara grannen kan svara på, till exempel “hur är det med hunden?” Om den du pratar med inte kan svara på frågan vet du att det är något som inte stämmer.

Ställ motfrågor

Ge inte heller upp i första taget, fortsätt att ställa motfrågor, fortsätter David.

– Om den du pratar med säger att den ringt från kompisens telefon, fråga vad kompisen heter. Om du blir ombedd att swisha ett okänt nummer, fråga vem mottagaren på swishen är, och är du inte säker på vem mottagaren är ska du aldrig swisha.

Tekniken är fortfarande i sin linda, och om du pratar med en AI-röst är den förmodligen inte så välgjord att den kan svara utförligt på dina frågor, berättar David Jacoby.

– Oftast består rösten av förinspelade meddelanden. Jag tror vi är långt ifrån ett scenario där vi kan ha en lång konversation med en fejkad röst som har förmåga att lyssna eller svara.

Tips: Så minskar du risken att utsättas AI-bedrägerier

• Var försiktig och kom ihåg att den du pratar med kanske inte är på riktigt. Om du blir uppringd och uppmanad att utföra något, gör inte detta.
• Lämna aldrig ut personliga uppgifter, logga inte in på uppmaning av någon annan och betala aldrig något utan att tänka efter.
• Var försiktig med att klicka på länkar som du får skickade till dig i mejl eller sms.
• Om du anar att det är något som inte stämmer, lägg på luren och ring hellre upp personen ifråga.
• Kom ihåg det viktiga basskyddet. Ha inte samma lösenord på alla dina konton och håll din dator uppdaterad.

För företag

• Ha rutiner och processer för hur utbetalningar görs. Det är nämligen vanligt med så kallade vd-scams där bedragare utger sig för att vara en vd eller kollega med auktoritet för att komma åt pengar. Dessa brott blir nu ännu vanligare, och svårare att urskilja med AI-teknik.
• Det är viktigt att få anställda att förstå konsekvenserna av dåliga säkerhetsrutiner och hur en säkerhetsläcka kan drabba företaget. Se till att informera anställda och hålla löpande säkerhetsutbildningar.