Molti di noi probabilmente hanno già visto qualche deepfake navigando in Rete sui siti dedicati al tempo libero. O almeno, la loro applicazione più semplice. Applicazioni come FaceSwapper, per esempio, permettono di sostituire in modo molto spartano un volto con un altro all’interno del video. Inoltre, altre realtà si sono messe all’opera per creare deepfake audio, costruendo cioè un modello vocale a partire dalla voce registrata, a cui poter far dire qualsiasi tipo di frase.
I campi di applicazione non mancano: dal creare modelli virtuali degli attori in carne e ossa al permettere agli assistenti vocali di parlare con la voce dei nostri cari. Siti come Fakeyou.com, per esempio, permettono già oggi di costruire il nostro modello vocale o di usare alcuni di quelli di personaggi famosi, a un costo molto contenuto o con piani gratuiti. E se il livello dei prodotti amatoriali o dedicati al tempo libero è ancora piuttosto basso ed è abbastanza semplice capire che si tratta di falsi, con una sufficiente quantità di risorse si possono raggiungere livelli considerevoli. Ha fatto scalpore, per esempio, un Deepfake intitolato “This is not Morgan Freeman” pubblicato più di un anno fa, per il suo realismo.
credit Diep Nep
Non stupisce che Bruce Willis, per esempio, si sia già mosso per vendere i diritti della sua faccia proprio per l’uso nelle ricostruzioni di questo tipo.
Le possibili implicazioni dei Deepfake per le aziende
Un po’ come accade nelle applicazioni delle reti neurali artificiali (una definizione più corretta di quella che viene definita intelligenza artificiale nel parlare comune) nel campo dell’arte, della musica o del copywriting, anche i deepfake pongono una serie di problemi, sia etici sia, da un punto di vista più pragmatico, normativi. Ma in questo momento di relativo far west, quali possono essere i rischi per le aziende? Cosa possono fare i malintenzionati sfruttando le risorse a disposizione oggi? Per scoprirlo, ZeroUno ha interpellato Gabriele Gobbo, consulente e docente in digital marketing e conduttore radiotelevisivo specializzato in difesa dell’immagine aziendale nei nuovi media.
Quali sono i potenziali campi di applicazione malevoli
La prima domanda che abbiamo rivolto a Gabriele Gobbo riguarda, appunto, in quali campi i deepfake possono colpire le aziende facendo più male. La sua risposta non lascia spazio a dubbi: “Semplice: ovunque, soprattutto in aree impensabili. Nelle mie lezioni mi riferisco spesso al Social Zombing, termine che ho coniato assieme a Max Guadagnoli, per racchiudere i molteplici attacchi alla credibilità e all’identità digitale aziendale sferrati senza penetrazione e con l’utilizzo di fake activity, cioè falsi account, falsi like, false recensioni e via dicendo.”
Oggi i deepfake si possono creare anche a basso costo, non è difficile, secondo Gobbo, immaginare una richiesta di recupero di account Instagram con un relativo video selfie, naturalmente falso, utilizzato per effettuare la richiesta video per sbloccare l’account. Oppure, sempre in campo estremamente pratico, un attacco verso il personale amministrativo di una società che, tramite video WhatsApp, richiede un cambio di iban su un bonifico in uscita, con il viso dell’amministratore delegato. Esempi non troppo lontani dalla realtà che ci mostrano come, al di là dei deepfake costosi utilizzati per distruggere la credibilità delle persone attraverso notizie false, c’è un tema legato all’ingegneria sociale per il Social Zombing al quadrato e il MITM (Man-in-the-middle attack) al cubo, usando deepfake generati a basso costo.
Perché i deepfake costituiscono un rischio già oggi
Al di là di esempi che possono diventare attuali da un momento all’altro, i deepfake possono creare problemi alle aziende già oggi. “Bisogna alzare la guardia soprattutto su tre fronti: furto di account, furto di dati e furto di denaro”, ricorda Gobbo. Il rischio è che l’ingegneria sociale potenziata dal deepfake permei ogni anello della catena aziendale, non solo i punti di attacco tradizionali già sfruttati oggi.
“Se combiniamo deepfake e clonazione di un numero di telefono o furto di un account WhatsApp, ci rendiamo conto che chiunque può far fare qualsiasi cosa a un sottoposto, ma anche a un top manager. Per esempio, una segretaria personale che chiede al CEO di inviare dati o una password è un tipo di attacco già usato oggi, ma con il deepfake sarà come tagliare il burro con un coltello caldo: un video può convincere anche i più diffidenti” – Puntualizza Gobbo, che ci ricorda come, purtroppo, esiste anche un problema di cultura digitale – “Più si sale nella scala gerarchica delle aziende, minori sono la cultura e le capacità digitali che si trovano, pertanto il furto di dati e account diventa quasi istantaneo”. Anche se raggiungere un livello di qualità video elevato richiede ancora risorse considerevoli, lo scenario, come abbiamo visto, cambia quando si ha a che fare con la sola voce. Un messaggio vocale, tuttavia, è altamente credibile. Cosa potrebbe succedere combinando la generazione vocale con un chatbot AI in grado di tenere testa all’interlocutore? Si potrebbe, per esempio, ottenere attraverso ingegneria sociale un bonifico da un dipendente con una posizione elevata. Un attacco di questo tipo sarebbe anche difficile da dimostrare in sede bancaria o assicurativa, non essendo frutto di un attacco hacker in senso stretto.
Il problema dei deepfake è attuale.
Fino ad ora abbiamo visto come i deepfake possono, almeno potenzialmente, essere utilizzati per effettuare veri e propri attacchi all’interno delle aziende, fondamentalmente come strumento in grado di aumentare esponenzialmente l’efficacia del social engineering. Ma oggi il vero pericolo arriva soprattutto dal danno di immagine, come ci ricorda Gabriele Gobbo:
“Oggi, con pochi euro, è possibile creare un deepfake credibile che inganna le persone distratte se inviato tramite messaggistica su piccoli schermi. Se poi lo si manipola trasformandolo in una sorta di video rubato e spacciandolo per footage paparazzato, diventa quasi scontato che qualcuno lo userà, anche solo per attirare l’attenzione.”
Come sappiamo, oggi il controllo dell’informazione ha moltissime carenze, fra scarso controllo delle fonti e attività dall’etica discutibile, soprattutto dai social. “Una volta avviato il processo, si apre un mondo fatto da migliaia di siti e account social che riprendono la notizia senza alcuna verifica e in tre giorni la vittima potrebbe essere distrutta agli occhi dell’opinione pubblica” – ricorda Gobbo – “Se già da anni basta un fotomontaggio con una falsa citazione per rovinare qualcuno, figuriamoci con un video.” Questo, limitandosi ai deepfake realizzati tramite app ampiamente diffuse. Se pensiamo a sistemi più costosi e specializzati, la questione assume contorni preoccupanti. Secondo Gobbo, si entra nell’ambito della credibilità, della gestione della crisi e dell’immagine pubblica delle persone, che a loro volta rappresentano brand e aziende.
Il problema dell’inversione dell’onere della prova
Ma perché un falso piuttosto evidente dovrebbe costituire un problema per le aziende? Possiamo trovare facilmente la risposta sui social media. Se il tema del processo mediatico è sempre più attuale, questo è dovuto anche alla velocità con cui le notizie, anche false, circolano senza alcun controllo, spostando l’opinione pubblica e richiedendo faticosissime operazioni di correzione qualora si tratta di falsi. Gobbo ci ricorda che “in tribunale, un deepfake odierno a basso costo non regge di sicuro, ma nell’opinione pubblica sì; quindi, l’onere di provare che il video è falso sta alla vittima, soprattutto perché all’opinione pubblica non interessa quasi mai una notizia dopo che è rimbalzata ovunque.” L’onere della prova, quindi, diventa un problema della vittima. Parlando di sfruttamento in ambito business, diventa quindi imperativo costruire l’anti-prova in tempo record, perché basta anche una piccola crisi di immagine per vedersi chiuse linee di credito, oppure crescere in modo esponenziale le recensioni negative su Google Maps, e così via. “Il limite è solo la fantasia dell’attaccante e, credetemi, può trasformare la realtà in un incubo.” Ricorda Gobbo.
Cosa possono fare le aziende per difendersi?
“Come per il Social Zombing, anche per i deepfake la questione è ardua, ma posso dire che monitorare costantemente la rete è un ottimo primo passo, ovviamente se si presta la giusta attenzione quando si scova qualcosa di sospetto” ricorda Gobbo. Un’altra cosa da fare è la formazione del personale, con corsi specifici che insegnino a riconoscere gli attacchi di ingegneria sociale e diano elementi per scovare gli errori dei video deepfake. La terza via è mettere al sicuro dati, accessi e account tramite un sistema a livelli di accesso e azzerare i privilegi agli operatori a cui non servono. Insomma, la politica Zero Trust diventa sempre più attuale. Anche secondo Gobbo, infatti, “è inutile dare l’accesso alla banca online all’area marketing, ad esempio, così come è inutile dare gli accessi a Instagram all’amministrativa: ad ognuno il suo livello specifico. Infine: cultura! Sì, la cultura digitale è ormai divenuta strategica, soprattutto in ottica di difesa.”
