Zien en horen is geen bewijs meer

Een medewerker van ingenieursbureau Arup dacht in een videogesprek echte collega's en leidinggevenden te zien. De stemmen klonken goed en de gezichten bewogen mee. Het waren deepfakes. Daarna werd in vijftien transacties ongeveer twintig miljoen pond overgemaakt.

De vergadering leek echt

De fraude werkte doordat bekende signalen tegelijk aanwezig waren. De medewerker zag mensen die op collega's leken en hoorde passende stemmen. Er zaten meerdere deelnemers in het gesprek. Daardoor voelde het minder als een losse, verdachte boodschap.

Een videogesprek gold lange tijd als extra controle. Een vreemd verzoek per e-mail kon je verifiëren door iemand te bellen of even in beeld te zien. Bij Arup werd die tweede stap onderdeel van de fraude.

Beeld en geluid kunnen nog steeds informatie leveren. Op zichzelf bewijzen ze niet meer wie aan de andere kant zit.

Herkenning wordt een aanvalsmiddel

Mensen controleren identiteit zelden met één officieel kenmerk. We gebruiken kleine signalen zoals gezicht en kennis van de organisatie. Wanneer genoeg signalen kloppen, voelt verder controleren overdreven.

Generatieve AI kan steeds meer van die signalen produceren. De afzonderlijke vervalsingen hoeven niet perfect te zijn. Samen kunnen ze overtuigend genoeg worden om iemand te laten handelen.

Openbare interviews en webinars leveren materiaal waarmee een fraudeur iemand kan nadoen. De oplossing is niet dat iedereen uit beeld verdwijnt. Organisaties moeten wel stoppen herkenning als verificatie te behandelen.

Een bekende stem bewijst alleen dat de stem bekend klinkt.

Controleer buiten het gesprek

Een tweede controlekanaal moet werkelijk onafhankelijk zijn. Wie na een e-mail op een meegestuurde link klikt en daar een videogesprek voert, blijft binnen de omgeving van de afzender.

Betere verificatie gebruikt gegevens en afspraken die al voor het verzoek bestonden. Denk aan een opgeslagen telefoonnummer of een interne goedkeuringsroute.

Voor grote betalingen kan de afspraak zijn dat een gesprek nooit voldoende is, ook wanneer bekende gezichten aanwezig zijn. Een wijziging van rekeningnummer wordt gecontroleerd bij een bekende persoon via een bestaand nummer.

Dat kost extra tijd. Juist die wrijving beschermt tegen signalen van echtheid die eenvoudig zijn te kopiëren.

Ook journalisten moeten vaker kijken naar de route waarlangs materiaal binnenkomt. Wie maakte de opname? Waar verscheen die oorspronkelijk? Een technisch keurmerk kan helpen, maar relaties met bekende bronnen blijven belangrijk.

De fraude bij Arup werkte doordat opletten dezelfde signalen opleverde als vertrouwen. Daarom moet de controle buiten de boodschap plaatsvinden.

Kernzin

Wanneer beeld en geluid kunnen worden nagemaakt, rust vertrouwen op herkomst en onafhankelijke controle.