به گزارش پایگاه خبری «حامیان ولایت» ، به نقل از فارس ،
تلفن زنگ می‌خورد؛ صدای مدیر آشناست و لحنش جدی‌تر از همیشه. می‌گوید جلسه‌ای اضطراری در جریان است و باید کد تأیید ورود را همان لحظه برایش بفرستید. فرصت پرسیدن علت را ندارید؛ دستور روشن است، صدا آشناست و زمان اندک. اما شاید آن سوی خط، مدیر شما نباشد؛ بلکه هوش مصنوعی صدای او را بازسازی کرده باشد.این سناریو یکی از شیوه‌های سوءاستفاده از فناوری شبیه‌سازی صداست؛ روشی که در آن مهاجم با استفاده از نمونه‌های صوتی یک فرد، صدایی مشابه تولید می‌کند و از آن برای فریب مخاطب بهره می‌برد. در چنین حمله‌ای، نفوذ لزوماً با شکستن دیوارهای فنی آغاز نمی‌شود؛ گاهی کافی است کارمند با تصور دریافت دستور از مسؤول خود، اطلاعات حساس را افشا کند یا دسترسی غیرمجازی را فعال سازد.
صدایی که دیگر سند هویت نیست
ابزارهای هوش مصنوعی می‌توانند ویژگی‌های صوتی افراد را بازسازی کنند و محتوایی بسازند که تشخیص جعلی‌بودن آن برای شنونده آسان نباشد. مهاجم ممکن است نمونه‌های صوتی را از مصاحبه‌ها، سخنرانی‌ها، ویدئوهای فضای مجازی یا پیام‌های صوتی به دست آورد و از آن‌ها برای ساخت صدایی مشابه استفاده کند. میزان شباهت به کیفیت نمونه‌ها و فناوری مورد استفاده بستگی دارد؛ بنابراین هر صدای جعلی الزاماً بی‌نقص نیست و حمله نیز همیشه به بازسازی زنده صدا نیاز ندارد.اداره تحقیقات فدرال آمریکا (FBI) در هشدارهای خود درباره سوءاستفاده مجرمان از هوش مصنوعی، به جعل صدا و تصویر افراد مورد اعتماد برای فریب قربانیان و دستیابی به اطلاعات حساس اشاره کرده است. این نهاد همچنین در گزارش مرکز شکایت جرایم اینترنتی خود در دسامبر ۲۰۲۴، درباره استفاده مجرمان از هوش مصنوعی برای تسهیل کلاهبرداری مالی، از جمله جعل صدای افراد شناخته‌شده و نزدیکان برای درخواست پول یا دسترسی به حساب‌های بانکی، هشدار داده است.
تله از کجا شروع می‌شود؟
در یک سناریوی فرضی، مهاجم پس از شناسایی فرد هدف و آشنایی با ساختار محل کار او، تماس می‌گیرد و خود را مدیر یا مسؤول ارشد معرفی می‌کند. ممکن است به اختلالی فنی، جلسه‌ای محرمانه یا بحرانی فوری اشاره کند تا درخواستش باورپذیر به نظر برسد.سپس نوبت درخواست اصلی است: ارسال کد ورود، اعلام رمز، فعال‌کردن دسترسی از راه دور یا اجرای دستور مالی خارج از روال معمول. تماس‌گیرنده ممکن است بر محرمانه‌بودن موضوع تأکید کند و حتی کارمند را از تماس با دیگر مسؤولان بازدارد.اگر درخواست اجرا شود، مهاجم می‌تواند از اطلاعات یا دسترسی به‌دست‌آمده برای ورود به حساب‌ها، سوءاستفاده مالی یا دسترسی غیرمجاز به منابع سازمانی استفاده کند. در این الگو، شباهت صدا تنها بخشی از فریب است؛ ساختن موقعیتی باورپذیر، ایجاد فشار زمانی و جلوگیری از راستی‌آزمایی نیز به پیشبرد حمله کمک می‌کنند.
چرا صدای آشنا قدرت فریب دارد؟
صدای آشنا می‌تواند پیش از بررسی هویت، به درخواست‌کننده اعتبار بدهد؛ به‌ویژه وقتی موضوع تماس با مسؤولیت‌های شغلی مخاطب همخوانی دارد. اگر این آشنایی با ادعای وقوع بحران و تأکید بر فوریت همراه شود، فرد ممکن است به‌جای ارزیابی درخواست، بر اجرای سریع آن تمرکز کند.مهدی افراشته، پژوهشگر روان‌شناسی شناختی و تحلیل‌گر رفتاری، در بررسی این سازوکار بر اهمیت هم‌زمانی اعتماد و اضطرار تأکید می‌کند. در چنین موقعیتی، آشنایی با صدا می‌تواند تردید اولیه را کاهش دهد و فشار زمانی، فرصت بررسی مستقل را محدود کند. کارمند ممکن است درخواست را نه اقدامی امنیتی نیازمند راستی‌آزمایی، بلکه وظیفه‌ای فوری تلقی کند که تأخیر در آن به معنای بی‌توجهی یا نافرمانی است.در واقع، مهاجم تنها صدای فرد مورد اعتماد را تقلید نمی‌کند؛ بلکه می‌کوشد از اعتبار آن صدا برای عبور از فرایندهای معمول تصمیم‌گیری استفاده کند. به همین دلیل، شناخت سازوکار روان‌شناختی فریب به‌اندازه شناخت فناوری جعل صدا اهمیت دارد.
مراحل پیشرفت تله صدای مصنوعی
۱. جمع‌آوری نمونه صوتیمهاجم فایل‌های صوتی و تصویری منتشرشده از فرد هدف را جست‌وجو می‌کند.
۲. بازسازی صدابا استفاده از نمونه‌های در دسترس و ابزارهای شبیه‌سازی، صدایی مشابه تولید می‌کند.
۳. ساخت موقعیت باورپذیرتماس یا پیام را به مشکلی فوری، مسؤولیت شغلی مخاطب یا درخواستی ظاهراً محرمانه پیوند می‌دهد.
۴. درخواست اقدام حساسکد تأیید، اطلاعات محرمانه یا دسترسی سامانه را طلب می‌کند یا خواستار اجرای دستوری غیرمعمول می‌شود.
۵. استفاده از نتیجه فریباطلاعات یا دسترسی به‌دست‌آمده ممکن است برای نفوذ به حساب‌ها، سوءاستفاده مالی یا دسترسی غیرمجاز به منابع سازمانی به کار رود.این مراحل یک الگوی احتمالی حمله را نشان می‌دهند و الزاماً در همه موارد به همین ترتیب رخ نمی‌دهند.
فایروال ذهن را روشن نگه داریم
هویت را از مسیری مستقل بررسی کنید؛ اگر تماس‌گیرنده، حتی با صدایی کاملاً آشنا، اطلاعات حساس می‌خواهد، تماس را پایان دهید و با شماره‌ای که از قبل در اختیار دارید با او تماس بگیرید.
رمز و کد تأیید را تلفنی اعلام نکنید؛ درخواست اطلاعات ورود یا فعال‌کردن دسترسی از راه دور باید مطابق رویه رسمی سازمان بررسی شود، نه بر اساس شباهت صدا یا ادعای مقام تماس‌گیرنده.
برای دستورات حساس، روش تأیید مشخص داشته باشید؛ سازمان‌ها باید برای درخواست‌های مالی، تغییر سطح دسترسی و اقدامات غیرمعمول، سازوکاری مستقل برای احراز هویت و ثبت دستور تعیین کنند. کلمه رمز توافق‌شده می‌تواند لایه‌ای کمکی باشد، اما جایگزین فرایند رسمی احراز هویت نیست.
به فوریت و محرمانگی غیرعادی حساس باشید؛ اصرار بر اقدام فوری، منع تماس با مسؤول دیگر یا درخواست دورزدن روال اداری، دلایلی برای توقف و بررسی‌اند؛ حتی اگر صدای تماس‌گیرنده آشنا باشد.
در صورت اجرای ناخواسته دستور، سریع اطلاع دهید؛ اگر اطلاعات یا کدی را در اختیار تماس‌گیرنده گذاشته‌اید یا دسترسی مشکوکی را فعال کرده‌اید، موضوع را بی‌درنگ به مسئول امنیت اطلاعات گزارش دهید تا دسترسی‌ها بررسی و در صورت لزوم مسدود شوند.
گوش به‌تنهایی کافی نیست
در عصر هوش مصنوعی، دیگر نمی‌توان هویت افراد را فقط از روی صدایشان تشخیص داد. مهاجم برای ورود به یک سازمان همیشه به شکستن دیوارهای امنیتی نیاز ندارد؛ گاهی کافی است صدای کسی را جعل کند که همه به او اعتماد دارند. خطر زمانی جدی می‌شود که کارمند، به تصور اجرای دستور مدیرش، خودش مسیر دسترسی را برای مهاجم باز کند.
