Inga produkter i varukorgen.
Säkerhetsexperten: ”En välbekant röst är inte längre ett bevis”
CONNECT26 En klonad röst kan lura fram en betalning eller ge en bedragare tillgång till ett konto. Adam Boynton på Jamf pekar ut rutinerna som behöver ändras och varnar för AI-användningen som it-avdelningen missar.
Telefonen ringer. Någon som låter som chefen vill få en betalning godkänd, och det är bråttom. I ett annat scenario ringer någon till it-supporten för att få ett konto återställt. Rösten är bekant, men räcker det för att bevisa vem som talar?
Det är två situationer som Adam Boynton, enterprise strategy manager på Jamf, anser att organisationer behöver förbereda sig för.
– Vi kan inte längre utgå från att en välbekant röst är ett bevis på vem som faktiskt talar, men de flesta organisationer har ännu inte anpassat sina rutiner till den nya verkligheten.
Enligt honom kan några sekunders ljud från en konferensinspelning eller resultatpresentation räcka för att skapa en övertygande röstklon. Tekniken har blivit så tillgänglig att även angripare med begränsade resurser kan använda den.
– Försvaret handlar mer om rutiner än om ny teknik: använd en separat verifieringskanal för allt som innebär att pengar flyttas eller åtkomst beviljas.
Riskerna finns också i de vanliga apparna
Samtidigt behöver it-avdelningen hålla reda på hur medarbetarna själva använder tekniken. Där ser Adam Boynton en annan lucka: organisationer granskar de verktyg de köper in, men missar funktioner som följer med vanliga appar.
– De flesta verksamheter fokuserar på de AI-risker som är lätta att se, som användningen av chattbotar. Risken de missar är när AI i stället kommer in som en del av infrastrukturen.
Funktionerna kan exempelvis komma via utvecklingspaket som byggs in i appar utan att it-avdelningen har godkänt dem. När agenter får tillgång till användarnas konton tillkommer frågan om vad de får göra.
– Den kan agera som användaren själv och ärva alla de behörigheter som användaren har, säger han om AI-agenten.
Glöm inte mobilen
Adam Boynton varnar för att ta för givet att de befintliga säkerhetsverktygen fångar upp all användning. Krypterad trafik och funktioner som körs lokalt på enheten eller är inbyggda i appar kan vara svåra att upptäcka, framhåller han.
Särskilt mobilen riskerar att hamna utanför kontrollen. Telefonen kan nå samma företagsdata och system som datorn, men omfattas inte alltid av motsvarande skydd. Därför anser han att regler och kontroller behöver omfatta båda.
Förbud kan flytta användningen utom räckhåll
Att blockera verktygen löser däremot inte problemet, enligt Adam Boynton.
– Bra styrning är det som gör det möjligt att säga ja. Att blockera AI-användning innebär inte att den försvinner. Den flyttar i stället till privata enheter och konton där organisationen helt saknar insyn.
Han förespråkar tydliga ramar för användningen och kontroller på de enheter där den sker. Organisationen behöver också kunna visa i efterhand vad som har varit tillåtet.
Första steget är att utse någon som ansvarar för att kartlägga användningen och sätta en tidsfrist för arbetet. Kartläggningen behöver även fånga upp funktioner som aldrig passerat en formell inköpsprocess.
Adam Boynton medverkar på Connect26: AI i kundmötet den 2 december och tar där upp röstkloning och AI-driven social engineering.
Tre beslut att ta nu
Adam Boyntons råd:
- Utse en ansvarig för att kartlägga vilka AI-verktyg och inbyggda funktioner som används. Sätt en tidsfrist.
- Låt regler och kontroller omfatta både datorer och mobila enheter.
- Kräv verifiering i en separat kanal vid betalningar och kontoåterställningar.
Adam Boynton medverkar på Connect26: AI i kundmötet den 2 december. Där talar han om AI-driven social engineering, röstkloning och hur säkerhetsarbetet behöver förändras när tekniken flyttar närmare både medarbetare och kunder.
