Meine Produkte: Bitte melden Sie sich an, um Ihre Produkte zu sehen. Anmelden
logo logo
MyIww MyIww
Jetzt freischalten

·Cyberkriminalität

Betrugsmaschen mit künstlicher Intelligenz: Kriminelle imitieren die Stimme des Chefs

Bild: © Sondem - stock.adobe.com

| Der Chef ruft an, doch in Wirklichkeit ist es nicht der Chef. Seine Stimme wird imitiert – um Geld zu ergaunern. Die Betrugsmasche ist zwar nicht neu. Doch die Täter sind erfolgreicher denn je. Sie nutzen spezielle KI-Software, mit der die Stimme des Chefs perfekt (mit Stimmmelodie und Akzent) imitiert wird. Lesen Sie den aktuellen Fall und schützen Sie Ihr Unternehmen mit der Checkliste vor den intelligent agierenden Kriminellen. Bereits über eine Milliarde US-Dollar beträgt der jährliche Schaden in den USA, berichtet der Kreditversicherer Euler Hermes. |

Der Fall: Zahlungsanweisung mit Fake-Stimme erzwungen

Die Betrugsmasche hat unterschiedliche Namen: CEO Fraud, Fake President oder Chef-Betrug. Den aktuellen Fall beschreibt Rüdiger Kirsch, Betrugsexperte bei Euler Hermes: Ein Fake-CEO eines Konzerns habe vom Chef eines britischen Tochterunternehmens Zahlungsanweisungen angefordert – zum einen per Fake-E-Mail, dann aber auch telefonisch mit Fake-Stimme. Zwar habe sich der Empfänger gewundert, jeodch der Anforderung Folge geleistet, weil er die Stimme eindeutig erkannte. „Er hat 220.000 Euro auf ein Konto in Ungarn überwiesen. Das gesamte Geld war weg“, schildert Kirsch. Der falsche CEO habe erklärt „den Transaktionszeitraum der Bank am Freitagnachmittag verpasst zu haben“. Die Überweisung hätte vor 16 Uhr getätigt werden müssen, damit die Zahlung noch vor dem Wochenende erfolgen könne. Aufgrund der Zeitverschiebung sei die Überweisung nur noch durch die britische Tochter möglich, so die Argumente der Fake-Stimme.

Weitere Konstellationen mit Stimmenimitationen denkbar

Die Konstellation mit der Zeitverschiebung und dem Tochterunternehmen in Großbritannien war für den Erfolg des Betrugs im beschrieben Fall von Bedeutung. Zum einen ist die vermutlich verwendete Imitations-Software aktuell nur für die Sprache Englisch anwendbar. Zum anderen wurde die Zeitverschiebung genutzt, um den Zeitdruck zu erzeugen. Dass ein Betrug mit imitierter Stimme des Chefs auch in anderen Situationen angewendet wird, ist nicht ausgeschlossen. So könnte die Software in Zukunft auch andere Sprachen beherrschen.

 

MERKE | Die Anrufe mit der imitierten Stimme des Chefs dienen insbesondere der Vertrauensbildung und waren daher maßgeblicher Erfolgsfaktor.

 

Welchen Effekt die vermeintlich bekannte Stimme haben, zeigt der konkrete Fall: Der britische Chef war nämlich mit dem „CEO-Fraud“-Trick vertraut. Das Unternehmen hatte seine Auslandstöchter sogar davor gewarnt. Doch durch die eindeutige Zuordnung der Stimme konnte der Betrug dennoch erfolgreich durchgeführt werden. Erst Widersprüche, die bei einem wiederholten Versuch der Betrüger aufgefallen waren und den britischen Niederlassungsleiter stutzig werden ließen, sorgten dafür, dass der Betrug aufflog.

Über eine Milliarde Dollar Schaden weltweit

Der CEO-Fraud tritt laut Euler Hermes seit 2014 in Deutschland vermehrt auf. Der Internet Crime Report des Federal Bureau of Investigation (FBI), der im April 2019 veröffentlicht wurde, geht für das Jahr 2018 von über 20.000 CEO-Fraud-Opfern aus. Demnach haben die Täter haben mit dieser Masche weltweit insgesamt 1,2 Mrd. US-Dollar erbeutet. Dies sei der größte finanzielle Posten in der Rubrik Schäden durch Internet-Kriminalität.

Weitere Betrugsmaschen im Fokus

Neben dem „CEO-Fraud“ sind weitere typische Betrugsmaschen bekannt. Teilweise wäre der Einsatz einer durch KI simulierten Stimme als Option zur zusätzlichen Vertrauensbildung denkbar.

 

  • Payment Diversion (auch „Mandate-Fraud“): Dabei geben sich die Betrüger als Geschäftspartner oder als Lieferanten aus und teilen mit, dass sich die bisherige Bankverbindung geändert hat. Das Opfer (Mitarbeiter Buchhaltung / Rechnungswesen / Finanzen) erhält i. d. R. eine E-Mail mit der Mitteilung über die geänderte Bankverbindung.

 

  • Fake Payments: In diesen Fällen wird eine falsche Rechnung vorab für Waren / Dienstleistungen gestellt, die durchaus einer üblichen Rechnung entsprechen können. Die richtigen Ansprechpartner im Ziel-Unternehmen werden häufig mittels Social Engineering ermittelt.

 

  • Scheckbetrug durch „Überzahlschecks“: Dabei meldet sich der Betrüger als vermeintlicher Käufer aus dem Ausland und es kommt zum Geschäftsabschluss. Der Betrüger überweist das Geld jedoch nicht, sondern schickt einen Auslandsscheck mit der Post, der über eine höhere Summe ausgestellt ist, als die Ware kostet. Das Opfer soll den „zu viel“ bezahlten Betrag zurücküberweisen. Nach Überweisung bzw. Zahlung via Western Union wird der Auslandsscheck mit dem Vermerk „gefälscht“ oder „mangels Deckung“ nicht eingelöst

 

  • Betrug durch Fernwartungssoftware: Die Betrüger geben sich als Spezialbetreuer der Bank des Opfers aus und behaupten, es stünde ein Update der Banking-Software an. In den folgenden vermeintlichen „Support Calls“ folgen die Zeichnungsberechtigten der Firma den Anweisungen der Betrüger; dabei werden Zugangsdaten geändert und Zahlungen elektronisch autorisiert.

 

Checkliste / Maßnahmen gegen Cyberkriminalität

Um deartigen Betrug im eigenen Unternehmen abzuwenden, gibt die Hypo-Vereinsbank folgende Hinweise:

 

  • Sorgen Sie für klare Abläufe und Zuständigkeiten.
  • Informieren Sie die Mitarbeiter über die Betrugsmaschen.
  • Änderungen von Kontoverbindungen – von Kunden oder Lieferanten – sollten immer gegengeprüft werden.
  • Informieren Sie im Falle eines Betrugs oder eines Betrugsversuchs direkt die Polizei und Ihre Bank.
  • Implementieren Sie Informations- und IT-Sicherheitsmaßnahmen!
  • Seien Sie Wachsam!
    • Fragen Sie beim vermeintlichen Auftraggeber/Absender einer E-Mail nach, wenn Ihnen eine durchzuführende Aktion seltsam vorkommt.
    • Wählen Sie zur Prüfung einen alternativen Kommunikationsweg (z. B. die bekannte Telefonnummer).
    • Seien Sie bei E-Mails von unbekannten Absendern mit Anhängen oder Links besonders achtsam.
  • Seien Sie vorsichtig bei der Preisgabe von Informationen im Internet, denn Betrüger nutzen Informationen aus sozialen Netzen; seien Sie sparsam mit Ihren Informationen.
  • Wählen Sie sichere Passworte.
  • Nutzen Sie nicht Ihre Firmen E-Mail Adresse oder Passworte für die private Registrierung bei Online Diensten!
  • Nutzen Sie keine öffentlichen/privaten Computer für dienstliche Zwecke!
  • Öffentliche/private Computer können manipuliert sein. Es besteht die Gefahr von Datenabfluss und Manipulation.
 

 

Weiterführende Links

 

(BK mit Quell-Material: PM Euler Hermes, Website-Informationen HypoVereinsbank)

Quelle: ID 46167571