عندما يمكن تزييف أي صوت أو وجه: دليل التصيّد فيه نقطة عمياء
أصبحت معظم الشركات جيدة أخيرًا في التدريب على أمان البريد الإلكتروني. الموظفون يمررون المؤشر على الروابط، ويدققون في عناوين المرسلين، ويحولون أي شيء غريب إلى قسم تقنية المعلومات. سنوات من محاكاة التصيد فعلت فعلها. المشكلة أن دليل الحماية يتوقف عند صندوق الوارد.
في أوائل 2024، موظف مالية في شركة هندسية متعددة الجنسيات في هونغ كونغ تلقى بريدًا مشبوهًا يتعلق بصفقة سرية. فعل ما علّمه التدريب: شكك فيه. ثم دخل في مكالمة فيديو مع المدير المالي للشركة وزملاء آخرين، أكدوا له الطلب، فوافق على تحويلات قيمتها نحو 25 مليون دولار. كل شخص آخر في تلك المكالمة كان مزيفًا بالعمق. لاحظ ترتيب الأحداث. الاجتماع المزيف لم يبدأ الاحتيال؛ بل كان الخطوة التي بددت الشكوك التي أثارها تدريبه بشكل صحيح.
هذه الحالة تُذكر كثيرًا في أوساط الأمن، ولهذا سبب وجيه. إنها تُظهر الهجوم ينتقل إلى القنوات التي درّبنا الموظفين على اعتبارها دليلًا: وجه مألوف ومحادثة مباشرة. التدريب المؤسسي لم يواكب ذلك. نعلّم الناس ألا يثقوا بالنص المكتوب، ثم نترك الصوت والفيديو حكمًا نهائيًا لا يُسأل.
لماذا تدريب “اكتشف المزيف” ينتهي صلاحيته بسرعة؟
الاستجابة الغريزية هي تعليم الاكتشاف: رمش غير طبيعي، أصابع زائدة في اليد، إضاءة لا تطابق الغرفة. كثير من عروض التوعية من سنتين أو ثلاث مضت فعلت هذا تمامًا، وكل علامة ذكروها اختفت تقريبًا. كل خلل بصري هو تقرير خطأ، والإصدار التالي من النموذج يصلحه. تدريب الاكتشاف يمنح الموظفين ثقة عمرها أشهر، وهذا أسوأ من عدم وجود ثقة، لأنه يعلّم أن المكالمة المقنعة تستحق الثقة.
هناك مشكلة ثانية أقل وضوحًا. الوسائط المولّفة لم تعد أداة احتيال فقط. فرق التسويق الآن تطلق مؤثرين اصطناعيين ووجوهًا إعلانية مزيفة كأصول علامة تجارية عادية، مع تسميات إفصاح ومراجعات امتثال. موظفوك سيشاهدون فيديو اصطناعيًا مصقولًا ومشروعًا في العمل بانتظام. حين تصبح الوجوه المولّفة جزءًا من التواصل التجاري العادي، فإن عبارة “كان يبدو حقيقيًا” تفقد معناها. الواقعية صارت الأساس، فلا يمكن أن تكون الاختبار.
علّم التحقق، لا الاكتشاف
ما يصمد هو الإجراء. برنامج توعية بالعمق الاصطناعي يجب أن يقضي جزءًا صغيرًا من وقته في شرح كيف تعمل التقنية، ومعظمه في ماذا يفعل الموظف عندما يصل طلب عبر صوت أو فيديو. المهارات التي تستحق التدريب مملة، وهذا بالضبط سبب بقائها بعد ترقيات النماذج.
التأكيد عبر قناة ثانية
أي طلب يتعلق بالمال أو البيانات أو الصلاحيات يُتحقق منه عبر قناة مختلفة عن القناة التي وصل منها. إذا طلب المدير المالي شيئًا خلال مكالمة فيديو، يعاود الموظف الاتصال بالرقم الموجود في دليل الشركة، لا الرقم الموجود في دعوة الاجتماع. القاعدة أهم من الأداة. المهاجم يسيطر على القناة التي تواصل من خلالها؛ ونادرًا ما يسيطر على القناة التي تختارها بنفسك.
ضع السلطة كتابيًا
نصف هذه الاحتيالات تنجح لأن لا أحد يعرف من يملك صلاحية الموافقة على ماذا. انشروا سلسلة الموافقات الفعلية للمدفوعات وتغييرات الموردين ومنح الصلاحيات، واذكروا بوضوح أنه لا مكالمة هاتفية أو فيديو يمكنها تجاوزها. الموظف الذي يعرف أن الرئيس التنفيذي لا يستطيع وحده الموافقة على تحويل مالي بالصوت فقط، يملك سيناريو جاهزًا لأخطر لحظة في الاحتيال.
تعامل مع الاستعجال كإنذار
الضغط المصطنع بالوقت هو العنصر الوحيد الذي لا يستطيع المهاجم إزالته، لأن التحقق يحتاج دقائق، والدقائق هي ما يقتل المخطط. عبارة “يجب أن يتم هذا قبل نهاية اليوم ولا تخبر أحدًا” يجب أن تُعتبر هي العلم الأحمر نفسه، مهما كان الوجه الذي يقولها.
أعط الفرق المعرضة للخطر عبارة سرية مشتركة
فرق المالية والمساعدون التنفيذيون ودعم تقنية المعلومات يتلقون مكالمات طوال اليوم. العائلات الآن تستخدم كلمات سرية لمواجهة احتيال استنساخ الصوت الموجه إلى الأقارب، والحل البسيط نفسه يعمل مع فريق القيادة. لا يكلف شيئًا، ولا يمكن لأي نموذج توليده.
درّب عليه كما تدرب على التصيد
محاكاة التصيد أصبحت معيارًا لأن تجربة الخداع مرة واحدة تعلّم أكثر من ساعة فيديو. المنطق نفسه ينطبق هنا، والمواد الخام سهلة الإنتاج بشكل مقلق. مقطع قصير من صوت نظيف في تسجيل اجتماع بلدي أو ندوة عبر الإنترنت يكفي لاستنساخ صوت بأداة تجارية. المديرون التنفيذيون متحدثون عامون؛ أصواتهم بالفعل بيانات تدريب.
لذا استخدم ذلك بموافقتهم. استنسخ صوت قائد ونفّذ تدريبًا مسيطرًا على التصيد الصوتي ضد فريق المالية. احصل على موافقة المدير أولًا؛ هذا ليس مكانًا للمفاجآت. نفّذ تمرين طاولة حول مكالمة المدير المالي المزيفة ودع الناس يناقشون ماذا كانوا سيفعلون. ناقش النتائج دون إحراج أحد، كما تفعل برامج التصيد الناضجة. الهدف أن تكون أول مكالمة عميقة مزيفة يجربها موظفوك هي مكالمة أرسلتها أنت.
دع الزملاء يحملون الرسالة
الوحدة التدريبية الإلزامية تقول للموظفين إن الشركة قلقة. أما زميل يشغّل استنساخًا لصوته في اجتماع الاثنين ويقول “هذا أخذ مني أربع دقائق ونسخة تجريبية مجانية”، فهذا يغيّر ما يعتقده الناس. هذا العرض يؤثر بسبب الشخص الذي يقدمه، وهو السبب نفسه الذي يجعل أبطال التعلّم الداخليين يتفوقون على التدريب الموجّه من الأعلى في تبني الذكاء الاصطناعي عمومًا: الناس يزنون المتحدث قبل أن يزنوا الكلام.
الأبطال يخدمون غرضًا آخر هنا. في الواقع، أول ما يفعله الموظف المشتبه ليس تقديم بلاغ. إنه يلتفت إلى زميل ويسأل: “هل يبدو هذا غريبًا لك؟” أعطِ هذه الغريزة مكانًا تذهب إليه. بطل معين في كل فريق، وقناة غير رسمية للرأي الثاني، يلتقطان الحالات التي يشعر فيها شخص ما بعدم الارتياح ولا يستطيع تبرير التصعيد. ثقافة التحقق تعيش في تلك التبادلات الصغيرة، لا في وثيقة السياسة.
قس السلوك ثم احمِه
نسب إتمام التدريب لا تخبرك بأي شيء من هذا. تتبع ما يفعله الناس. في التمارين، قِس نسبة الموظفين المستهدفين الذين أجروا المعاودة الفعلية، ومدة البلاغ. خارج التمارين، احسب تقارير الحوادث القريبة، وتعامل مع ارتفاع العدد على أنه نجاح البرنامج لا نهاية العالم. الناس يبلغون عن مكالمات غريبة لأنهم يلاحظون مكالمات غريبة.
ثم احمِ هذا السلوك. الموظف الذي يتحقق من طلب حقيقي من الرئيس التنفيذي يجب أن يخرج من هذه التجربة وهو يشعر بالذكاء، لا بالعصيان. مدير واحد يقول بغضب “لماذا تضيع وقتي؟” يمحو سنة من التدريب، لأن الجميع سيسمعون بذلك. على القيادة أن تقول بصوت عالٍ وأكثر من مرة: التحقق ليس أبدًا خطرًا على مستقبلك الوظيفي.
جانب التقنية في هذا السباق خاسر بالفعل، بمعنى أن الشاشات ومكبرات الصوت توقفت عن كونها شاهدًا موثوقًا. التدريب الذي يعد الموظفين بعيون أحدّ يبيعهم مهارة اكتشاف سيحذفها إصدار النموذج القادم. أما التدريب الذي يعطيهم إجراءً يتبعونه دون إذن، وثقافة يُتوقع فيها اتباع هذا الإجراء، فسيصمد مهما كانت جودة المزيفات.