Social Engineering: Mit künstlicher Intelligenz 220.000 Euro erbeutet

Nicht einmal auf die Stimme kann man sich verlassen: Mit Hilfe künstlicher Intelligenz haben Betrüger die Stimme eines CEOs täuschend echt nachgeahmt - und konnten so eine Überweisung veranlassen. Schutz ist schwierig.

Artikel veröffentlicht am 4. September 2019, 18:50 Uhr, Moritz Tremmel

Ob die Stimme am anderen Ende aus einem Computer stammt? (Bild: it's me neosiam/Pexels)

Der CEO eines britischen Energieversorgers erhält einen Anruf von seinem Chef - dem CEO der deutschen Muttergesellschaft. Er bittet ihn, eine Überweisung von 220.000 Euro an einen ungarischen Zulieferer zu veranlassen, die Angelegenheit sei zeitkritisch und solle innerhalb einer Stunde erledigt werden. Die Stimme klingt wie immer, mit leichtem deutschen Akzent. Doch der Anruf stammt nicht vom Chef der Muttergesellschaft, sondern von Social Engineers, die mit Hilfe von künstlicher Intelligenz (KI) die Stimme des CEO imitierten und auf diese Weise das Geld erbeuteten. Zuerst hatte das Wall Street Journal darüber berichtet.

Der Fall soll sich bereits im März dieses Jahres ereignet haben. Die Namen der betroffenen Firmen möchte die Versicherungsfirma Euler Hermes, eine Tochter der Allianz, nicht nennen. Auch für sie sei es der erste Fall, in welchem Kriminelle künstliche Intelligenz einsetzen, erklärt der Experte für Betrug bei Euler Hermes, Rüdiger Kirsch. Der britische CEO habe geglaubt, seinen Chef an der Melodie seiner Stimme und dem deutschen Akzent wiedererkannt zu haben, so authentisch sei der Anruf gewesen.

Noch am gleichen Tag hat der britische CEO zwei weitere Anrufe von seinem vermeintlichen Chef erhalten. Im zweiten Anruf erklärte dieser, er habe eine Erstattung des Geldes bereits veranlasst. Im dritten wiederum forderte er den britischen CEO zu einer weiteren Zahlung auf. Da der dritte Anruf von einer österreichischen Nummer stammte und das angekündigte Geld noch nicht eingetroffen war, wurde der britische CEO stutzig und veranlasste keine weitere Zahlung. Das bereits überwiesene Geld wurde aus Ungarn über Mexiko an andere Orte überwiesen. Die Ermittlungen wurden bereits eingestellt, ohne die Betrüger zu identifizieren.

Kirsch vermutet, dass die Betrüger auf eine handelsübliche Software, mit der Sprache generiert werden könne, zurückgegriffen hätten. Er habe eine solche selbst mit einer Audio-Aufnahme von sich getestet, die generierte Stimme sei täuschend echt gewesen.

Betrug mit Hilfe von künstlicher Intelligenz sei eine neue Herausforderung für Unternehmen, sagt Kirsch. Traditionell richteten sich die Sicherheitsmechanismen gegen das Eindringen von Angreifern in die Unternehmensnetzwerke - nicht gegen gefälschte Stimmen. Dabei wird häufig übersehen, dass die meisten Angriffe bereits heute auf den Menschen als Schwachstelle und nicht auf die IT abzielen. Diese Angriffe werden Social Engineering genannt und dürften sich mit Hilfe von KI-gefälschten Stimmen oder Videos, sogenannten Deep Fakes, in Zukunft noch schlechter erkennen lassen.