امروزه استفاده از صداهای شبیه‌سازی شده (Cloned Voices) و تماس‌های ویدئویی مصنوعی در کلاهبرداری‌های مالی، بازنشانی رمز عبور در Help Desk و درخواست‌های دسترسی غیرمجاز به شدت افزایش یافته است. اجرای یک مانور ساختاریافته به تیم‌های امنیتی اجازه می‌دهد تا نقاط ضعف فرآیندهای احراز هویت خود را در محیطی امن و بدون ریسک شناسایی کنند.
چالش جدید: وقتی سیاست‌ها در برابر واقعیت شکست می‌خورند
بسیاری از سازمان‌ها سیاست‌هایی برای تأیید درخواست‌های غیرمعمول پرداخت یا دسترسی دارند، اما تعداد کمی از آن‌ها بررسی کرده‌اند که آیا این سیاست‌ها در مواجهه با تماسی که دقیقاً شبیه به صدای مدیر ارشد (CFO) است، کارآمد هستند یا خیر. آموزش‌های معمول آگاهی‌بخش (Security Awareness Training) به کارکنان یاد می‌دهند که به دنبال نشانه‌هایی مانند غلط‌های املایی یا آدرس‌های ایمیل مشکوک باشند، اما در مورد جعل صدا و چهره در زمان واقعی (Real-time Face Swap)، این نشانه‌ها هر روز کمتر می‌شوند.
گام اول: شناسایی اهداف و نقاط حساس
برای شروع یک مانور، ابتدا باید یک ماتریس از افرادی که احتمالاً مورد جعل قرار می‌گیرند و افرادی که هدف تماس‌ها هستند تهیه کنید:
- افراد مورد جعل: مدیرانی که قدرت تأیید پرداخت یا دستور دادن به کارکنان را دارند (مانند CEO، CFO، CIO و CISO) و همچنین مدیران میانی در بخش‌های مالی، IT و HR.
- افراد هدف تماس: کارکنان بخش حساب‌های پرداخت، خزانه‌داری، حقوق و دستمزد، دستیاران اجرایی و اپراتورهای Help Desk. توجه داشته باشید که درخواست‌های جعل شده برای بازنشانی MFA می‌تواند سریع‌ترین راه برای تصاحب حساب (Account Takeover – ATO) باشد.
همچنین باید میزان دسترسی مهاجم به داده‌های صوتی و ویدئویی عمومی (مانند پادکست‌ها، وبینارها و کلیپ‌های شبکه‌های اجتماعی) برای هر یک از این افراد ارزیابی شود؛ زیرا هرچه محتوای صوتی بیشتری در دسترس باشد، شبیه‌سازی صدا آسان‌تر خواهد بود.
گام دوم: تدوین قوانین احراز هویت
یک مانور بدون قوانین شفاف، تنها غریزه کارکنان را می‌سنجد. پیش از شروع، باید قوانین سخت‌گیرانه‌ای برای تأیید هویت مستند کنید. این قوانین باید بر فرآیند متمرکز باشند نه بر ادراک؛ به این معنا که حتی اگر صدا کاملاً طبیعی به نظر برسد، کارکنان باید مراحل تأیید را طی کنند.
یکی از حیاتی‌ترین نکات، مقابله با فشار سلسله‌مراتب و فوریت (Urgency) است. کارکنان باید بدانند که توقف لحظه‌ای برای تأیید هویت یک مدیر ارشد، هرگز به عنوان یک خطا ارزیابی نمی‌شود.
اجرای سناریوها و شبیه‌سازی
بهترین روش برای شروع، استفاده از تمرینات Tabletop است تا شکاف‌های سیاستی شناسایی شوند. سپس می‌توان به شبیه‌سازی‌های زنده با گروه‌های کوچک پرداخت. چهار سناریوی کلیدی پیشنهاد می‌شود:
- درخواست پرداخت فوری برای یک تأمین‌کننده در زمان بسته شدن فصل مالی.
- درخواست تغییر دسترسی یا ایجاد حساب Admin جدید پیش از یک Audit.
- درخواست بازنشانی MFA برای مدیری که ادعا می‌کند دسترسی‌اش را از دست داده است.
- درخواست انتقال حساس داده‌ها به دلیل یک وضعیت اضطراری ساختگی.
تحلیل نتایج و بهبود مستمر
پس از هر مانور، جلسات بازبینی (Debrief) باید سریع و بدون سرزنش برگزار شوند. هدف این است که به کارکنان نشان داده شود چگونه فریب خوردند و چه سیگنال‌هایی را می‌توانستند بررسی کنند. نتایج باید منجر به به‌روزرسانی دایرکتوری‌های تماس، سخت‌گیرانه‌تر کردن آستانه‌های تأیید و ادغام این سناریوها در برنامه‌های منظم شبیه‌سازی فیشینگ (Phishing Simulation) شود.
کنترل‌های فنی تکمیلی
در کنار فرآیندها، ابزارهای فنی در دو نقطه می‌توانند کمک‌کننده باشند:
- امنیت رفتاری ایمیل: شناسایی درخواست‌های غیرمعمول از سوی مدیران یا تأمین‌کنندگان پیش از آنکه تماس صوتی برقرار شود.
- احراز هویت در زمان واقعی: استفاده از ابزارهایی که سیگنال‌های بیومتریک و رفتاری صدا و چهره را در پلتفرم‌های همکاری (مانند Microsoft Teams) تحلیل کرده و در صورت عدم تطابق با پروفایل واقعی، هشدار دهند.
