Kraja identitete: Kako strojno učenje ščiti pred spletnimi goljufijami.

Z naraščajočo digitalizacijo poslovanja postajajo tako podjetja, kot posamezniki vedno bolj ranljivi. Leta 2021 so varnostni raziskovalci na inštitutu Hasso Plattner v Potsdamu zabeležili več uhajanja podatkov na nemških spletnih mestih kot kdaj koli prej. Tudi kraje digitalne identitete so narasle. Po podatkih Inštituta je trgovanje z osebnimi podatki milijardni posel ne le za velikane iz Silicijeve doline, kot sta Google in Facebook, ampak tudi za kibernetske kriminalce. Strokovnjaki ocenjujejo, da so samo spletne trgovine zaradi spletnih goljufij v letu 2021 znašale 20 milijard dolarjev. To predstavlja približno 18-odstotno povečanje v primerjavi s prejšnjim letom. Na inštitutu pravijo, da je preverjanje identitete postalo največji izziv za spletne trgovine in finančno industrijo. Goljufi postajajo vse bolj prefinjeni in delujejo na vseh kanalih.

Da bi izvedeli, kako se lahko podjetja zaščitijo pred spletnimi goljufijami, smo naredili video intervju s Frankom Heislom. Frank je generalni direktor podjetja RISK IDENT. Tako kot EOS je tudi podjetje s sedežem v Hafencityju v Hamburgu del skupine Otto. Po besedah ​​Franka gre za vodilno podjetje na trgu programske opreme za boj proti goljufijam v nemško govorečih državah. Raznolika baza strank vključuje maloprodajne družbe, kot so Otto in Breuninger, Deutsche Telekom in Vodafone, podjetje za najem avtomobilov Sixt in Deutsche Bahn. V finančnem sektorju se banke in ponudniki plačilnih storitev zaščitijo s programsko opremo RISK IDENT. Koristi imajo tudi stranke EOS (glej intervju na strani 31). Po Frankovih besedah ​​RISK IDENT svojim strankam po vsem svetu zagotavlja letni prihodek v višini 80 milijard evrov.

Frankova vizija je svet brez spletnih goljufij, čeprav se zaveda, da je to utopija. "Toda to je tisto, kar nas žene." Pravi, da je 75 članov ekipe RISK IDENT tako predanih, ker vedo, da delajo dobro. ''Na koncu ne ščitimo le podjetij pred neplačili – ker se lahko kraja identitete zgodi vsakomur – ampak tudi družbo kot celoto,'' pravi Frank. "Ta vrsta goljufije financira tudi terorizem in organizirani kriminal." Kako se lahko podjetja učinkovito zaščitijo?

Najboljša možnost za preprečevanje goljufij je zgodnje odkrivanje poskusov prevar. Frank pojasnjuje, kako deluje: »Prevaranti običajno oddajo več kot eno naročilo. Uporabljajo različne identitete ali e-poštne naslove, vendar nimajo neskončnega števila naprav. S prstnimi odtisi naprave vidimo, da dobivamo naročilo od Anne, od Jaya, tretjega od Paule, vendar vsi uporabljajo isto napravo. Ko to prepoznamo, lahko bolje prepoznamo in predvidimo poskuse goljufije.«

FRIDA uporablja algoritme strojnega učenja za ustvarjanje povezav med transakcijami in razkrivanje vzorcev. Frida se na primer sprašuje: Ali sem že kdaj videla to prvo ime v tej regiji v radiju xx metrov v kombinaciji s tem nakupovalnim vozičkom?

Frank pravi, da so goljufi izjemno vztrajni. ''Tudi če večkrat naletijo na zid, jim na koncu vendarle uspe. Bistvo je zagotoviti, da jim z isto metodo ne uspe dvajsetkrat.'' Torej, cilj je nadzor nad škodo. Popolna zaščita je nemogoča. To je kruta realnost.

Da bi obvladala izzive pri prepoznavanju goljufij, se FRIDA prilagodi in prepreči lažne pozitivne rezultate, z namenom zaščiti prihodke podjetja in njegove stranke. Frank pojasnjuje: ''V milisekundah, ki so potrebne za obdelavo transakcije, se morajo trgovci na drobno odločiti, ali bodo naročilo sprejeli ali zavrnili.''

Podjetja, ki se poskušajo ubraniti prevar, se morajo vprašati, kako neprijetno želijo narediti stvari za prevarante, pravi Frank. Višji kot so požarni zidovi za zmanjšanje goljufij, več korakov je potrebnih. Preveč korakov pa je v nasprotju s ciljem spletne trgovine, da svojim strankam ponudi najhitrejšo možno nakupovalno izkušnjo z veliko možnostmi plačila.

Že nekaj časa opažamo učinke povečane varnosti – zlasti uporabe kode PIN ali TAN – pri spletnem nakupovanju ali prenosu denarja. Z zahtevanjem dvostopenjske avtentikacije države EU izpolnjujejo strožja pravila, ki jih je uvedel Bruselj, zlasti direktivo o plačilnih storitvah PSD2. ''Ta dodatna koda PIN ni nič nenavadnega, vendar je lahko moteča,'' priznava Frank. Žal pa tudi dodatni korak ne zagotavlja 100-odstotne varnosti. Teoretično lahko številke TAN za besedilna sporočila prestrežejo ali zlorabijo, če vaš mobilni telefon izgubite ali vam ga ukradejo.

Kot ponudnik programske opreme za boj proti goljufijam RISK IDENT ne želi ovirati postopkov naročanja ali finančnih transakcij in raje »leti pod radarjem«, pravi Frank. "Naši algoritmi v nekaj milisekundah predvidijo verjetnost, če gre pri naročilu za goljufijo." Odločitve o tveganjih bank in trgovcev temeljijo na teh napovedih.

Ne glede na to, ali so vključeni algoritmi in strojno učenje ali ne, imajo ljudje še vedno ključno vlogo v tem procesu, zlasti v mejnih primerih. ''Ker ljudje včasih bolje ocenijo situacijo, našim strankam omogočamo, da ročno posredujejo med postopkom naročanja in pošiljanja ter same izvedejo preverjanje verodostojnosti,'' pravi Frank. Prepričan je, da obramba pred goljufijami deluje le, če se tehnologija, podatki in znanje ljudi prepletajo. "Umetna inteligenca kot edina rešitev bo neuresničljiva še mnogo, mnogo let."

Trenutno spletna trgovina in telekomunikacije predstavljajo več kot polovico prihodkov RISK IDENT-a. Frank napoveduje, da bo moral predvsem finančni sektor veliko vlagati v kibernetsko varnost. Navsezadnje si večina finančnih institucij še naprej prizadeva za digitalizacijo svojih procesov, tako da lahko potrošniki prenesejo in prejmejo denar v nekaj sekundah. "Takojšnje plačilo je vizija, na kateri delajo vse kreditne institucije." Zneski pri posojanju se močno razlikujejo od zneskov pri spletni trgovini. ''V Nemčiji se lahko posojilo na obroke v višini 80.000 EUR izda brez kakršnega koli zavarovanja'' pravi Frank. Tako bi lahko veliko več denarja hitro padlo v napačne roke.

V EU bi morali vladni programi zagotavljati večjo varnost tako, da bi na primer v pametne telefone vnesli digitalne oblike identifikacije. V Estoniji lahko potrošniki že nakupujejo prek spleta s svojo osebno izkaznico. Ali bodo ti koraki res povečali varnost? Frank ostaja skeptičen. ''Seveda, osrednja podatkovna skladišča olajšajo življenje vsem nam, le do trenutka, ko pridejo v napačne roke," pravi. "Če pogledate vse zlorabe podatkov po vsem svetu, morate domnevati, da se to lahko zgodi kadarkoli in kjer koli," pravi. Včasih prav tisti, ki pomagajo graditi sistem, pozneje postanejo sostorilci. V drugih primerih so krive slabosti programske opreme ali tretjih oseb.

V Indiji so na primer lani vdrli v osrednjo bazo podatkov. "To je najslabši primer." V centralnih zbirkah je škoda po vsej verjetnosti še večja, saj je obseg osebnih podatkov večji, predvsem pa so podatki preverjeni.

Zadnje poročilo nemškega zveznega kriminalističnega urada (BKA) o stanju kibernetske kriminalitete nakazuje, da kriminalcev na spletu ne odvrnejo bolj sofisticirane obrambne metode. "Dandanes lahko zelo malo kibernetskih kriminalcev svoje zločine zagreši brez kritične podpore tretjih oseb," piše. Namesto tega se zatečejo k profesionalnim ponudnikom storitev iz temnega spleta. Pojav kibernetske kriminalitete kot storitve je zakoreninjen "v poklicni, ohlapno strukturirani kriminalni združbi sive ekonomije, ki temelji na delitvi dela in iskanju finančnih dobičkov," pravi BKA. Frank se strinja. "To je neskončna igra mačke z mišjo," pravi.

Zaradi pandemije komuniciramo na spletu in prek mobilnih kanalov, nakazujemo denar in nakupujemo na spletu več kot kdaj koli prej. Letna škoda, ki jo povzročijo kibernetski napadi po vsem svetu, je ocenjena na trilijone dolarjev. Spletne goljufije so se razvile v resen stroškovni dejavnik za podjetja. Povedano drugače: Če znižate stroške goljufij, pridobite konkurenčno prednost. Po besedah ​​Franka v idealnem svetu podjetje, kot je RISK IDENT, sploh ne bi obstajalo. "Res smo nepotrebna industrija," pravi. "Vendar varnost podatkov ni in nikoli ne bo zastarela težava."