Defensiv AI: En praktisk guide for SMB-er i kampen mot AI-drevet svindel

I mange år har jeg fortalt bedriftseiere at den største risikoen småbedrifter står overfor ved AI-adopsjon ikke er å bli erstattet av en robot – det er å bli forbigått av en konkurrent som bruker AI bedre. Men nylig har en mørkere virkelighet vokst frem. De samme generative verktøyene vi bruker til å skrive e-poster og kode, blir nå brukt som våpen av ondsinnede aktører for å skape naturtro, syntetisk svindel. Hvis du ennå ikke har vurdert 'defensiv AI', lar du i praksis hvelvdøren stå vidåpen mens du fokuserer på å oppgradere kontorbelysningen.

De fleste SMB-er opererer i det jeg kaller 'Gullhår-sonen' for svindel. Dere har nok kontantstrøm og digitalt volum til å være et lukrativt mål, men dere mangler sikkerhetssentrene til £50 000 i måneden som beskytter FTSE 100-selskaper. Dette gapet er nøyaktig der AI-drevet phishing og deepfake-fakturering trives. I denne guiden skal jeg vise deg hvordan du tetter det gapet uten å sprenge budsjettet.

Fremveksten av syntetisk bedrag

Vi beveger oss ut av æraen med 'nigeriansk prins'-e-poster med dårlig språk. Dagens trusselbilde domineres av syntetisk bedrag. Ved å bruke store språkmodeller (LLMs), kan en svindler skrape LinkedIn-profilen din, bedriftens nettside og dine offentlige intervjuer for å generere en e-post som høres nøyaktig ut som deg.

Enda mer skremmende er fremveksten av deepfakes innen lyd og video. Jeg har snakket med to bedriftseiere den siste måneden som mottok 'talemeldinger' fra forretningspartnerne sine med forespørsel om hastende endringer i betalinger. Stemmene var perfekte. Tonefallet var riktig. Den eneste grunnen til at de ikke betalte, var en magefølelse av at forespørselen var litt ute av karakter. Å stole på 'magefølelsen' er ikke en skalerbar sikkerhetsstrategi.

Multi-kanal-mandatet: Et nytt rammeverk for tillit

I en AI-først-verden må vi akseptere en hard sannhet: Digital identitet er nå trivielt å forfalske. Hvis en forespørsel ankommer via en enkelt digital kanal (e-post, Slack eller WhatsApp), må den som standard behandles som ubekreftet.

Jeg tar til orde for det jeg kaller Multi-kanal-mandatet. Dette er et prosedyreverk der enhver handling med stor påvirkning – som å endre bankdetaljer, godkjenne en stor bankoverføring eller dele sensitive medarbeiderdata – krever verifisering på tvers av to uavhengige kommunikasjonskanaler.

Slik implementerer du arbeidsflyter for verifisering

1. Out-of-band-regelen: Hvis en fakturaendring kommer via e-post, må den bekreftes via et kjent telefonnummer eller et forhåndsavtalt fysisk møte.
2. Delte hemmeligheter: Gå bort fra sikkerhetsspørsmål basert på offentlig tilgjengelig informasjon. Bruk 'interne passfraser' for økonomiteamet som endres hvert kvartal.
3. Visuelle bevis: Når du er i en videosamtale, be den andre personen om å snu på hodet eller vinke med en bestemt gjenstand. Nåværende sanntids-deepfakes sliter ofte med profilvisninger og tildekking av ansiktet.

Å bygge disse arbeidsflytene krever ikke dyr programvare, men det krever et kulturelt skifte. Du kan ofte se betydelige besparelser på juridiske tjenester og etterlevelse ved å styrke disse interne prosessene før et brudd skjer, i stedet for å betale for oppryddingen i etterkant.

Oppbygging av din defensive teknologistabel

Selv om prosesser er din første forsvarslinje, trenger du også verktøy som kan oppdage det det menneskelige øyet overser. Når vi ser på kostnadene for IT-støtte, bør vi lete etter leverandører som tilbyr AI-drevet e-postsikkerhet. Verktøy som Abnormal Security eller Darktrace bruker 'defensiv AI' for å bygge en grunnlinje for hvordan 'normal' kommunikasjon ser ut for din bedrift. Når en e-post ankommer som samsvarer med tonen til din administrerende direktør, men kommer fra en uvanlig IP-adresse eller inneholder et subtilt språklig skifte, flagger AI-en det før den i det hele tatt når innboksen din.

Arbeidsflyt for 'Zero-Trust'-fakturaer

Mesteparten av fakturasvindel skjer fordi vi stoler på dokumentet foran oss. En AI-generert faktura kan se identisk ut som din leverandørs oppsett. En robust strategi for AI-adopsjon for småbedrifter bør inkludere automatisert fakturaavstemming. Verktøy som bruker OCR (optisk tegngjenkjenning) for å sammenligne hvert felt på en innkommende faktura mot en 'Golden Record' av tidligere transaksjoner, kan fange opp subtile endringer i IBAN-numre som et travelt menneske kan overse.

Risikoøkonomi: Forsikring vs. forebygging

Jeg har stor tro på radikal ærlighet: du vil aldri være 100 % trygg. Dette er grunnen til at risikooverføring er en sentral del av strategien. Markedet for bedriftsforsikring er imidlertid i endring. Forsikringsselskaper spør nå spesifikt om dine AI-defensive tiltak. Hvis du ikke kan demonstrere et 'Multi-kanal-mandat' eller en 'Out-of-band'-verifiseringsprosess, kan du oppleve at premiene dine skyter i været – eller enda verre, at kravet ditt blir avslått på grunn av 'grov uaktsomhet' hvis du blir lurt av en deepfake.

Paradokset rundt automatiseringsangst

Det er et tilbakevendende mønster jeg ser: Bedrifter som er mest nølende med å ta i bruk AI for vekst, er ofte de som er mest sårbare for AI brukt til svindel. Hvorfor? Fordi de fortsatt stoler på manuelle, sårbare prosesser som er utrolig enkle for en AI å etterligne.

Ved å omfavne AI-verktøy for din egen drift – som automatisert bokføring og sikre kommunikasjonsplattformer – styrker du faktisk bedriften din. Du går fra en 'tillitsbasert' modell (som er skjør) til en 'verifiseringsbasert' modell (som er robust).

Din handlingsplan for mandag morgen

Ikke la kompleksiteten i AI lamme deg. Start med disse tre spesifikke trinnene:

• Gjennomgå betalingsprosessene dine: Hvem har fullmakt til å endre bankdetaljer? Sørg for at 'Out-of-Band'-verifisering er en skriftlig policy, ikke et forslag.
• Lær opp teamet ditt om 'syntetisk drift': Vis dem eksempler på deepfake-lyd. Sørg for at de vet at det å 'høres ut som sjefen' ikke lenger er bevis på identitet.
• Sjekk din IT-stack: Snakk med din IT-leverandør om 'Identity Threat Detection and Response' (ITDR). Hvis de ikke vet hva det er, kan det være på tide å se seg om etter en ny.

Vinduet for å bevege seg fra 'blind tillit' til 'verifisert drift' lukkes raskt. De ondsinnede aktørene har allerede tatt i bruk AI. Det er på tide at du gjør det samme – defensivt.