คาดอีกสองปี องค์กร 30% จะมองว่าการใช้โซลูชันการยืนยันและพิสูจน์ตัวตนแบบชั้นเดียว จะไม่น่าเชื่อถืออีกต่อไป เหตุจาก Deepfakes ที่ปัญญาประดิษฐ์เป็นผู้สร้างขึ้น และจำเป็นต้องใช้ 2 ระบบลดภัยคุกคาม
การ์ทเนอร์ บริษัทวิจัยและให้คำปรึกษาชั้นนำของโลก คาดการณ์ว่าในปี 2569 การโจมตีแบบ Deepfakes ที่สร้างโดยปัญญาประดิษฐ์กับเทคโนโลยีระบุตัวตนบนใบหน้าหรือ Face Biometrics เป็นเหตุให้องค์กรประมาณ 30% มองว่า วิธีแก้ด้วยการยืนยันและพิสูจน์ตัวตนจะไม่น่าเชื่อถืออีกต่อไปหากนำมาใช้แบบระบบเดี่ยว
อากิฟ ข่าน รองประธานฝ่ายวิจัยการ์ทเนอร์ บริษัทวิจัยและให้คำปรึกษาชั้นนำของโลก ให้ความเห็นว่า
“ช่วง 10 ปีที่ผ่านมา มีจุดเปลี่ยนสำคัญด้าน AI เกิดขึ้นหลายประการ นั่นทำให้เกิดการสร้างภาพสังเคราะห์ขึ้นได้ โดยภาพใบหน้าคนจริง ๆ ที่สร้างขึ้นปลอม ๆ เหล่านี้ หรือที่เรียกว่า Deepfakes นั้น เปิดโอกาสให้ผู้ไม่ประสงค์ดีสามารถนำมาใช้เพื่อทำลายระบบการพิสูจน์ทราบตัวตนด้วยไบโอเมตริกซ์หรือทำให้ระบบใช้การได้อย่างไม่มีประสิทธิภาพ ผลที่ตามมาก็คือ องค์กรต่าง ๆ อาจเริ่มตั้งคำถามถึงความน่าเชื่อถือของวิธีแก้ไขการยืนยันและพิสูจน์ตัวตน เนื่องจากไม่สามารถบอกได้ว่าใบหน้าบุคคลที่ได้รับการยืนยันนั้นเป็นบุคคลที่มีชีวิตจริงหรือเป็นของปลอมกันแน่”
กระบวนการยืนยันและพิสูจน์ตัวตนโดยใช้เทคโนโลยีไบโอเมตริกซ์บนใบหน้าในวันนี้อาศัยการตรวจจับการโจมตีหลอกๆ หรือ Presentation Attack Detection (PAD) เพื่อประเมินการมีชีวิตอยู่จริงของผู้ใช้ “มาตรฐานและกระบวนการทดสอบในปัจจุบันเพื่อกำหนดและประเมินกลไกของการตรวจจับการโจมตีหลอกนั้นไม่ครอบคลุมการโจมตีผ่านดิจิทัลหรือ Digital Injection Attacks ที่มาจาก Deepfakes ที่สร้างโดย AI ที่สามารถพัฒนาขึ้นได้แล้ววันนี้” อากิฟ ข่านให้ความเห็น
ผลการวิจัยการ์ทเนอร์ ชี้ว่าการโจมตีแบบ Presentation Attack ที่เป็นการปลอมแปลงข้อมูลอัตลักษณ์ทางกายภาพของบุคคลเป็นการโจมตีที่พบบ่อยที่สุด
อย่างไรก็ตาม การโจมตีแบบ Injection Attack ที่เป็นการแทรกโค้ดลงในโปรแกรมหรือแบบสอบถาม หรือมัลแวร์ในคอมพิวเตอร์เพื่อควบคุมคำสั่งผ่านระยะไกล ในปี 2566 มีอัตราเพิ่มขึ้นถึง 200% ดังนั้นเพื่อป้องกันการโจมตีดังกล่าวองค์กรจะต้องใช้การตรวจจับการโจมตีแบบ Injection Attack Detection (IAD) และการตรวจสอบภาพ หรือ Image Inspection ร่วมด้วย
• ใช้การตรวจจับแบบ IAD และเครื่องมือตรวจสอบรูปภาพร่วมกันเพื่อลดภัยคุกคามจาก Deepfake
และเพื่อช่วยให้องค์กรธุรกิจสามารถปกป้องตนเองจากภัยคุกคาม Deepfakes ที่พัฒนาขึ้นโดย AI และมีความสามารถเหนือกว่าเทคโนโลยีที่ใช้ในการระบุตัวตนบนใบหน้านั้น ผู้บริหาร CISO (Chief Information Security Officer) หรือ หัวหน้าเจ้าหน้าที่รักษาความปลอดภัยข้อมูลระดับสูง และผู้นำจัดการความเสี่ยง ต้องเลือกผู้ขายที่สามารถแสดงให้เห็นได้ว่าพวกเขามีความสามารถ มีแผนการจัดการที่เหนือกว่าคุณภาพมาตรฐาน รวมถึงมีระบบมอนิเตอร์ จัดหมวด และกำหนดปริมาณของภัยคุกคามเกิดใหม่นี้
“องค์กรควรเริ่มกำหนดบรรทัดฐานการควบคุมขั้นต่ำด้วยการทำงานร่วมกับผู้ขายที่มีการลงทุนโดยเฉพาะในด้านการลดผลกระทบจากภัยคุกคาม Deepfake ล่าสุด โดยใช้การตรวจจับการโจมตีแบบ Injection Attack Detection (IAD) ควบคู่ไปกับระบบการตรวจสอบภาพ Image Inspection” อากิฟ ข่าน รองประธานฝ่ายวิจัยการ์ทเนอร์ ให้ความเห็น
เมื่อกำหนดกลยุทธ์และบรรทัดฐานการควบคุมพื้นฐานแล้ว ผู้บริหาร CISO (Chief Information Security Officer) และผู้นำทีมการจัดการความเสี่ยงจะต้องรวบรวมความเสี่ยงที่จะเกิดขึ้นเพิ่มเติมและตระหนักถึงสัญญาณที่เป็นภัย อาทิ การระบุการใช้งานอุปกรณ์และการวิเคราะห์พฤติกรรม เพื่อเพิ่มโอกาสการตรวจจับการโจมตีในกระบวนการยืนยันตัวตน
นอกจากนี้ ผู้นำด้านความปลอดภัยและการบริหารความเสี่ยง ยังมีบทบาทรับผิดชอบในด้านข้อมูลส่วนบุคคลและการจัดการการเข้าถึงควรมีขั้นตอนดำเนินการเพื่อลดความเสี่ยงการโจมตีแบบ Deepfake ที่ขับเคลื่อนจาก AI โดยเลือกเทคโนโลยีที่สามารถพิสูจน์ความเป็นมนุษย์ที่แท้จริงได้หรือนำมาตรการเพิ่มเติมมาใช้เพื่อป้องกันการเข้ายึดบัญชีใช้งาน
แหล่งข้อมูล