Ritiene che i Suoi clienti e dipendenti siano in grado di riconoscere le truffe online, i deepfake, nonché la disinformazione e la diffusione deliberata di informazioni errate? Studi recenti dimostrano che le persone sopravvalutano la propria capacità di distinguere la verità dalla finzione – e la situazione rischia di peggiorare man mano che l’intelligenza artificiale diventa più sofisticata.
Questo dovrebbe destare preoccupazione nei dirigenti aziendali — e indurli a rivolgersi ai propri responsabili della sicurezza informatica. A quanto pare, quei CISO dispongono di alcuni vecchi stratagemmi in grado di contrastare queste nuove minacce alimentate dall’intelligenza artificiale.
Innanzitutto, la ricerca: un sondaggio condotto da Citi nell’ambito dell’iniziativa “ ” , pubblicato a novembre, ha chiesto a 2.432 intervistati online quanto fossero in grado di individuare una truffa finanziaria; il 90% ha affermato di esserne capace, nonostante il fatto che oltre un quarto (27%) fosse già caduto vittima di tali raggiri.
Un altro studio dell’ , pubblicato a giugno, ha rilevato che le persone tendono a credere maggiormente alla disinformazione creata dall’intelligenza artificiale rispetto alle affermazioni false scritte da esseri umani. La differenza è minima – le 697 persone intervistate avevano una probabilità inferiore del 3% di individuare tweet falsi generati dall’intelligenza artificiale rispetto alle menzogne scritte da esseri umani – ma è significativa, vista la valanga prevista di contenuti così convincenti.
«Il fatto che la disinformazione generata dall’intelligenza artificiale non solo sia più economica e veloce, ma anche più efficace, mi fa venire gli incubi», ha dichiarato a giugno il dottor Giovanni Spitale, ricercatore dell’Università di Zurigo e responsabile dello studio, al sito MIT Technology Review .
A distanza di sei mesi, è ancora preoccupato.
«Non mi preoccupa la tecnologia in sé, ma il rischio che se ne faccia un uso improprio», afferma in una e-mail inviata a , referente di Focal Point . Spitale, che si definisce un appassionato di tecnologia e un “grande nerd” (ha iniziato a programmare su un Olivetti 386 nel 1993 all’età di sei anni), teme che i governi e le leggi siano semplicemente troppo lenti per stare al passo con tecnologie dirompenti come i modelli linguistici di grandi dimensioni (LLM) che alimentano ChatGPT.
La legge dell’UE sull’intelligenza artificiale “ ” (), approvata quest’estate, è “già superata”, osserva. E ciò espone al rischio sia i privati che le imprese.
Informazioni errate, disinformazione — comunque la si voglia chiamare, è una realtà
Da anni gli esperti mettono in guardia sulla capacità dell’intelligenza artificiale di aumentare la frequenza e la qualità della misinformazione (affermazioni errate), della disinformazione (bugie vere e proprie) e della malinformazione (verità deliberatamente distorte o estrapolate dal contesto a fini malevoli), e ora stiamo assistendo a tale fenomeno.
«Nonmi preoccupa la tecnologia in sé, ma il rischio che se ne faccia un uso improprio.”Giovanni Spitale, Ph.D., ricercatore nel campo della disinformazione, Università di Zurigo
I truffatori ricorrono sempre più spesso all’intelligenza artificiale per “potenziare” le frodi, ha avvertito a giugno Lina Khan, presidente della Commissione federale per il commercio ( ) . Pindrop, che monitora miliardi di chiamate presso numerose grandi banche statunitensi, ha rilevato quest’anno un aumento delle truffe basate sui deepfake, in cui l’intelligenza artificiale veniva utilizzata per simulare le voci dei clienti al fine di tentare di trasferire fondi.
Le piccole e medie imprese (PMI) sono esposte a rischi pari a quelli delle grandi multinazionali. Le recensioni negative online – inventate da clienti o dipendenti scontenti per infangare la reputazione di un marchio, oppure architettate da bande di cybercriminali per estorcere denaro – rappresentano già un problema per le PMI. Ottawa Perogies discovered this in 2021, when a cybercriminal flooded Facebook and Google with one-star reviews after the family-run takeout restaurant ignored demands for money. Gli ordini sono diminuiti drasticamente nel giro di pochi giorni e ci sono volute settimane prima che il ristorante riuscisse a risanare la propria reputazione online. Nello stesso anno, secondo uno studio condotto dall’Università di Baltimora , le aziende hanno subito perdite stimate in 152 miliardi di dollari a livello mondiale a causa delle recensioni false. Gli esperti avvertono che l’intelligenza artificiale non farà altro che aumentare questo tipo di attacchi.
La buona notizia è che i dirigenti aziendali possono fare affidamento sui metodi tradizionali di sicurezza informatica – strategie collaudate che i CISO e altri professionisti della sicurezza sostengono da anni – per contrastare tali minacce. «Per il momento, la migliore strategia di difesa che abbiamo individuato consiste nel disporre di un piano d’azione non solo per reagire agli incidenti, ma anche per valutarne la probabilità; tuttavia, gli incidenti si verificheranno comunque», ammette Spitale.
Va bene. Le seguenti misure di sicurezza non sono in grado di proteggere completamente un’organizzazione, ma possono ridurre notevolmente gli effetti negativi:
1. Riscrittura delle procedure operative standard di risposta agli incidenti – e loro applicazione
Sebbene siano stati originariamente concepiti per gestire crisi tecniche quali le violazioni dei dati, i piani di risposta agli incidenti di possono e devono essere rivisti al fine di gestire le crisi legate alla disinformazione e alla diffusione di informazioni errate. Ciò significa integrare nel proprio piano d’azione misure volte a individuare rapidamente le informazioni inesatte – quali video e clip audio deepfake, hashtag non autorizzati che includono il nome del proprio marchio e altri contenuti online dannosi –, determinarne la fonte e avviare una strategia di comunicazione incisiva per contrastarne gli effetti. (Ne parleremo più avanti.)
«Sequalcuno all’interno della vostra comunità online diffonde notizie false, allora sentite la pressione di condividerle a vostra volta, anche se non sapete se siano vere o false.”Matthew Asher Lawson, Ph.D., professore associato di scienze decisionali, NSEAD
Una guida aggiornata alla gestione degli incidenti di “ ” ( ) Vi aiuterà a reagire in modo rapido ed efficiente quando soggetti malintenzionati, consapevolmente o inconsapevolmente, distorcono la narrazione del Vostro marchio.
Quest’ultimo scenario – ovvero le menzogne diffuse da complici inconsapevoli – merita di essere sottolineato. Una ricerca condotta su circa 60.000 utenti dei social media e pubblicata quest’anno dall’American Psychological Association ha dimostrato che la maggior parte delle persone che diffondono notizie false non nutre alcun rancore specifico nei confronti di una persona o di un gruppo; desidera semplicemente integrarsi.
[Legga anche: 5 passaggi per un piano di risposta agli incidenti solido come una roccia]
«Se qualcuno all’interno della propria cerchia online condivide notizie false, si avverte la pressione di condividerle a propria volta, anche senza sapere se siano vere o false», ha osservato il ricercatore capo Matthew Asher Lawson, Ph.D., professore assistente di scienze decisionali presso l’INSEAD, una business school con sede in Francia.
2. Aggiungere i deepfake ai tutorial sul phishing
I criminali informatici utilizzano l'intelligenza artificiale per manipolare immagini e registrazioni reali o per creare contenuti interamente falsi. Quest’estate, ad esempio, circa 50 video falsi pubblicati su TikTok, Facebook e YouTube mostravano Elon Musk in “” durante interviste con vari personaggi televisivi – Gayle King, Tucker Carlson, Bill Maher – mentre promuoveva un falso schema di investimento. Hanno totalizzato decine di migliaia di visualizzazioni.
Si prevede inoltre che gli attacchi di phishing si evolvano, con i “deepfake che consentono di impersonare in modo quasi perfetto figure di fiducia, compiendo un notevole balzo in avanti rispetto al consueto metodo di replicare lo stile di scrittura o imitare il layout delle e-mail”, scrive Neil Lappage, CISO e consulente per la sicurezza presso aziende quali C5 e ITC Secure, in un recente articolo pubblicato su per l’organizzazione ISACA, specializzata in fiducia digitale. I video e i file audio deepfake possono essere utilizzati per impersonare il personale informatico o i dirigenti, prendendo di mira dipendenti ignari o persino sistemi biometrici che utilizzano software di riconoscimento vocale e facciale.
«I dipendenti dovrebbero conoscere le procedure standard per reagire a contenuti multimediali sospettati di essere stati manipolati e comprendere i meccanismi per segnalare tali attività all’interno della propria organizzazione», raccomanda un rapporto congiunto intitolato “ ” ( ), pubblicato dalla NSA, dall’FBI e dalla CISA.
L’aggiornamento dei programmi di formazione del personale dimostra inoltre l’impegno dell’azienda nell’affrontare i rischi in continua evoluzione nel campo della sicurezza informatica – un aspetto che potete e dovete comunicare ai vostri agenti assicurativi specializzati in sicurezza informatica di , i quali sono alla ricerca di segnali tangibili della vigilanza informatica di un’azienda.
Per ulteriori informazioni su come individuare i deepfake e su cosa dovrebbe comprendere la vostra formazione, consultate questi consigli forniti dal SANS qui; dal Center for an Informed Public dell’Università di Washington qui; e dal MIT qui e qui.
3. Migliorare il DEX – ovvero puntare sul lungo termine
Potenziare la vostra esperienza digitale dei dipendenti (DEX) è forse un modo meno ovvio ma efficace per contrastare la disinformazione e le notizie false. Dedicare tempo oggi al potenziamento del DEX attraverso interfacce intuitive, strumenti di lavoro e canali di comunicazione digitale senza soluzione di continuità può rivelarsi vantaggioso sotto diversi aspetti:
In generale, la soddisfazione dei dipendenti costituisce un indicatore significativo della reputazione complessiva del marchio di un’azienda. Quando una notizia falsa viene diffusa e getta un’ombra su un’azienda, i consumatori si mostreranno più scettici se l’azienda è rinomata per il modo in cui tratta i propri dipendenti.
All’interno dell’ambiente di lavoro, i dipendenti soddisfatti sono più produttivi, meno stressati e meno inclini a diventare minacce interne. Coloro che si sentono valorizzati saranno meno inclini a diffondere informazioni false e più coinvolti nei programmi di formazione sopra citati, oltre che più propensi a segnalare la disinformazione e le informazioni errate quando le individuano (o ne sospettano l’esistenza).
4. Consentite ai team di ricerca delle minacce di individuare – anche al di fuori dell’organizzazione – le “incognite sconosciute”
Le attività di individuazione delle minacce (), concepite per analizzare l’interno di una rete informatica alla ricerca di punti di accesso non protetti, possono anche rivolgersi al mondo esterno per identificare modelli e anomalie Detect legate a una crisi di disinformazione o di informazioni errate in fase di sviluppo.
I “threat hunters” sono addestrati all’arte di esplorare le “unknown unknowns”, ovvero quelle vulnerabilità non identificate o quei rischi imprevisti che si prestano facilmente allo sfruttamento. Nel campo della disinformazione o della informazione errata, ciò potrebbe includere funzionalità avanzate di deepfake non ancora inventate, nuovi canali di diffusione o un improvviso aumento delle menzioni negative sui social media che collegano il Suo marchio o i Suoi dirigenti a una questione politica o sociale con cui la Sua azienda non si è mai occupata in precedenza. Come minimo, sono in grado di individuare un’ondata incombente di commenti negativi infondati quando questa si manifesta ancora solo come un primo flebile flusso.
Grazie agli strumenti di monitoraggio dei social media, gli esperti di individuazione delle minacce sono in grado di individuare schemi e tattiche ricorrenti utilizzati da autori di minacce noti e di avvisare i team addetti alla comunicazione, alle pubbliche relazioni e al marketing qualora venga rilevato un aumento dei messaggi negativi riguardanti la vostra azienda. Tale monitoraggio non può impedire un attacco, ma può fornire ai vostri portavoce un preavviso di alcuni giorni o ore per mettere a punto una campagna di “prebunking” – ovvero una strategia di contromessaggi che raggiunga il pubblico prima che una valanga di menzogne sommerga Internet.
Quando si ha a che fare con la disinformazione e le informazioni errate, la rapidità è fondamentale. I ricercatori hanno scoperto che il “prebunking” proattivo risulta più persuasivo e incoraggia i consumatori a mostrarsi più scettici nei confronti delle menzogne rispetto alla smentita a posteriori delle notizie false.
5. Si applichino le regole per una comunicazione efficace in situazioni di crisi
Una volta che le informazioni false diventano virali, i principi fondamentali della comunicazione di crisi – ovvero rapidità, trasparenza ed empatia – dovrebbero guidare la risposta di un’organizzazione.
«Se l’azienda ha una storia di gestione priva di empatia e trasparenza, diventa molto più facile per le persone credere ad affermazioni infondate sul vostro marchio.”Jeff Pollard, vicepresidente e analista principale di Forrester
È fondamentale agire tempestivamente e garantire la trasparenza. Last year, the U.S. Department of Justice convicted Uber CISO Joe Sullivan for lying and trying to cover up a 2016 hack in which thieves stole data of some 57 million customers. Altre aziende non hanno ottenuto risultati migliori dinanzi all’opinione pubblica quando i ritardi nella quotazione in borsa sono, per così dire, diventati di dominio pubblico.
«Il mondo tende ad essere piuttosto indulgente se si è sinceri», ha dichiarato Jenai Marinkovic, CISO di Tiro Security, a Focal Point in un articolo sulle strategie di comunicazione di successo pubblicato la scorsa primavera.
Tradurre il gergo tecnico in messaggi chiari e semplici, comprensibili ai clienti (e ai membri del consiglio di amministrazione), è fondamentale anche quando si risponde a un attacco informativo, poiché dimostra empatia nei confronti delle parti interessate. L’empatia conferisce un volto umano a un marchio ed è una delle sette leve della fiducia descritte nel documento di Forrester “ : Forrester’s Trust Imperative” (), una serie di linee guida volte ad aiutare le imprese a costruire legami duraturi con i clienti e gli stakeholder. È inoltre un aspetto che qualsiasi azienda può coltivare e promuovere a partire da oggi.
Non fraintendete: proprio come gli altri attacchi informatici, gli attacchi di disinformazione alimentati dall’intelligenza artificiale non sono una questione di “ ” o “if ”, ma di “” e “when”. Pertanto, instaurare un clima di empatia nelle operazioni aziendali e nelle comunicazioni è fondamentale, scrive Jeff Pollard, vicepresidente e analista principale presso Forrester, in un post pubblicato all’inizio di quest’anno sul blog “ ” all’indirizzo . «La storia è importante quando si tratta di difendersi dai danni alla reputazione causati dai deepfake», spiega.
«Se l’azienda ha una storia di gestione priva di empatia e trasparenza», osserva, «diventa molto più facile per le persone credere ad affermazioni infondate sul vostro marchio».
PER SAPERNE DI PIÙ
Vi invitiamo a leggere la prima parte di questa serie in due puntate, che offre ulteriori consigli su come contrastare la disinformazione e spiega perché le imprese non possono fare affidamento su soggetti terzi o sulle autorità giudiziarie per risolvere la questione:
