เทคโนโลยี DeepFake ช่วยเปิดโปงการปลอมใบรับรองดิจิทัลในสเปน

การตรวจสอบวิดีโอแบบเรียลไทม์ที่ใช้โดยแพลตฟอร์มยืนยันตัวตนออนไลน์ของบริษัทออกใบรับรองดิจิทัลในสเปนทำให้เจ้าหน้าที่ตำรวจแห่งชาติสเปนสามารถจับกุมผู้ต้องสงสัยคดีฉ้อโกงการแอบอ้างตัวบุคคลได้ หลังจากซอฟต์แวร์ deepfake ที่ใช้ปลอมใบหน้าล่าช้าเพียงชั่ววินาที ทำให้ภาพจริงของผู้กระทำความผิดปรากฏต่อกล้องตรวจสอบ ความสำคัญของเหตุการณ์นี้อยู่ที่การเปิดเผยช่องโหว่ในระบบออกใบรับรองดิจิทัลซึ่งเป็นเครื่องมือสำคัญในการทำธุรกรรมและลงลายเซ็นอิเล็กทรอนิกส์ทั่วสหภาพยุโรป

Overview

ตามแถลงของตำรวจแห่งชาติสเปน ผู้ต้องสงสัยได้พยายามปลอมตัวเพื่อขอรับ digital certificate ทั้งหมด 38 ครั้ง โดยระบุว่าต้องการอ้างอิงถึงข้อมูลส่วนบุคคลของคนประมาณ 30 คน แม้ว่าจะไม่ได้เปิดเผยจำนวนที่สำเร็จโดยชัดเจน แต่มีการออกใบรับรองในหลายกรณี การกระทำดังกล่าวถือเป็นความเสี่ยงต่อระบบการยืนยันตัวตนดิจิทัลและอาจนำไปสู่การฉ้อโกงขั้นสูงได้

digital certificate ใช้โครงสร้าง **public key infrastructure (PKI) เพื่อผูกคีย์เข้ารหัสกับข้อมูลส่วนบุคคลที่ตรวจสอบแล้ว ทำให้ผู้ถือสามารถยืนยันตัวตนและลงลายเซ็นอิเล็กทรอนิกส์ที่มีผลทางกฎหมายในสเปนและประเทศสมาชิก EU อื่น ๆ การใช้ใบรับรองปลอมจึงเป็นการเปิดประตูให้กับผู้กระทำความผิดเพื่อทำธุรกรรมออนไลน์โดยไม่ต้องพบเจ้าหน้าที่แบบดั้งเดิม

Modus Operandi

ศาลามีรายละเอียดว่าผู้ต้องสงสัยได้หลบเลี่ยงระบบตรวจสอบตัวตนของบริษัทออกใบรับรองโดยใช้เอกสารปลอม, รูปถ่ายที่ถูกแก้ไข และเทคโนโลยี deepfake เพื่อเปลี่ยนหน้าตาแบบเรียลไทม์ขณะทำการวิดีโอเช็ค นอกจากนี้ยังมีการจัดแสงพิเศษเพื่อจำลองฮอโลแกรมบนเอกสารให้ดูเหมือนจริง

• ใช้ deepfake software ปรับใบหน้าในเวลาจริง
• จัดตั้งระบบไฟส่องสีที่เลียนแบบแสงแฟลชของเอกสารต้นฉบับ
• นำเอกสารปลอมพร้อมฮอโลแกรมจำลองวางหน้ากล้องเว็บคาเมร่า
• ใช้ VPN เพื่อซ่อนตำแหน่ง IP และทำให้การเชื่อมต่อเป็นแบบไม่ระบุชื่อ

เทคนิคเหล่านี้ทำให้กระบวนการตรวจสอบอัตโนมัติของระบบยอมรับใบสมัครหลายกรณีจนกระทั่งความล่าช้าในขั้นตอนประมวลผลของซอฟต์แวร์ deepfake ทำให้ภาพหน้าจอที่แท้จริงปรากฏต่อกล้องเป็นเวลาสั้น ๆ เพียงหนึ่งวินาที

Digital Certificate Basics

ใบรับรองดิจิทัลทำหน้าที่เชื่อมโยงคีย์สาธารณะกับเอกลักษณ์ของบุคคลหรือองค์กรโดยผ่านกระบวนการตรวจสอบที่เข้มข้น การออกใบรับรองดังกล่าวให้สิทธิ์ผู้ถือในการ authenticate ตัวเองบนระบบออนไลน์และสร้างลายเซ็นอิเล็กทรอนิกส์ซึ่งมีผลเทียบเท่ากับลายเซ็นมือในหลายกรณี เช่น การลงนามสัญญา, อนุมัติการทำธุรกรรมทางการเงิน, หรือยื่นเอกสารต่อหน่วยงานรัฐ

ในสหภาพยุโรป การใช้ digital certificate เป็นส่วนสำคัญของโครงการ eIDAS ซึ่งกำหนดมาตรฐานความปลอดภัยและความเชื่อถือได้ในการแลกเปลี่ยนข้อมูลอิเล็กทรอนิกส์ หากใบรับรองถูกออกให้กับผู้ไม่ประสงค์ดี จะทำให้เกิดความเสี่ยงต่อการกระทำการฉ้อโกงระดับสูงโดยใช้ลายเซ็นดิจิทัลที่มีคุณภาพเดียวกันกับของบุคคลจริง

Investigation & Evidence

หลังจากที่ซอฟต์แวร์ deepfake สร้างช่องโหว่ให้เปิดเผยใบหน้าจริงของผู้ต้องสงสัย เจ้าหน้าที่ได้ทำการระบุตัวตนผ่านข้อมูลเมตาที่พบในไฟล์วิดีโอและเชื่อมต่อกับหมายเลขโทรศัพท์หลายพันสายที่ถูกใช้โดยผู้ต้องสงสัย การตรวจสอบพบว่ามี 320 สาย โทรศัพท์ที่กระจายอยู่บนอุปกรณ์ 24 เครื่อง ทั้งหมดซึ่งส่วนใหญ่ลงทะเบียนภายใต้ตัวตนที่ขโมยมา

การค้นหาที่บ้านของผู้ต้องสงสัยเปิดเผยอุปกรณ์หลายชนิด ได้แก่

• แล็ปท็อปที่เข้ารหัสระดับสูง
• โทรศัพท์มือถือหลายเครื่องและอุปกรณ์เก็บข้อมูลพกพา
• เอกสารปลอมและไฟล์ที่เกี่ยวข้องกับการสร้าง deepfake

ข้อมูลดังกล่าวทำให้ตำรวจสเปนสามารถเชื่อมโยงกิจกรรมต่าง ๆ ของผู้ต้องสงสัยเข้ากับการขอรับใบรับรองดิจิทัลโดยไม่ได้รับอนุญาต และดำเนินคดีต่อไปตามกฎหมายว่าด้วยการปลอมแปลงเอกสารและการกระทำความผิดทางไซเบอร์

Implications

กรณีนี้เปิดเผยจุดอ่อนของระบบยืนยันตัวตนที่พึ่งพาเทคโนโลยีวีดิทัศน์แบบเรียลไทม์โดยไม่มีมาตรการตรวจสอบเพิ่มเติมเช่นการวิเคราะห์ลักษณะภาพชีวมิติหลายขั้นตอน การใช้ deepfake ในการหลบเลี่ยงระบบอาจกลายเป็นภัยคุกคามที่เพิ่มขึ้นในอนาคต ทำให้ผู้ให้บริการใบรับรองดิจิทัลต้องพิจารณาปรับปรุงกระบวนการตรวจสอบ เช่น การใช้หลายช่องทางยืนยัน (multifactor) หรือการวิเคราะห์ความผิดปกติของสัญญาณภาพ

นอกจากนี้ ความสำคัญของ digital certificate ในการทำธุรกรรมอิเล็กทรอนิกส์ทั่ว EU ทำให้เหตุการณ์นี้เป็นคำเตือนต่อหน่วยงานรัฐและบริษัทเอกชนที่พึ่งพาเทคโนโลยีเดียวในการตรวจสอบตัวตน การปรับมาตรฐานความปลอดภัยและเพิ่มความเข้มข้นของการตรวจสอบอาจจำเป็นเพื่อป้องกันการใช้ใบรับรองปลอมในกิจกรรมอาชญากรรมไซเบอร์ต่อไป

Summary

เหตุการณ์ที่ซอฟต์แวร์ deepfake ล่าช้าทำให้ตำรวจสเปนสามารถเปิดเผยและจับกุมผู้ต้องสงสัยในการขอรับ digital certificate ปลอมหลายครั้งได้ การกระทำดังกล่าวเน้นย้ำถึงความจำเป็นของมาตรการตรวจสอบตัวตนที่เข้มงวดมากขึ้นในระบบ PKI ของยุโรปเพื่อป้องกันการใช้ใบรับรองดิจิทัลในการฉ้อโกงและอาชญากรรมไซเบอร์.