Inte AI – ett vanligt telefonsamtal räcker för att lura riskkapitalbolag

När det enklaste knepet fortfarande fungerar

Det finns något nästan ironiskt i situationen. Hela säkerhetsbranschen pratar om AI-genererade djupförfalskningar, automatiserade angrepp och maskininlärningsdrivna intrångsförsök. Och så visar det sig att dussintals riskkapitalbolag under de senaste månaderna har blivit lurade av något så analogt som ett telefonsamtal.

Det är precis vad Googles säkerhetsforskare rapporterar, enligt Finextra. En grupp angripare har systematiskt riktat in sig på riskkapitalbolag med så kallade röstbaserade nätfiskeattacker – ett begrepp som på svenska kanske bäst beskrivs som telefonbedrägeri med social manipulation. Metoden är enkel: ring upp en anställd, låtsas vara någon betrodd, och lirka fram känslig information eller förmå personen att genomföra en transaktion.

Varför just riskkapitalbolag?

Valet av mål är knappast slumpmässigt. Riskkapitalbolag hanterar enorma summor, arbetar ofta i högt tempo och präglas av snabba beslutsprocesser. En partner som får ett brådskande samtal från någon som utger sig för att vara en kollega, en advokatbyrå eller en portföljbolagschef har varken tid eller anledning att ifrågasätta varje kontakt.

Det är just den dynamiken angriparna utnyttjar. Med förfalskade telefonnummer – tekniskt sett en trivial åtgärd som kräver minimalt med resurser – ser samtalet legitimt ut redan i displayen. Resten är ren social ingenjörskonst: rätt ton, rätt terminologi, rätt känsla av brådska.

Som systemutvecklare ser jag detta mönster hela tiden. Vi bygger avancerade autentiseringssystem, krypterade kommunikationskanaler och flerfaktorsverifiering – och sedan ringer någon upp receptionisten och frågar efter direktnumret till ekonomichefen. Tekniken är sällan den svagaste länken.

Den mänskliga faktorn går inte att patcha

Det finns en gammal sanning inom informationssäkerhet som aldrig slutar att vara relevant: du kan inte installera ett program som tar bort mänsklig godtrogenhet. Det handlar inte om dumhet eller slarv – det handlar om hur hjärnan fungerar. Vi är sociala varelser som är programmerade att svara på auktoritet, brådska och igenkänning.

Angriparna som Google identifierat exploaterar precis dessa mekanismer. Det är ingen avancerad teknik. Det är tillämpad psykologi.

Googles forskare uppmanar nu finanssektorn att stärka sina rutiner för identitetsverifiering vid telefonkontakt och att regelbundet öva personal i att känna igen och hantera den här typen av försök. Det låter enkelt, men i praktiken är det kulturellt tungt att implementera. Att be en känd kollega – eller någon som låter som en känd kollega – att bevisa vem de är upplevs ofta som obehagligt och oprofessionellt.

Teknikens blinda fläck

Det här är inte ett argument mot att investera i tekniska säkerhetslösningar. Tvärtom – sådana är nödvändiga. Men det är ett argument för att balansen i säkerhetsarbetet behöver justeras.

De organisationer som enbart mäter sin säkerhetsmognad i tekniska termer – brandväggar, intrångsdetektering, krypteringsstandarder – missar en hel angreppsyta. Social manipulation kräver en helt annan typ av försvar: träning, rutiner, kultur och psykologisk medvetenhet.

Jag tror att vi kommer att se mer av det här framöver, inte mindre. Ju bättre de tekniska försvaren blir, desto mer rationellt blir det för angripare att helt enkelt kringgå dem. Ett telefonsamtal är billigare än ett nolldagsangrepp, och har uppenbarligen likvärdig träffprocent mot rätt mål.

Det är en obehaglig slutsats – men också en möjlighet. För till skillnad från okända tekniska sårbarheter är det här ett känt problem med kända lösningar. Vi vet vad som fungerar: regelbunden utbildning, tydliga verifieringsrutiner och en säkerhetskultur där det är okej att ifrågasätta och be om återbekräftelse.

Frågan är om organisationerna väljer att prioritera det – innan nästa samtal kommer in.