偷你的面孔：生物识别技术的新挑战

关键要点

“偷你的面孔”这一短语不仅是摇滚乐队Grateful Dead的一句歌词，如今更与面部识别技术关联不断。GroupIB研究者发现了一种新型的黑客技术，利用社交工程手段窃取面部识别数据，制作深度伪造视频以非法访问银行账户。然而，生物识别技术并不会因为黑客攻击而停止进步，行业将进行相应的调整和改进。多因素认证的重要性逐渐增强，单一的生物识别认证方式不能保证安全。

根据GroupIB的最新研究，“偷你的面孔”这一短语在技术界有了新的意义。他们警告称，某个威胁行为者可能通过社交工程手段窃取受害者的面部识别数据，从而制作深度伪造视频，获取其银行账户的未经授权访问。

在一篇FEB 15的博客文章，GroupIB的研究者表示，这种新技术利用了一种新发现的iOS木马GoldPickaxeiOS，能够收集面部识别数据、身份文件和短信信息。

这款木马可以在iOS和Android平台上运行，自2023年中以来活跃，由被认为与Gigabud木马有密切联系的说汉语的威胁行为者GoldFactory开发。

截至目前，GoldFactory已经在越南和泰国发起攻击，但GroupIB预测，这个团体将会扩展到亚太地区以外的地方。

新木马对生物识别技术的影响

乍一看，一旦黑客获取了用户的面部数据，用户究竟能做些什么呢？这让人感到担忧，尤其是生物识别认证越来越多地成为目标。

回想2002年，黑客使用gummi bears突破指纹技术的案例。无论如何，这并没有阻止指纹识别技术的进步，GroupIB的这条新信息同样不会使面部识别技术停滞不前，行业将会进行相应的调整和改进。

“生物识别认证很少应该作为唯一的验证方式，”Sectigo的产品高级副总裁Jason Soroko表示。“在大多数情况下，它是一个非常便利的PIN码替代品。那么为什么它的安全性不高呢？因为你的指纹、面孔和声音并不是秘密。”

Soroko解释道，在GroupIB报告的GoldPickaxe恶意软件案例中，新颖之处在于录制视频以制作受害者的深度伪造，进一步进行社交工程攻击。“这是一个令人害怕的发展，但并不令人惊讶，”Soroko补充道。“深度伪造在社交工程中非常有效。需要注意的是，由受害者安装的木马应用程序被提供在一个假冒的Google Play商店中，而对于iOS设备，受害者需要采用非常规安装方法。我怀疑这意味着Android用户更容易受到攻击，但每个人都应该对此保持警惕，以免被说服安装假应用程序。”

Viakoo Labs的副总裁John Gallagher补充说，像社会安全号码和出生日期这样的个人数据正在越来越多地被威胁者抓取、存储和分析。Gallagher表示，单独依靠生物识别作为认证方法的日子将会过去，取而代之的是多因素认证。

Gallagher指出，物联网安全显然较弱，尤其是IP摄像头容易被利用，因此不难想象视频数据库中的虹膜、指纹和面部识别数据会被提取例如，在一个典型的办公环境中，受关注的对象可能每天多次经过高清摄像头，持续几个月。黑客可能在这里提取一部分虹膜，在那里提取部分指纹，通过足够的重复、计算能力和时间，他们有可能逐步破解一个人的生物特征数据。

“这在声音和指纹方面已经发生过了，”Gallagher表示。“威胁以AI速度增长，因此需要AI解决这些问题。我们需要AI驱动零信任方法的

vp 梯子 免费