2024年5月消息，辽宁网安部门接到群众报案，称自己的银行账户里少了三千块钱，还多了几笔向陌生账户转账的记录。接到线索后，辽宁网警迅速开展工作。在侦查过程中，网安部门又多次接到类似警情，都是以零零散散的方式向陌生账户转账，金额不等，大多在5万元以下。这些案件的共同特点是转账金额较小，手法隐蔽，引起了警方的高度警觉。

经过几个月的侦查，辽宁网警揭露了一个以AI技术为支撑的有组织犯罪团伙。经过几个月的持续侦查，一个以AI技术为支撑的犯罪团伙浮出水面。该犯罪团伙以任某某为头目，4名“信息员”“联络员”为骨干成员，另有27名“辅助人员”进行支撑。他们责任分工明确，由“信息员”赵某某与刘某某负责收购载有公民面部照片、手机号、银行卡号的公民个人信息三要素；“联络员”刘某负责联系境外不法分子“秋某”售卖这些要素；“秋某”则利用AI软件将人脸图片做成人脸识别验证视频，然后盗取储户银行卡余额。

犯罪团伙的盗窃流程

顶象防御云业务安全情报中心发布情报专刊《“AI换脸”威胁研究与安全策略》显示，犯罪团伙使用的AI换脸技术，通过深度学习算法，将目标人物的面部特征合成到视 频中，以此绕过金融机构的人脸识别验证系统。这一技术的应用，使得犯罪分子能够在不被储户察觉的情况下，远程操控其银行账户。

对于金融机构来说，基于“AI换脸”的新型电信网络诈骗更令人担忧。诈骗分子伪造信息、声音、视频、图片，然后将真实和虚假的身份信息结合起来，创建全新的虚假身份，用于开设银行账户或进行欺诈性的购买。而且，诈骗分子可以使用“AI换脸”技术来学习不同的银行业务和流程，然后迅速对不同银行同时展开欺诈。

以顶象防御云业务安全情报中心拦截的某个基于“AI换脸”的新型电信网络诈骗案例为例，诈骗分子的诈骗过程主要有四个阶段，“AI换脸”技术只是诈骗过程中的一个关键因素环节，其他环节中，受害人如果无法甄别和判断，很容易在诈骗分子的指示下一步步步入陷阱。

1、犯罪团伙首先通过黑市或非法途径获取大量公民个人信息，包括面部照片、手机号和银行卡号等关键信息。这些信息可能来源于各种非法数据库泄露或者有组织的网络攻击。 

2、利用AI技术，犯罪分子将获取的面部照片用作基础素材，通过人脸合成算法生成高质量的虚假人脸。这些人脸可能完全不存在于现实中，但在视觉上和原始照片极为相似，足以通过大部分人脸识别系统的验证。 

3、接下来，犯罪团伙使用AI软件将生成的虚假人脸嵌入视频中，制作出看似真实的人脸识别验证视频。视频通常包括虚假人脸、相应的手机号和银行卡号信息。这些视频可以模拟真实的面对面验证过程，欺骗大部分人脸识别系统。 一旦虚假验证视频制作完成，犯罪团伙将这些视频与盗取的银行卡信息结合起来。

4、犯罪团伙使用手机或电脑通过银行应用或网银将受害者账户内的资金转账至指定的陌生账户，通常是在深夜或用户不经常使用银行账户时进行，以避免被受害者察觉。

多重手段进行防御

防范“AI换脸”新型电信网络诈骗，需在线上发现疑点时线下核实，增加沟通时间，采取试探性举措，如要求对方做指定动作，以揭露可能的破绽，同时建议企业可以采取多重技术和手段。此外引导AI技术的正向应用，严厉打击犯罪行为，是根本解决之道。

1、针对“AI换脸”欺诈视频的识别。在视频聊天的时候，可以要求对方摁鼻子、摁脸观察其面部变化，如果是真人的鼻子，按下去是会变形的。也可以要求对方吃食物、喝水，观察脸部变化。或者，要求做一些奇怪的动作或表情，比如，要求对方挥手、做某个难做的手势等，以辨别真假。在挥手的过程中，会造成面部的数据的干扰，会产生一定的抖动或者是一些闪烁，或者是一些异常的情况。

2、对设备信息、地理位置以及行为操作进行比对识别。顶象设备指纹通过对设备指纹的记录和比对，可以辨别合法用户和潜在的欺诈行为。其对每个设备进行唯一标识和识别的技术，识别出虚拟机、代理服务器、模拟器等被恶意操控的设备，分析设备是否存在多账号登录、是否频繁更换IP地址、频繁更换设备属性等出现异常或不符合用户习惯的行为，帮助追踪和识别欺诈者的活动。

3、账号异常识别。账号异地登录、更换设备、更换手机号、休眠账户突然活跃等等，需要加强频繁验证；此外，会话期间的持续身份验证至关重要，保持持久性检查以确保用户的身份在使用期间保持一致。顶象无感验证可以快速准确地区分操作者是人还是机器，精准识别欺诈行为，实时监控并拦截异常行为。

4、防范“AI换脸”的虚假视频和虚假图片。顶象全链路全景式人脸安全威胁感知方案通过设备环境、人脸信息、图像鉴伪、用户行为、交互状态等多维度信息进行智能核验，快速识别注入攻击、活体伪造、图像伪造、摄像头劫持、调试风险、内存篡改、Root/越狱、恶意Rom、模拟器等运行和系统类等30多类恶意攻击行为，及时发现伪造视频、虚假人脸图片、异常交互行为后，可自动阻断操作。同时能够灵活配置视频核验强度与友好度，实现对正常用户无感验证，对异常用户加强验证的动态机制。

5、挖掘潜在欺诈威胁。顶象Dinsight实时风控引擎帮助企业进行风险评估、反欺诈分析和实时监控，提高风控的效率和准确性。Dinsight的日常风控策略的平均处理速度在100毫秒以内，支持多方数据的配置化接入与沉淀，能够基于成熟指标、策略、模型的经验储备，以及深度学习技术，实现风控自我性能监控与自迭代的机制。与Dinsight搭配的Xintell智能模型平台，能够对已知风险进行安全策略自动优化，基于风控日志和数据挖掘潜在风险，一键配置不同场景支持风控策略。其基于关联网络和深度学习技术，将复杂的数据处理、挖掘、机器学习过程标准化，提供从数据处理、特征衍生、模型构建到最终模型上线的一站式建模服务。