HSBC’nin sesli kimlik doğrulama sisteminin bir müşterinin ikiz kardeşi tarafından yanıltılarak aşıldığı bildirildi

BBC Click muhabiri Dan Simmons’ın ikiz kardeşi Joe Simmons’ın, HSBC’nin "sesiniz parolanızdır" sloganıyla sunduğu sesli kimlik doğrulama sistemini ses taklidi yoluyla aşmayı başardığı bildirildi. 2017 yılında kamuoyuna yansıyan olayda, Joe Simmons’ın sekizinci denemesinde sisteme giriş yaparak kardeşinin hesap bakiyesine ve son işlemlerine eriştiği, ayrıca kendisine hesaplar arası para transferi yapma seçeneği sunulduğu aktarıldı.

Sistemin, kullanıcının sesindeki 100 farklı fiziksel ve davranışsal özelliği analiz ederek benzersiz bir doğrulama sunduğu iddia edilmesine rağmen, art arda yapılan hatalı denemelerin sistemi başlangıçta kilitlemediği belirtildi. Joe Simmons, bankanın kendisinin yedi kez başarısız deneme yapmasına izin vermesini "endişe verici" olarak nitelendirdi. Bir BBC araştırmacısının ise 12 dakika içinde 20 kez kasıtlı olarak hatalı giriş yapmasına rağmen sistemin erişim denemelerini engellemediği kaydedildi.

HSBC yetkilileri, sesli kimlik doğrulama teknolojisinin telefon dolandırıcılığını önemli ölçüde azalttığını ve geleneksel yöntemlerden daha güvenli olduğunu savundu. Banka, ikizlerin benzer ses profillerine sahip olabileceğini, ancak gerçek bir dolandırıcılık senaryosunda saldırganın kurbanın doğum tarihi gibi ek kişisel bilgilere sahip olmasının düşük bir ihtimal olduğunu belirtti. Olayın ardından banka, sesli doğrulama için izin verilen deneme sayısını üç ile sınırlandıracak şekilde güvenlik protokollerini güncellediğini duyurdu.

Firstbase Technologies'den Mike McLaughin ve Prof. Alan Woodward gibi uzmanlar, biyometrik sistemlerin tek başına bir güvenlik katmanı olarak kullanılmasının risklerine dikkat çekerek, bu tür yöntemlerin PIN gibi ek güvenlik basamaklarıyla desteklenmesi gerektiğini vurguladı. Ayrıca, Lyrebird gibi girişimlerin geliştirdiği ses sentezleme teknolojilerinin gelecekte bu tür sistemler için sistematik bir tehdit oluşturabileceği uyarısı yapıldı.