Stembiometrie voor identificatie bij de klantenservice kan de gespreksduur op het contactcenter aanzienlijk verkorten. Maar de technologie staat niet stil. Met VALL-E, de spraakgenerator uit de stal van Microsoft, kan gemakkelijk een stem worden nagebootst: voicecloning. Gaat de ene technologie de andere technologie in de weg zitten?  

 

Wanneer een klant inhoudelijke en klantgerelateerde vragen wil stellen aan een customerservice-medewerker van een bank, moeten er eerste zeven tot acht verificatievragen worden beantwoord om identiteit van de beller te kunnen vaststellen. Het stellen van die ‘veiligheidsvragen’ is niet waterdicht: criminelen kunnen een deel van de antwoorden herleiden op basis van social engineering of op basis van OSINT (onderzoek in openbare bronnen). Bovendien kan met stembiometrie het identificatieproces worden versneld. Meer zekerheden en een kortere gespreksduur, dat past goed in de doelstellingen van een financieel contactcenter. Maar de vraag is hoe lang stembiometrie nog als veilige methode kan worden ingezet, nu VALL-E uit de stal van Microsoft voicehacking en voicecloning mogelijk maakt. Motherboard-verslaggever Joseph Cox zegt de stembiometrie-beveiliging van een bank te hebben omzeild met behulp van een AI-gegenereerde stem.

Wat is stembiometrie – Biometrische persoonsgegevens zijn persoonsgegevens die het resultaat zijn van een specifieke technische verwerking van fysieke, fysiologische of gedragsgerelateerde kenmerken van een persoon. Dit maakt een eenduidige identificatie van een persoon mogelijk. De meest toegepaste vormen van biometrie zijn de vingerafdruk, de iris- of netvliesscan, stemherkenning en de gezichtsscan. Bij stembiometrie in een klantcontactomgeving worden stemmen van bellers getoetst aan een database met ‘stemafdrukken’ (voiceprints) van klanten, medewerkers en fraudeurs. Dit levert een score op voor de mate waarin de stem van de beller overeenkomt met een record in een database. In Nederland maakt Van Lanschot gebruik van stembiometrie.

Zorgen over nieuwe technologie

VALL-E van Microsoft (niet te verwarren met DALL-E, dat beeld genereert op basis van tekst), aangekondigd tijdens het hoogtepunt van de buzz rond ChatGPT en OpenAI, is getraind met 60.000 uur aan opnames van mensenstemmen. VALL-E wordt geïntegreerd met ChatGPT, de kunstmatig intelligente tekstbot die met een paar simpele hints allerlei tekst kan produceren. Experts wijzen op de risico’s die nu ontstaan. Jarno Duursma zegt in Trouw dat hij zich zorgen maakt over de kansen op identiteitsfraude: “als iemand een fragmentje van je stem heeft, kan hij je alles laten zeggen.”

Voice cloning is een bedreiging

Ook Alex Malyshev van SDK.finance, een leverancier van software voor bankoplossingen en betaalverkeer, constateert dat de belofte van spraakgestuurd bankieren (tot voor kort een veelbelovende miljardenmarkt) bedreigd wordt door ‘voice cloning’. Voor de opkomst daarvan was hij heilig overtuigd van de toepassing van voice bij bankieren en was het een van de strategische pijlers van SDK.

“Microsoft belooft elke stem te kunnen klonen van slechts 2-3 seconden van een originele opname. Het klinkt ongelooflijk, maar als het waar is, zal de wereld van spraakgestuurde communicatie op afstand nooit meer hetzelfde zijn,” aldus Malyshev. “Ik zal het niet hebben over gevallen waarin u wordt gebeld door een onbekend nummer en iemand hoort die klinkt als uw vader, dochter of vrouw.” Met een gekloonde stem kan een aanvaller stemverificatiesystemen van banken, stemgeactiveerde sloten in huizen of kantoren of andere systemen die op stemherkenning steunen, omzeilen.

Volgens een bericht in The Wall Street Journal is een niet bij naam genoemde CEO van een Brits energiebedrijf onlangs voor 220.000 euro opgelicht door een AI-gestuurde deepfake van de stem van zijn Duitse baas. De fraudeur gebruikte AI-stemtechnologie om in drie telefoongesprekken het accent van het hoofd van het moederbedrijf na te bootsen en het slachtoffer ervan te overtuigen geld over te maken naar de rekening van een Hongaarse leverancier.

Scams en fraude

Ook AG Connect schrijft dat de opkomst van spraaksynthese voor een nieuwe golf aan scams en fraude zorgt. Scammers maken nu gebruik van gesproken berichten om hun slachtoffers te misleiden; die gesproken berichten worden steeds overtuigender. De drempel om technologie op het vlak van AI-gebaseerde spraaksynthese in te zetten is bijzonder laag: spraaksynthese heeft vaak nog maar enkele seconden originele spraak nodig voor training. Het opsporen van de daders is daarentegen juist extreem moeilijk omdat de gesprekken overal ter wereld kunnen worden opgezet, zegt AG Connect.

Daarnaast schieten de oplichters bij voorkeur met hagel, aldus Harvard Business Review: ze zetten bij voorkeur in op kwantiteit in plaats van kwaliteit. Wanneer de kwaliteit beter wordt, worden oplichters effectiever. Daarom wordt biometrie steeds vaker ingezet als onderdeel van meervoudige identificatie, waarbij het oorspronkelijke doel van ‘gemak’ onder druk komt te staan.

Reactie Van Lanschot

Bij Van Lanschot wordt stembiometrie al geruime tijd toegepast en heeft de toepassing een hoge adoptiegraad: na de introductie heeft het overgrote deel van de klanten (85%) ‘ja’ gezegd als wordt gevraagd om toestemming voor het aanmaken van een stempaspoort.

Martijn Boevink, Manager Client Services bij Van Lanschot, geeft desgevraagd aan bekend te zijn met de technologie van OpenAI/VALL-E. “Zoals altijd houden we al de ontwikkelingen hierop scherp in de gaten. Op dit moment zien we de technologie van VALL-E niet als een probleem. De techniek waar wij gebruik van maken, gebruikt een verscheidenheid aan onderliggende elementen van de stem van een persoon. Deze elementen zijn vooralsnog niet te klonen.”

“Uiteraard houden we alle ontwikkelingen in gaten en blijven we continu monitoren. We zijn doorlopend in gesprek met onze partners die ons de software leveren waarmee we stembiometrie toepassen. Op dit moment hebben we het volste vertrouwen in de oplossing die we onze klanten bieden en de wijze waarop we deze bieden.”

Boevink benadrukt dat Van Lanschot gebruik maakt van stemverificatie met daarbij altijd één persoonlijke vraag ter identificatie van een persoon. “Zodoende hebben we een extra beveiligingselement ingebouwd.”
Er zijn op dit moment dan ook nog geen veranderingen aangebracht in het identificatieproces bij Van Lanschot. “Wanneer klanten hebben gekozen voor verificatie door middel van de stem, worden zij op basis van stemverificatie en één persoonlijke vraag op authenticiteit gecontroleerd.”

Reacties Verint en DNB

Het Amerikaanse hoofdkantoor van Verint, leverancier van stembiometrische oplossingen waar onder meer Van Lanschot gebruik van maakt, wilde niet op vragen van Ziptone reageren “aangezien spraakbiometrie een zeer klein onderdeel is van ons oplossingenportfolio”.

Toezichthouder DNB kan “vanwege wettelijke geheimhoudingsplicht” niet ingaan op de vraag van Ziptone of de bank stappen heeft ondernomen richting Van Lanschot. Een woordvoerder van DNB licht aan Ziptone toe dat instellingen onder meer moeten beschikken over een gedegen beheersingsraamwerk voor wat betreft de inzet van specifieke applicaties. “Dat behelst ook het signaleren, het inzichtelijk maken en het mitigeren tot een acceptabel niveau van eventuele nieuwe risico’s.”

DNB hoeft zich in beginsel “geen beeld te vormen van de individuele applicaties en samenwerkingspartners waarvan instellingen gebruik maken,” aldus DNB. DNB geeft verder aan zich actief op de hoogte te stellen van technologische ontwikkelingen zoals VALL-E en voicecloning.

Oplossingen?

Om de risico’s van stemhacking te minimaliseren, is het belangrijk om multifactorauthenticatie en andere beveiligingsmaatregelen te gebruiken in combinatie met spraakgebaseerde interfaces. Kortom: een combinatie van spraakbiometrie, wachtwoorden en andere vormen van identificatie. Daarnaast zouden organisaties robuuste spraakbiometrische systemen moeten inzetten die geavanceerde algoritmen gebruiken om pogingen tot stemkloon te detecteren.

Ook is het de vraag waar biometrische gegevens worden opgeslagen. Er wordt bijvoorbeeld nagedacht over een herbruikbare of deelbare identiteit als een versie van biometrie waarbij identiteitsinformatie wordt opgeslagen op een consumentenapparaat, in plaats van te worden bewaard door bedrijven. (Ziptone/Erik Bouwer)

Featured, Kennisbank, Technologie