Freitag, 22. November 2024

Fachkräftemangel jetzt auch bei Kriminellen...

 In Köln-Mühlheim hat es letzte Nacht ein beeindruckendes - und lautes! - Testat für den allgegenwärtigen Fachkräftemangel in Deutschland gegeben: 

Kriminelle haben in der dortigen Postbank-Filiale versehentlich nicht den Geldautomaten, sondern nur den Kontoauszugsdrucker in die Luft gesprengt. So mußten sie ohne Bargeld wieder abziehen und ließen sich dabei zudem auch noch so unglücklich von der Überwachungskamera abfilmen, daß sie kurze Zeit später von der Polizei gefasst werden konnten. 

Wie sagt mein Kollege immer: "Einmal mit Profis arbeiten!..." 

Quelle:

Stern Nachrichten 

Freitag, 15. November 2024

Mit den Waffen der KI


Telefonbetrug hat in letzter Zeit erheblich zugenommen. Dies kann ich sowohl aus eigener Erfahrung, aber auch aus entsprechenden Fallzahlen Geschädigter berichten. 

Insbesondere haben Betrüger sich - neben der sog. "Enkeltrick-Masche" - auf sog. "Schockanrufe" verlegt, bei denen vorzugsweise ältere Mitbürger in Angst und Schrecken versetzt werden, indem ihnen durch schauspielerisch begabte Anrufer z.B. ein weinender Sohn oder Schwiegertochter vorgetäuscht wird, der/die sich gerade wegen eines tödlichen Verkehrsunfalls in Polizeigewahrsam befindet und nun dringend eine hohe Kaution stellen muß. Diese soll der ältere Mitbürger selbstverständlich vorschiessen und an den "Polizeibeamten" aushändigen oder auf anderem Wege loswerden. 


Der britische Provider O2 hat nun einen Versuch gestartet, diese Masche mit den Waffen der KI zu bekämpfen. Mittels Sprachsynthese wird der Anrufer mit einer künstlichen "KI-Oma" namens Daisy verbunden, deren einzige Aufgabe es ist, den Anrufer möglichst lange hinzuhalten. Sie stellt - technisch unbedarft, wie sie ist, Rückfragen, erzählt von ihrer Katze oder ist einfach ein bisschen begriffsstutzig. 

Das Kalkül: Solange der Scammer mit der AI verbunden ist, kann er bei echten Kunden keinen Schaden anrichten. 

Der positive Nebeneffekt ist: Wenn's mal etwas länger dauert, können die Betrüger sich fortan nicht sicher sein, ob sie mit einer "echten Oma" oder nur mit Daisy verbunden sind. 

Daisys Rufnummern wurden in diverse Telefonbücher und Anrufslisten eingetragen, um entsprechend auch angewählt zu werden. Am besten wäre es ja, die menschlichen Opfer könnten im Falle des Falles einen solchen Anruf auf Daisy umleiten... 


Quelle:

Golem IT News


Donnerstag, 19. September 2024

Please don't eat my cat!

 Manchmal fehlen einem ja die Worte. Und dann gibt es zum Glück irgend wo im Internet jemanden, der macht einen Song draus 😎 Chapeau! 




Mittwoch, 19. Juni 2024

Fake-Shop Finder


Es passiert immer wieder: Mandanten haben "im Internet" ein Produkt bestellt und bezahlt, aber auch nach mehreren Wochen keine Lieferung erhalten. Ein kurzer Blick auf die Shop-Seite offenbart dem Kenner häufig: Hier wird nichts mehr geliefert werden; es handelt sich mit großer Wahrscheinlichkeit um einen "Fake-Shop", also juristisch gesprochen: einen "gewerbsmäßigen Eingehungsbetrug im Bereich der Warenlieferung". 

Die Verbraucherzentrale Berlin hat lobenswerter Weise kürzlich ein Webtool namens "Fake-Shop Finder" veröffentlicht. 

Damit kann man prüfen, ob eine URL im Internet Anhaltspunkte für einen Fake-Shop aufweist. Ich habe es mal mit einigen Test-URLs ausprobiert und muß sagen: Gar nicht so schlecht! 


Quelle:

Artikel Verbraucherzentrale Berlin

Fake-Shop Finder 

Freitag, 7. Juni 2024

Das Ende des "Personal"-Computers

Oder: Ich weiß, was Du gestern getan hast!  


Jeden Tag nutzen wir sie: "PCs". Ob als Laptop, Desktop, Subnotebook...

letztlich sind dies alles Varianten eines "persönlichen Computers", also eines Rechners, der für die persönliche Nutzung durch eine Person vorgesehen ist - anders als die in den 70ern gängigen Mainframes mit angeschlossenen Terminals.

Eine Prämisse dieser Art von Rechner war bisher immer: Der Nutzer ist Herr seiner Maschine. Das heißt, er selbst entscheidet im Wesentlichen, welche Software auf dem Rechner läuft, welche Daten lokal gespeichert werden und welche Einstellungen im Benutzerinterface vorgesehen sind. 

Das Cloud-Zeitalter hat hier bereits für eine leichte Erosion gesorgt; nun allerdings hat Microsoft für seinen KI-Assistenten "Copilot" eine Funktion vorgestellt, die die Idee eines "persönlichen" Computers ad absurdum führt: "Microsoft Recall". 

Die Funktion wurde als erweiterte und intelligente Suchfunktion für den Desktop vorgestellt, da sie nicht nach Dateien oder deren Inhalt sucht, sondern Bildschirminhalte der Vergangenheit KI-gestützt interpretiert! Dazu macht das Betriebssystem tatsächlich alle paar Sekunden einen Screenshot des Bildschirms und legt ihn als Grafikdatei mit Zeitstempel in einem Ordner ab. Diese Screenshots werden dann von einer KI analysiert und einerseits nach abgebildetem Text, andererseits aber auch nach abgebildeten Objekten ausgewertet. Erscheint auf dem Screenshot also gerade Ihre Online-PIN für irgend ein Account, merkt sich Recall das. Erscheint dort ein Foto Ihres neuen Mountainbikes, merkt sich Recall "Fahrrad, geländegängig". Beides können Sie also theoretisch über eine Textsuche wiederfinden. 

WAS? wird jetzt der ein oder andere aufgeschreckt denken - wird da also jetzt jeder Screenshot in die Cloud übertragen, um die Bildauswertung über OpenAI in der Cloud zu bewerkstelligen? Nein, tatsächlich soll dies lokal auf der Maschine erfolgen! Daher soll MS-Recall zunächst nur auf ARM-PCs mit NPU (Neural Processing Unit) installierbar sein, also vermutlich Surface-Geräten mit ARM-Prozessoren und eben NPU Coprozessor. Redakteure von heise.de haben aber bereits mittels verschiedener Anleitungen im Web es auch geschafft, die Vorschauversion auf einem älteren ARM-PC zu installieren und laufen zu lassen. Sie lief dort allerdings verhältnismäßig zäh, was an der fehlenden NPU liegen mag. 

Interessanter waren allerdings die technischen Findings: Die konkrete Ausführung der Funktion wirkt auf den ersten Blick etwas ... frickelig. Als hätte jemand mal eben schnell noch den Code fertig gestellt. Die gewonnen Daten für die Suche werden nämlich einfach im Klartext im Benutzerordner abgelegt! Unter c:\Users\ps\AppData\Local\ wird ein neuer Ordner \CoreAIPlatform.00 erzeugt, in dem sich dann sowohl eine SQLite-Datenbank, also auch ein "ImageStore"-Unterordner befindet, in dem die Screenshots einfach als JPEGs liegen. Ein Rechner, der sehr lange in Gebrauch war und eine hohe Bildschirmauflösung hat, dürfte dort also nach einiger Zeit gigabyteweise Bildmaterial horten. 

Grundsätzlich ist bei dieser Konstruktion der Ordner für jeden Nutzer einsehbar, der einen Account auf dem Rechner hat. Das können also auch mal Arbeitgeber, SysAdmin, Ehefrau, Kinder oder Kollegen sein. 

Das ist an sich schon sehr zweifelhaft und "unpersonal" für einen "PC". 

Schwierig ist allerdings: Wenn denn mal jemand die Sicherheit des PCs kompromittiert hat und - auf welchem Wege auch immer - Zugriff erlangt hat, kann er nicht nur die Daten eines Nutzers, sondern dank der KI-Funktion auch das Verhalten (!) des Nutzers in der Vergangenheit durchsuchen. Er kann sich also anschauen, wo der Nutzer gesurft ist, welche Programme er geladen und wie benutzt hat, in welcher Zeit er inaktiv war, in welcher Zeit er vielleicht unter einem anderen Account aktiv war etc. Er kann sogar das Webcam-Bild von Leuten sehen, mit denen der Nutzer gechattet hat, Kontostände, die der Nutzer kurz aufgerufen hat etc. 

Juristisch weiß ich jetzt gar nicht, an welche Stelle ich mit meinen Bedenken anfangen soll. 

Arbeitsrechtlich ist das ganze für Unternehmenscomputer höchst fragwürdig. Ein Arbeitgeber darf und will ja vermutlich gar nicht alles sehen, was ein Arbeitnehmer im Laufe eines Arbeitstages so auf seinem Bildschirm aufruft. Ob sich das effektiv verhindern läßt, ist mir momentan unklar. 

Datenschutzrechtlich haben wir insbesondere das Problem, das - bisher flüchtig - gerade bei Videokonferenzen die personenbezogenen Daten Dritter auf dem Bildschirm auftauchen. Diese werden jetzt verarbeitet und perpetuiert, so daß grundsätzlich Einwilligungen einzuholen wären. Auch kann das optische "Mitschneiden" ohne Erlaubnis einen Eingriff in Persönlichkeitsrechte darstellen, daneben auch den Straftatbestand "Verletzung der Vertraulichkeit des Wortes" bzw. "Verletzung des höchstpersönlichen Lebensbereiches durch Bildaufnahmen", §§ 201, 201a StGB erfüllen. Je nach Konstellation (Anwaltsrechner in einer Firma, Krankenhäuser...) kann dies sogar eine "Verletzung von Privatgheimnissen", § 203 StGB darstellen. 

Die Strafbarkeit hängt natürlich immer vom Vorsatz ab, wobei allerdings bei diesen Delikten in der Regel "Eventualvorsatz" ausreicht. 

Erstaunlich ist auch, daß Microsoft die Funktion offenbar bereits ab Mitte Juni 2024 offiziell ausrollen möchte! Das ist deutlich früher, als die meisten Experten es vom Entwicklungsstand her erwartet hatten. 


Quellen:

Heise - News: Erste Erfahrungen

Golem: Ein Security-Alptraum 


Nachtrag: Microsoft hat aktuell (Juni 2024) bekannt gegeben, daß die Funktion „Recall“ vorerst - aufgrund diverser geäußerter Bedenken - doch nur innerhalb des sog. „Insider-Programms“ verteilt wird. Es wird sich also vorerst (!) noch nicht um eine regulär ausgespielte Funktion handeln. Da allerdings die Funktion früher oder später mit Sicherheit für alle Windows-PCs kommen wird, lohnt es sich bereits jetzt, datenschutzrechtliche und arbeitsrechtliche Überlegungen anzustellen, wie mit dieser Funktion umzugehen ist. 


Freitag, 10. Mai 2024

ChatGTP auf dem C64...

Wieviel Hardware-Power braucht man, um das LLM ("Large Language-Model") von ChatGTP laufen zu lassen? Naja, mit dem neuen "LLaMA 2.0" kann man es mit einigen Einschränkungen sogar lokal auf handelsüblichen PCs laufen lassen (handelsüblich ist relativ; 32 GB Ram darf er dann doch schon gerne haben). 

Jetzt hat aber sogar ein Tüftler "GPT64" entwickelt. Mittels eines auf Datasette gespeicherten, sehr simplen Treiber steuert er eine auf 1200 Baud gedrosselte WLAN-Karte an, über die Fragen an die OpenAI-API gesendet und Antworten empfangen werden können.  


Die Länge der Antworten ist allerdings begrenzt, da der Speicherausbau des C64 nun mal bei den bekannten 64 kb liegt. 

Dienstag, 27. Februar 2024

Schau mir in die Augen, Blechkumpel!

 Zu tief in die Augen schaut offenbar ein kanadisch/amerikanischer Verkaufsautomat eines schweizer Herstellers, der beim Süßigkeitenverkauf für Mars&Wrigley direkt via Gesichtserkennung biometrische Daten zu Alter, Geschlecht, aber auch Tageszeit, Wetterlage etc. sammelte. So können direkt umfassende "Kundenstorys" gesammelt und ggfs. Profilbildung betrieben werden. 

Aufgefallen war dies durch den Absturz der entsprechenden App mit entsprechender Fehlermeldung auf dem Display des windows-getriebenen Verkaufsautomaten. 

Nach der DSGVO wäre das unzulässig; diese gilt aber bekanntlich in Kanada und den USA nicht. 


Quelle:

Heise News

Der Angriff der Klonkrieger...

Kennen Sie das Phänomen "Bossmail"? Es handelt sich um eine kriminelle Mischung aus social engineering und phishing, wobei sich ein Außenstehender nach entsprechender Ausspähung des Unternehmens den Anschein eines Entscheidungsträgers ("Boss") verleiht, um dann vermeintliche Mitarbeiter / Untergebene per Mail zu einer Zahlung von Firmengeldern auf eine fremde Kontoverbindung zu verleiten. Typische Storys sind hier (sinngemäß): "Hallo, hier ist der Chef, stecke gerade im Ausland in Verhandlungen mit unserem zukünftigen Partner "XY"; es wäre allerdings sehr wichtig, daß wir zunächst mal deren Vorschuss begleichen. Da können wir nicht auf die übliche Freigabe warten; ich habe Dir die Rechnung beigefügt, erledige das bitte umgehend!" - Und einer von 10 Mitarbeitern glaubt dann dem "Chef" und überweist tatsächlich Geld. 

Ein aktueller Fall in Hongkong schlägt jedoch dem Fass den Boden aus:

Hier haben die "Angreifer" gleich eine ganze Armee von KI-generierten Klonen (also virtuellen Abbildern echter Mitarbeiter!) zu einer Videokonferenz versammelt, um eben dem Eindruck der Legitimität auch noch so etwas wie "Gruppendruck" zu erzeugen und so dem Mitarbeiter eine plausible Geschichte dafür zu liefern, daß er "jetzt" das Geld überweisen muß. Immerhin 24 Mio € sollen so ergaunert worden sein; das Opfer hatte den Betrug erst während eines späteren "vor-Ort"-Gesprächs mit seinem Chef erkannt.


Quellen:

Heise-News

Wikipedia: Social Engineering