Дипфейки и мошенничество с ИИ: с чем сталкивается ваш бизнес?

Коротко: мошенники теперь могут с помощью ИИ подделать голос, лицо и сообщения вашего руководителя, чтобы вынудить сотрудников перевести деньги или раскрыть данные. Защита держится не на одном волшебном инструменте, а на трех взаимодополняющих уровнях: осведомленности сотрудников, строгих процедурах проверки перед любым важным переводом или изменением и технических мерах, которые выявляют подделку и ограничивают ее последствия. Именно компании, выстроившие эти уровни до инцидента, переживают его с минимальными потерями.

Что такое дипфейк и почему теперь он угрожает бизнесу?

Дипфейк — это поддельный контент (аудио, изображение или видео), созданный ИИ так, чтобы выглядеть совершенно настоящим. То, что раньше требовало специалистов и дорогого оборудования, теперь доступно любому благодаря дешевым инструментам, а короткого фрагмента голоса вашего руководителя из соцсетей достаточно, чтобы клонировать его голос с тревожной точностью. В результате мошенничество — это уже не плохо написанное письмо, которое легко распознать, а видеозвонок, на котором «присутствует» ваш финансовый директор с его лицом и голосом и просит срочно сделать перевод.

Самые распространенные формы мошенничества с ИИ

  • Мошенничество от имени CEO: поддельный звонок или голосовое сообщение от руководителя с просьбой о «конфиденциальном и срочном» переводе в обход обычных процедур.
  • Поддельные видеозвонки: виртуальная встреча, на которой будто бы присутствуют несколько руководителей, хотя на самом деле все они — подделки, созданные ИИ, чтобы убедить сотрудника выполнить финансовое распоряжение.
  • Клонирование голоса: телефонный звонок голосом владельца или поставщика с целью изменить реквизиты банковского счета или запросить платеж.
  • Подделка цифровой личности: обход систем проверки по лицу или открытие счетов на полностью вымышленные личности.
  • Вымогательство и ущерб репутации: сфабрикованные видео или изображения руководителя или сотрудника для шантажа или нанесения вреда бренду.

В широко освещавшемся инциденте 2024 года сотрудник филиала глобальной компании был обманут после видеозвонка, на котором присутствовали, как он считал, его финансовый директор и коллеги (все они были подделками, созданными ИИ), и перевел около 25 миллионов долларов США. Урок не в том, чтобы бояться технологий, а в том, чтобы перестроить наши процедуры так, чтобы одной лишь «внешности» или «голоса» человека никогда не было достаточно для одобрения важного решения.

Новое золотое правило: не доверяйте только тому, что видите или слышите; доверяйте шагу проверки, который невозможно подделать.

Как защитить компанию: практический трехуровневый план

Эффективная защита — это набор взаимодополняющих уровней: если один из них будет преодолен, следующий остановит атаку.

  1. Уровень процедур (самый важный и самый дешевый): введите правило «проверять через второй канал» для любого денежного перевода или изменения банковских реквизитов: перезванивайте по заранее известному номеру и никогда не отвечайте в рамках того же звонка. Установите лимиты полномочий, двойное согласование для крупных сумм и заранее оговоренный устный пароль для исключительных запросов.
  2. Уровень осведомленности: научите команду тому, что срочность, секретность и эмоциональное давление — классические признаки мошенничества. Любой запрос в духе «прямо сейчас, конфиденциально и никому не говори» нужно воспринимать как тревожный сигнал, каким бы надежным ни казался источник.
  3. Технический уровень: включите многофакторную аутентификацию во всех финансовых системах и в электронной почте, используйте системы выявления мошенничества и мониторинга необычных переводов и сократите количество качественных аудио- и видеозаписей ваших руководителей, которые компания публикует без необходимости.

Как распознать дипфейк своими глазами

Несмотря на прогресс, некоторые признаки по-прежнему выдают подделку: движения губ, не полностью совпадающие со звуком, неестественное или редкое моргание, нелогичное освещение и тени на лице, размытые края вокруг волос и ушей, а также монотонный голос без естественных эмоций. Но не полагайтесь только на глаза: считайте эти признаки поводом для проверки через второй канал, потому что такие системы совершенствуются быстрее, чем наша способность распознавать их визуально.

Что делать, если мошенничество произошло

Скорость ограничивает потери: немедленно сообщите в банк, чтобы попытаться остановить или вернуть перевод, задокументируйте все (сообщения, номера, записи звонков) и подайте заявление в компетентные органы. В Саудовской Аравии вы можете обратиться в свой банк и в органы безопасности, занимающиеся киберпреступностью, а также изучить рекомендации Национального управления кибербезопасности и Центрального банка Саудовской Аравии по реагированию на финансовое мошенничество и сообщению о нем.

Саудовский контекст: нормативная база, которая вас поддерживает

Саудовская Аравия продвигается в области кибербезопасности благодаря Национальному управлению кибербезопасности (NCA), которое устанавливает обязательные меры контроля для организаций, и Саудовскому управлению по данным и искусственному интеллекту (SDAIA), которое регулирует ответственное использование ИИ и защиту данных в соответствии с Законом о защите персональных данных (PDPL). Соблюдение этих требований — не просто регуляторная нагрузка, а готовая основа, которая укрепляет устойчивость вашей компании к атакам такого рода.

Роль технологического партнера

Большинство защитных мер носят процедурный характер и доступны любой организации, но когда нужно интегрировать многофакторную аутентификацию в ваши системы, выстроить автоматизированный процесс проверки перед переводами или подключить ваши системы к инструментам выявления мошенничества и мониторинга аномалий, в дело вступает технологический партнер, который разработает решения под ваш бизнес и поможет создать устойчивую внутреннюю компетенцию. Цель — не добавить слоев сложности, а сделать безопасный путь самым простым для ваших сотрудников.

Заключение

Дипфейки не изобрели мошенничество, но сделали его убедительнее и дешевле. Ваше оружие — не страх и не один инструмент, а укоренившаяся культура проверки и процедур, при которой внешности или голоса человека никогда не бывает достаточно. Выстройте эти уровни уже сегодня и обучите им команду, ведь подготовленная компания превращает потенциальную атаку в неудачную попытку, а не в тяжелый убыток.

Источники

  • Национальное управление кибербезопасности: nca.gov.sa
  • Саудовское управление по данным и искусственному интеллекту (SDAIA): sdaia.gov.sa
  • Центральный банк Саудовской Аравии (SAMA) — информирование о финансовом мошенничестве: sama.gov.sa
  • Материал об инциденте с мошенничеством с дипфейком в 2024 году — CNN: cnn.com