Голоси, клоновані штучним інтелектом: як захиститися від deepfake-шахрайства

У вашого головного бухгалтера дзвонить телефон. Телефонує генеральний директор — бухгалтер одразу впізнає його голос: тон, ритм мовлення, навіть знайоме відчуття терміновості — усе на місці. Нібито потрібно провести критичний платіж постачальнику, і переказ треба зробити за кілька хвилин. Вказівка чітка, голос знайомий, терміновість справжня. Проблема лише одна: на іншому кінці лінії не ваш генеральний директор — і навіть не людина.

Станом на 2026 рік клони голосу та зображення, створені штучним інтелектом, стали одним із найнебезпечніших інструментів корпоративного шахрайства. На відміну від класичних фішингових листів, ці атаки безпосередньо зловживають довірою працівників до «знайомого голосу чи обличчя». Через це традиційні тренінги з безпеки, які проводилися роками, значною мірою втрачають ефективність. Як саме працює ця загроза нового покоління і як захистити від неї вашу організацію?

Що таке deepfake-шахрайство?

Deepfake — це підроблений вміст, у якому штучний інтелект переконливо імітує голос, обличчя або відеозображення реальної людини. Технологія клонування голосу сьогодні настільки розвинулася, що для створення переконливої копії голосу достатньо кількох секунд запису керівника з публічного вебінару, рекламного відео або короткого голосового повідомлення.

У бізнесі цю технологію використовують насамперед в атаках «імітації керівника» (CEO fraud). Зловмисник телефонує працівнику фінансового відділу чи бухгалтерії і голосом топменеджера вимагає терміновий переказ, конфіденційну закупівлю або передання чутливих даних. Коли терміновість поєднується з авторитетом, рефлекс працівника ставити вказівку під сумнів слабшає.

Загроза не обмежується голосом. Deepfake-атаки з відео, коли у відеозустрічі беруть участь кілька «фальшивих учасників», уже перестали бути теоретичним сценарієм. Коли працівник бачить на екрані кількох знайомих колег, він не сумнівається в справжності вказівки — хоча єдиною реальною людиною на зустрічі може бути сама жертва.

Цифри показують масштаб загрози

Щоб зрозуміти, як швидко зростає deepfake-шахрайство, достатньо кількох фактів. В одному з найгучніших відомих випадків працівник гонконгського офісу міжнародної інженерної компанії за вказівкою deepfake-учасників відеозустрічі, які виглядали як фінансовий директор та інші колеги, переказав близько 25,6 мільйона доларів. Усі «колеги» на зустрічі були створені штучним інтелектом.

Тенденція не обмежується одним випадком. Повідомляється, що кількість голосових атак (vishing) у першому кварталі 2025 року зросла на тисячі відсотків порівняно з попереднім періодом, а збитки від шахрайства з використанням штучного інтелекту лише у США у 2025 році сягнули мільярдів доларів. Галузеві прогнози вказують, що без належних заходів ці збитки в найближчі кілька років зростатимуть у геометричній прогресії.

Найкритичніший висновок такий: люди вкрай погано розпізнають deepfake-вміст. Дослідження показують, що частка правильно розпізнаних якісних підроблених голосів і відео неозброєним оком чи вухом дуже низька. Коротко кажучи, підхід «я розпізнаю» у сучасному ландшафті загроз не є стратегією безпеки. Захист має ґрунтуватися не на людській інтуїції, а на процесах і технологіях.

Як захистити організацію від deepfake-атак?

Добра новина: хоч би якими технічно досконалими були deepfake-атаки, їхні цілі не змінюються — переказ коштів, викрадення даних або отримання повноважень. Шляхи до цих цілей можна закрити правильними процесами. Ось п’ять основних кроків, які зміцнять вашу організацію:

1. Запровадьте протокол багатоканальної перевірки

Жодна критична вказівка не повинна виконуватися на основі інформації, отриманої лише одним каналом. Коли надходить голосовий або відеозапит, працівники мають обов’язково виконати другий крок перевірки: передзвонити керівнику на відомий і заздалегідь записаний номер або отримати підтвердження через корпоративний месенджер. Заздалегідь узгоджений «пароль перевірки» — також простий, але ефективний метод.

2. Зробіть подвійне погодження платежів і вказівок обов’язковим

Усі перекази та платіжні доручення понад визначену суму мають виконуватися не з ініціативи однієї людини, а з погодження щонайменше двох уповноважених осіб. Це правило унеможливлює ситуацію, коли зловмисник завершує процес, переконавши одного працівника. Критично важливо не послаблювати це правило навіть під найсильнішим тиском терміновості.

3. Підтримуйте обізнаність працівників на актуальному рівні

Класичних тренінгів із фішингу вже недостатньо. Ваші команди мають знати, що підробити можна і голос, і зображення. Усвідомлення того, що «знайомий голос не завжди заслуговує на довіру», слід закріплювати регулярними тренінгами на основі сценаріїв. Насамперед варто навчати працівників на ролях із високим ризиком: у фінансах, бухгалтерії, HR, а також асистентів топменеджменту.

4. Посильте технічні рівні захисту

Deepfake-атаки часто починаються зі зламу електронної пошти або крадіжки облікових даних. Тому протоколи автентифікації електронної пошти (SPF, DKIM, DMARC), багатофакторна автентифікація (MFA), виявлення загроз і реагування на кінцевих точках (EDR), а також рішення для керування ідентифікацією та доступом ускладнюють перший крок атаки від самого початку.

5. Перевірте план реагування на інциденти на таких сценаріях

Заздалегідь визначте, кого інформувати в разі deepfake-атаки, як зупинити переказ і як повідомити про інцидент. Додайте deepfake-сценарії до штабних навчань і перевірте рефлекси команди ще до того, як станеться реальний інцидент.

Висновок: deepfake — це не лише технологічна проблема, а й проблема довіри

Deepfake-шахрайство знаменує нову епоху, коли зловмисники атакують уже не ваш код, а безпосередньо довіру ваших працівників. Найсильніший захист від цієї загрози — поєднання протоколів перевірки, багаторівневих технічних заходів і культури обізнаності, яка постійно оновлюється.

Ми в Synchron Bilişim захищаємо вашу організацію від соціальної інженерії нового покоління та загроз на основі штучного інтелекту за допомогою багаторівневого підходу до захисту. Від безпеки електронної пошти до автентифікації, від програм обізнаності працівників до процесів реагування на інциденти — ми поруч на кожному потрібному вам кроці. Зв’яжіться з нами, щоб разом оцінити готовність вашої організації до deepfake-загроз.