Telefon od prezesa. Znajomy głos, ten sam ton, ta sama maniera. Prośba jest pilna i poufna: trzeba natychmiast wykonać przelew w związku z niejawną transakcją, „o której nie można jeszcze mówić”. Wszystko brzmi wiarygodnie — bo głos jest doskonale sklonowany. To CEO fraud w wersji wzmocnionej przez deepfake, jedno z najgroźniejszych oszustw wymierzonych w działy finansowe.
W nagłośnionych przypadkach na świecie straty z pojedynczego ataku z użyciem deepfake sięgały dziesiątek milionów. W tym artykule tłumaczymy mechanizm i — co najważniejsze — pokazujemy, jak się zabezpieczyć.
Czym jest CEO fraud?
CEO fraud to odmiana ataku BEC (Business Email Compromise), w której przestępca podszywa się pod członka zarządu, by wymusić pilny przelew lub zmianę danych do płatności. Klasycznie odbywało się to mailem; dziś atakujący sięgają po deepfake — sklonowany głos lub obraz — by dramatycznie podnieść wiarygodność.
Jak powstaje deepfake głosu prezesa?
Najbardziej niepokojące jest to, jak mało potrzeba. Do sklonowania głosu wystarczą publicznie dostępne nagrania: wywiady, webinary, podcasty, wystąpienia konferencyjne. Współczesne narzędzia odtwarzają barwę i sposób mówienia z krótkiej próbki, a potem generują dowolne wypowiedzi — także w czasie zbliżonym do rzeczywistego, w trakcie rozmowy.
Dlaczego ten atak jest tak skuteczny?
CEO fraud z deepfake uderza w trzy dźwignie psychologiczne naraz:
- Autorytet — to „polecenie prezesa”, trudno je zakwestionować.
- Presja czasu — transakcja jest „pilna i poufna”.
- Wiarygodny sygnał — znajomy głos lub twarz wyłącza naturalną podejrzliwość.
Pracownik działu finansów, słysząc głos przełożonego i czując presję, pomija standardową weryfikację. I właśnie to jest celem.
Jak zabezpieczyć dział finansów? Kontrole procesowe
Technologia wykrywania deepfake powstaje, ale to procesy, a nie narzędzia, są najskuteczniejszą obroną. Nawet idealny deepfake nie obejdzie dobrze zaprojektowanej kontroli:
- Autoryzacja dwuosobowa przelewów powyżej ustalonego progu (zasada drugiej pary oczu).
- Weryfikacja drugim kanałem — każdą pilną i poufną dyspozycję potwierdzaj, oddzwaniając na znany numer (nie ten z wiadomości).
- Hasło-wyzwanie — ustalone wcześniej słowo do potwierdzania nietypowych poleceń.
- Polityka „weryfikacja jest mile widziana” — jasny komunikat zarządu, że nikt nie zostanie ukarany za sprawdzenie dyspozycji.
- Limity i opóźnienia dla nietypowych, jednorazowych odbiorców.
Jak ograniczyć powierzchnię ataku?
- Świadomie zarządzaj ekspozycją medialną głosu i wizerunku kadry zarządzającej.
- Włącz scenariusz CEO fraud do szkoleń i ćwiczeń (symulacje socjotechniczne).
- Testuj odporność procesów w ramach testów penetracyjnych z komponentem socjotechnicznym.
Powiązane pojęcia
Sprawdź nasze usługi
- Testy penetracyjne — symulacje socjotechniczne, w tym scenariusze CEO fraud
- SOC 24/7 — monitoring i reagowanie na incydenty
- vCISO — projektowanie polityk i kontroli procesowych
Przeciw deepfake głosu prezesa nie wygrywa się lepszym „uchem”, lecz lepszym procesem. Dział finansów, który zawsze weryfikuje pilną dyspozycję drugim kanałem, jest odporny — niezależnie od tego, jak dobry jest fałszywy głos.
