Deepfake w bankach: jak syntetyczna twarz oszukuje systemy płatnicze
Deepfake w bankach: jak syntetyczna twarz oszukuje systemy płatnicze
Sztuczna inteligencja nauczyła się kopiować ludzki głos i twarz z taką dokładnością, że trudno je odróżnić od oryginału. Przestępcy wykorzystują tę technologię w oszustwach bankowych – podszywają się pod pracowników instytucji, krewnych lub tworzą fałszywe tożsamości, aby obejście systemy weryfikacji biometrycznej. Skala zjawiska rośnie szybciej niż systemy obronne.
Jak działa deepfake w praktyce bankowej
W najprostszej formie oszustwo polega na nagraniu lub wygenerowaniu głosu pracownika banku, który dzwoni do klienta z informacą o problemach z kontem. W bardziej zaawansowanych wariantach przestępcy tworzą wideo, na którym „zarząd” firmy dyscuje o pilnej potrzebie przelewu. W 2024 roku w Hongkongu podczas wideokonferencji, w której uczestniczyli wyłącznie wygenerowani przez AI uczestnicy, wykonano przelewy o łącznej wartości 25 mln dolarów.
W Polsce problem jest obserwowany od 2025 roku. Policja ostrzega przed oszustwami z wykorzystaniem kodów BLIK oraz narzędzi AI. W pierwszym półroczu 2025 roku odnotowano prawie 52 tysiące zgłoszeń oszustw internetowych. Coraz częściej sprawcy wykorzystują deepfake do podszywania się pod członków rodziny, nakłaniając do przelewu.
Skala strat
Według danych CERT Polska, w 2024 roku zarejestrowano ponad 100 tysięcy incydentów cyberbezpieczeństwa, z których niemal 95 proc. dotyczyły oszustw. Miesięczna skala strat z oszustw socjotechnicznych w Polsce sięga około 50 mln zł, a roczna – szacowana na 650 mln zł. Średnia strata przy pojedynczym oszustwie, które ofiara sama autoryzuje, wynosi 9000 zł, a skuteczność odzyskania środków jest bardzo niska – oscyluje wokół 2 proc.
Odpowiedź prawa
Unia Europejska reaguje. Od 2 sierpnia 2026 roku wchodzą w życie przepisy dotyczące przejrzystości AI – deepfakei muszą być oznaczane, a chatboty muszą informować, że rozmówca jest maszyną. Wysokość kar za naruszenie przepisów sięga 15 mln euro lub 3 proc. światowego obrotu przedsiębiorstwa.
W polskim prawie karnym oszustwo reguluje art. 286 § 1 Kodeksu karnego. Sądy wielokrotnie podkreślały, że system ochrony tożsamości nie nadąża za rozwojem technologii. Eksperci wskazują, że kluczowe będzie uznanie, iż bank ma obowiązek udowodnić odporność swojego systemu na deepfake – klient nie musi znać mechanizmów technicznych, aby zgłosić nieautoryzowaną transakcję.
Oznaczenie treści AI
Ten tekst powstał z udziałem sztucznej inteligencji: research oraz tekst przygotował i zredagował agent AI. Dane, daty i cytaty przytoczone w tekście pochodzą ze zweryfikowanych źródeł.
