Wideorozmowa, w której nikt nie był prawdziwy: anatomia oszustwa deepfake
Najbardziej kosztowne oszustwa z użyciem deepfake nie wyglądają jak spam. Wyglądają jak zwykły dzień pracy. Singapurska policja opisała w kwietniu 2025 roku przebieg oszustwa, w którym dyrektor finansowy międzynarodowej korporacji po wideorozmowie z osobami odtworzonymi technologią deepfake przelał z firmowego konta ponad 499 tysięcy dolarów (670 tysięcy dolarów singapurskich) — i zorientował się, że padł ofiarą dopiero wtedy, gdy sprawcy zażądali kolejnych 1,4 miliona dolarów.
Anatomia ataku
Atak zaczął się 24 marca 2025 roku od wiadomości na komunikatorze WhatsApp od osoby podszywającej się pod dyrektora finansowego firmy. Dzień później ofiara została poinformowana, że planowane spotkanie w sprawie rzekomej restrukturyzacji regionalnego biznesu przeniesiono na ten sam dzień — i wzięła udział w wideorozmowie, podczas której rozmawiała z „prezesem” firmy i innymi interesariuszami. Wszyscy oni byli odtworzeni technologią deepfake.
Zanim doszło do spotkania, ofiara odebrała także telefon od mężczyzny podającego się za partnera kancelarii prawnej, który mówił o znaczeniu projektu i potrzebie zachowania poufności — i podpisała porozumienie o zachowaniu poufności. To nie był ozdobnik: dokument zamykał sprawę w kręgu osób wskazanych przez oszustów i utrudniał zapytanie kogokolwiek spoza tego kręgu.
Na spotkaniu i w korespondencji z „prawnikiem” ofiara została skierowana do przelania ponad 499 tysięcy dolarów z firmowego konta w banku HSBC na inne lokalne konto firmowe — co uczyniła 26 marca. Konto odbiorcy było kontrolowanym przez oszustów kontem pośredniczącym; z niego ponad 494 tysiące dolarów trafiło na konta w Hongkongu.
Oszustwo wyszło na jaw 27 marca, gdy sprawcy zażądali dodatkowych 1,4 miliona dolarów. Ofiara natychmiast powiadomiła HSBC, a bank — singapurskie Centrum Zwalczania Oszustw. We współpracy z hongkońską policją 28 marca zablokowano pełną kwotę przelaną do Hongkongu; w lokalnym koncie pośredniczącym przejęto pozostałe ponad 5 tysięcy dolarów. Policja upubliczniła sprawę oświadczeniem 7 kwietnia 2025 roku. Kontekst krajowy daje miarę skali problemu: ofiary oszustw w Singapurze straciły w 2024 roku rekordową łączną kwotę 1,1 miliarda dolarów singapurskich — blisko jedna czwarta tej kwoty dotyczyła kryptowalut, wobec 6,8% ogółu strat rok wcześniej.
Dlaczego procedury nie zadziałały
Przebieg ataku pokazuje, że oszuści nie atakowali zabezpieczeń technicznych — atakowali procedury. Presja czasu, zasada poufności i autorytet podmiotów biorących udział w spotkaniu tworzyły razem warunki, w których zwykła ostrożność zawodziła. Ofiara nie miała podstaw, by podejrzewać wideorozmowę: uczestnicy wyglądali i odzywali się jak znane jej osoby, a dokument o poufności dodatkowo zamykał drogę niezależnej weryfikacji. O dopowiedzeniu zdecydowała dopiero skala kolejnego żądania — zbyt duża, by ją zrealizować bez pytania.
Szeroki obraz: firmy przegrywają mimo szkoleń
Singapurski przypadek nie jest anomalią. Ankieta firmy zajmującej się bezpieczeństwem poczty IRONSCALES, opublikowana w październiku 2025 roku na próbie 500 specjalistów IT w organizacjach zatrudniających od tysiąca do dziesięciu tysięcy pracowników, pokazuje skalę zjawiska: 85% ankietowanych organizacji doświadczyło w ciągu roku incydentów deepfake, a 55% odnotowało straty finansowe z tego tytułu — ze średnią stratą przekraczającą 280 tysięcy dolarów. Wśród firm, które straciły, 61% straciło ponad 100 tysięcy dolarów.
Co istotne, 88% ankietowanych organizacji przeszkoliło pracowników w zakresie rozpoznawania deepfake — wzrost z 68% rok wcześniej. Szkolenia nie zatrzymały więc zjawiska: między inwestycją w edukację a realnymi skutkami otwiera się luka, którą szef IRONSCALES Eyal Benishti opisuje jako zbyt dużą pewność kierowników IT wobec własnych zabezpieczeń, które przestały wystarczać.
Co z tego wynika
Singapurska policja sformułowała dwa wnioski dla firm: ustalić procedury pozwalające pracownikom weryfikować autentyczność wideorozmów i wiadomości — zwłaszcza od kadry kierowniczej i kluczowych interesariuszy — oraz weryfikować pilne instrukcje przelewu bezpośrednio, z właściwymi działami lub osobami, przez ustanowione kanały komunikacji. Do tego dochodzi lekcja z samego przebiegu ataku: pilny przelew zapowiadany jako tajemnica, którą trzeba załatwić natychmiast, powinien być sygnałem alarmowym, a nie instrukcją do wykonania. Weryfikacja tożsamości rozmówcy przestanie być słabym ogniwem dopiero wtedy, gdy nie będzie opierać się na zaufaniu do głosu i twarzy — lecz na kanałach, których nie da się odtworzyć.
Oznaczenie treści AI
Ten artykuł powstał z udziałem sztucznej inteligencji: research oraz tekst przygotował i zredagował agent AI. Dane, daty i cytaty przytoczone w tekście pochodzą ze zweryfikowanych źródeł.
