Fałszywy prezes na wideorozmowie: deepfake w oszustwach na firmy

Przez lata procedury finansowe firm opierały się na prostej zasadzie: pismo, które wygląda podejrzanie, zweryfikuj w telefonie; głos, który znasz, uznaj za potwierdzenie. W styczniu 2024 roku ta zasada załamała się po raz pierwszy na dużą skalę. Pracownik działu finansów hongkońskiego biura firmy Arup — londyńskiej firmy inżynierskiej znanego m.in. z konstrukcji Opery w Sydney — otrzymał wiadomość rzekomo od dyrektora finansowego z Wielkiej Brytanii. Chodziło o poufną transakcję. Treść wydała mu się podejrzana, jak wyłudzenie danych. Dopóki nie dołączył do wideorozmowy.

Spotkanie, które nie miało miejsca

Na konferencji wideo pojawił się dyrektor finansowy oraz kilku znajomych współpracowników — twarze i głosy pasowały do osób, które pracownik znał. Według ustaleń policji w Hongkongu każdy uczestnik, jakiego widział na ekranie, był podróbką wygenerowaną przez sztuczną inteligencję: obrazy złożone z publicznie dostępnych nagrań prawdziwych osób, z dołożonymi syntetycznymi głosami. Jedynym prawdziwym człowiekiem w rozmowie była ofiara.

Podrzucane fałszywki nie były ożywiane na żywo — uczestnicy nigdy nie wchodzili w prawdziwą interakcję, nie odpowiadali spontanicznie na pytania. Wystarczyło to, by wątpliwość z pierwszej wiadomości nie przetrwała spotkania. W ciągu kolejnych dni pracownik wykonał piętnaście przelewów na pięć hongkońskich kont bankowych, łącznie na 200 milionów dolarów hongkońskich, czyli około 25,6 miliona dolarów. Sprawa wyszła na jaw, gdy zweryfikował transakcję z centralą firmy — i usłyszał, że żadna taka umowa nie istnieje.

Policja w Hongkongu zgłoszenie przyjęła 29 stycznia 2024 roku, a 2 lutego opisała sprawę na konferencji prasowej — bez podania nazwy firmy — kwalifikując ją jako wyłudzenie mienia podstępem i podkreślając, że nie widziała wcześniej oszustwa odbywającego się w wieloosobowej konferencji z użyciem głębokich podróbek. W maju 2024 roku Arup potwierdził, że padł ofiarą, wskazując na użycie „fałszywych głosów i obrazów” i zapewniając, że wewnętrzne systemy firmy nie zostały naruszone. Funduszy nie odzyskano, a aresztowań nie ogłoszono.

Wideo przestało być dowodem

Mechanizm tego oszustwa opiera się na łańcuchu milczących założeń. Twarz na ekranie przyjmowana jest jako dowód obecności, obecność jako dowód tożsamości, tożsamość jako dowód uprawnienia do wydawania poleceń. Każde ogniwo tego łańcucha było w sprawie Arupa założeniem, nie weryfikacją — a że obraz i głos generowała maszyna, nie dało się go z rozmowy ustalić.

Napastnicy uniknęli przy tym wszystkiego, co wymagałoby wiarygodnej syntezy na żywo. Twarze przygotowali wcześniej z materiałów, które kierownicy sami opublikowali w sieci — z nagrań z konferencji, wywiadów i webinarów. Jedynym uczestnikiem zaproszonym do zabrania głosu był prawdziwy człowiek: jego przedstawienie się miało stworzyć wrażenie normalnego spotkania, nie wymagając od podróbek niczego. Spotkanie zakończono gwałtownie, a dalsze polecenia napływały już kanałami tekstowymi. To przemyślana choreografia, nie przypadek.

Presja czasu i żądanie poufności — „transakcja ma zostać zrealizowana dziś, o sprawie nie wolno mówić” — to wzorzec inżynierii społecznej znany od dawna. Głębokie podróbki nie wymyśliły tego mechanizmu. Dodały jedynie przekonującą twarz, która znosi ostatni kanał weryfikacji, jakim pozostawał znany głos.

Jak się bronić

Obrona nie wymaga technologii wykrywającej podróbki — wymaga procedur, które zakładają, że nawet wiarygodny obraz niczego nie dowodzi:

• drugi kanał weryfikacji — polecenie przelewu potwierdzane pod numerem z wewnętrznego katalogu, uzyskanym przed otrzymaniem podejrzanej wiadomości, nigdy pod kontaktem podanym w samej wiadomości; rozmowa wideo nie zastępuje takiego telefonu, niezależnie od tego, jak jest przekonująca;
• wspólne słowo kluczowe ustalone wewnątrz firmy dla niestandardowych poleceń, regularnie zmieniane;
• druga osoba przy zatwierdzaniu pilnych lub nietypowych transakcji oraz krótki okres wyczekiwania dla przelewów o wysokiej wartości;
• trening działów finansów na scenariuszach deepfake — pracownik, który raz zobaczył, jak łatwo złożyć twarz z publicznych nagrań, przestaje ufać samemu obrazowi.

Z tej sprawy płynie wniosek, który uogólnia się poza jedną firmę: o wyniku zdecydowało nie wyrafinowanie podróbki, lecz brak kontroli za ekranem. Żaden atak informatyczny nie przebił się tu przez zabezpieczenia sieci — atak poszedł przez człowieka, który widział znajome twarze i usłyszał znane głosy.

Oznaczenie treści AI

Ten artykuł powstał z udziałem sztucznej inteligencji: research oraz tekst przygotował i zredagował agent AI. Dane, daty i cytaty przytoczone w tekście pochodzą ze zweryfikowanych źródeł.