Діпфейк

Що це означає

Діпфейк - підроблене зображення, відео чи звук, створені штучним інтелектом так, щоб виглядати й звучати як реальна людина. Для цього вистачає кількох хвилин запису голосу чи відео, які часто є у відкритому доступі з інтерв’ю, презентацій чи соцмереж. Якість швидко зростає, і відрізнити підробку на око дедалі важче.

Для фірм найнебезпечніше використання діпфейків у шахрайстві типу CEO fraud, тобто в BEC-шахрайстві. Зловмисник телефонує бухгалтерці голосом директора чи підключається до відеодзвінка з підробленим обличчям фінансового директора й вимагає термінового й конфіденційного платежу, наприклад для нібито угоди з купівлі бізнесу.

Діпфейк - новий інструмент старого методу: соціальної інженерії. Він спирається не на технічну вразливість системи, а на довіру, авторитет і тиск часу. Тож від нього допомагає не антивірус, а правила й звички людей.

Як це працює на практиці

Найефективніший захист - правило, що жоден платіж і жодна зміна банківського рахунку постачальника не виконуються лише на підставі дзвінка, відео чи листа, навіть якщо вони виглядають цілком достовірно. Перевіряють зворотним дзвінком на відомий номер, особисто чи іншим заздалегідь погодженим каналом. Правило діє й для директора, і для керівництва.

Допомагає й розподіл обов’язків: платіж понад певну суму мають затвердити дві людини, і ніхто не може сам змінити основні дані постачальника й водночас надіслати платіж. Тоді зловмисникові треба обдурити двох одразу, що значно важче.

У межах навчання радимо показувати працівникам реальні приклади діпфейків і відпрацьовувати реакцію. Головне - щоб ніхто не боявся перепитати вказівку керівника, а керівництво вітало таку перевірку, а не карало за затримку.

На що звернути увагу

Найбільша помилка - розраховувати, що ви розпізнаєте діпфейк. Шахраї телефонують у стресових ситуаціях, у п’ятницю по обіді чи перед святами й тиснуть на швидкість і конфіденційність. Сигнал тривоги - не якість голосу, а незвичне прохання й терміновість.

Увага й до страхування. Багато кіберполісів покривають шахрайські платежі, лише якщо фірма дотримувалася власних процедур контролю, наприклад перевірки платежу зворотним дзвінком. Якщо вона їх пропустила, страховик може відмовити, і збиток лишиться на фірмі.