Jeszcze do niedawna socjotechnika kojarzyła się głównie z podejrzanym e-mailem od „dyrektora finansowego” albo telefonem z prośbą o szybki przelew. Dziś to za mało. Atakujący potrafią dołączyć do firmowego spotkania wideo, naśladować głos prezesa i przekonująco poprosić o poufne dane – wszystko dzięki deepfake’om. Generatywna sztuczna inteligencja zrewolucjonizowała arsenał cyberprzestępców, a wiele firm nie jest jeszcze gotowych na tę zmianę.

Od gadżetu do przestępczego narzędzia

Technologia deepfake – jeszcze kilka lat temu zabawka dla twórców internetowych – stała się dostępna na masową skalę. Narzędzia do generowania syntetycznych twarzy, głosów i filmów wideo są dziś tanie, łatwe w obsłudze i nie wymagają zaawansowanej wiedzy technicznej. Wystarczy kilka minut materiału źródłowego, by stworzyć wideo, w którym dyrektor zarządzający firmy mówi rzeczy, których nigdy nie wypowiedział.

Tę przystępność natychmiast wykorzystali cyberprzestępcy. Deepfake przestał być technologiczną ciekawostką – to dziś realne narzędzie służące do oszustw, wyłudzeń i szpiegostwa korporacyjnego.

CEO fraud 2.0 – nowe oblicze socjotechniki

W tradycyjnym modelu tzw. „CEO fraud” atakujący podszywał się pod członka zarządu, najczęściej wysyłając maila z pilną prośbą o przelanie środków. W dobie pracy zdalnej i wideospotkań ten scenariusz nabrał nowego wymiaru. Coraz częściej dochodzi do sytuacji, w której ofiary rozmawiają z syntetyczną wersją szefa – generowaną w czasie rzeczywistym lub wcześniej przygotowaną przez napastników.

Taki atak trudno rozpoznać, zwłaszcza gdy odbywa się w znanym kontekście: spotkanie zarządu, wideokonferencja z inwestorem, odprawa z dyrektorem działu. Przestępcy potrafią dobrać ton, frazę, a nawet charakterystyczne gesty ofiary. Zaufanie budowane przez lata relacji zawodowych zostaje wykorzystane przeciwko pracownikom – i często kończy się kosztownym błędem.

Dlaczego klasyczne zabezpieczenia zawiodły

Tradycyjne mechanizmy ochronne – jak hasła, dwuskładnikowe logowanie, potwierdzenia tożsamości – zostały zaprojektowane z myślą o zupełnie innym krajobrazie zagrożeń. W dobie deepfake’ów stają się coraz mniej skuteczne.

Biometria głosu? Może zostać sfałszowana. Autoryzacja wideo? Już nie daje gwarancji. Nawet wideokonferencja „na żywo” może być zmanipulowana przy użyciu syntetycznej mimiki twarzy, renderowanej w czasie rzeczywistym. O ile tekstowe oszustwa phishingowe można było względnie łatwo wykryć, o tyle syntetyczna twarz znanej osoby stanowi zupełnie inny kaliber wyzwania.

Najbardziej niepokojące jest jednak to, że wiele firm wciąż nie przewiduje takich scenariuszy w swoich modelach ryzyka. Zaufanie do „obrazu” i „głosu” nadal bywa niepodważalne.

Rola działów IT: od administratora do strażnika zaufania

W nowej rzeczywistości działy IT i zespoły ds. bezpieczeństwa muszą przejść transformację – z operatorów systemów na aktywnych uczestników kultury zaufania. Oznacza to nie tylko wdrażanie nowych narzędzi wykrywających syntetyczne treści, ale też zmianę organizacyjnych przyzwyczajeń.

Pierwszym krokiem jest edukacja. Pracownicy muszą wiedzieć, że to, co widzą i słyszą, może być fałszywe – nawet jeśli wygląda i brzmi przekonująco. Kolejny krok to przegląd procesów decyzyjnych i potwierdzania tożsamości: ważne działania finansowe czy dostęp do danych nie powinny opierać się na jednej formie potwierdzenia, zwłaszcza jeśli jest nią rozmowa wideo.

Wreszcie – technologie. Coraz więcej firm testuje rozwiązania klasy „synthetic media detection”, które analizują cyfrowe artefakty nagrań i wskazują potencjalnie fałszywe treści. To jednak wciąż wczesna faza tego rynku i nie można na nich polegać w 100%.

Cyfrowe zaufanie musi zostać wymyślone na nowo

Deepfake podważa podstawowe założenia zaufania w komunikacji biznesowej. Dotychczas ufaliśmy temu, co widzieliśmy i słyszeliśmy. W nowym świecie to już za mało. Konieczne jest przejście do modelu „trust by verification” – zaufania opartego nie na powierzchowności, lecz na analizie kontekstu, zachowań i wieloetapowej weryfikacji.

To nie tylko kwestia technologii, ale i kultury organizacyjnej. Firmy, które nie przedefiniują swojego podejścia do weryfikacji tożsamości, będą łatwym celem. Nie chodzi już o ochronę infrastruktury IT – chodzi o ochronę decyzji biznesowych, relacji i wiarygodności.