Deepfake i vishing: jak rozpoznać fałszywy głos
·Telefon dzwoni w środku spotkania. Numer nieznany, ale głos znajomy. „Cześć, jestem w aucie, nie mogę długo rozmawiać. Zaliczka musi wyjść dzisiaj, szczegóły masz na mailu”. Brzmi jak prezes. Ton się zgadza. Tempo się zgadza. Nawet krótkie, urwane zdania brzmią jak on.
Tyle że prezes nic o tej rozmowie nie wie.
Tak wygląda oszustwo z użyciem deepfake’a połączone z vishingiem. Vishing to phishing prowadzony przez telefon. Sklonowany głos (voice cloning) dokłada do niego coś, czemu ufamy odruchowo: znajomą barwę.
Technologia jest tu tylko narzędziem. Reszta to zaufanie, stres i presja czasu. Atakującemu nie zależy na tym, żebyś się zastanowił – zależy mu na tym, żebyś zareagował.
Nie chodzi o to, żeby popaść w paranoję. Chodzi o to, żeby ważne decyzje przechodziły przez weryfikację, zwłaszcza gdy w grę wchodzą pieniądze, dostępy, dane osobowe albo poufne informacje firmowe.
Szerszy kontekst opisaliśmy w artykule AI jako narzędzie atakującego: phishing, deepfake i nowe zagrożenia.
Deepfake i vishing działają na tej samej zasadzie co phishing z AI: atakujący buduje wiarygodną historię i wypycha ofiarę w szybką decyzję. Materiał na tę historię pochodzi zwykle z białego wywiadu (OSINT).
Czym jest deepfake?
Deepfake to dźwięk, obraz albo wideo wygenerowane lub zmodyfikowane sztucznie tak, żeby imitowały prawdziwą osobę. Atakujący potrafią odtworzyć barwę głosu konkretnego człowieka albo złożyć wideo, na którym twarz i mimika wyglądają przekonująco.
Czasem wystarczy krótka próbka głosu: nagranie z konferencji, podcast, wywiad na YouTubie, webinar, materiał szkoleniowy albo kilkusekundowa rolka w social mediach.
Dlatego cyfrowy ślad przestał być tematem wyłącznie wizerunkowym. Publiczne wideo, profile, zdjęcia z konferencji i posty zasilają zarówno biały wywiad, jak i przygotowanie deepfake’a.
Ryzyko nie kończy się więc na celebrytach. Na celowniku są menedżerowie, właściciele firm, nauczyciele, lekarze, agenci nieruchomości, handlowcy, influencerzy – każdy, kto ma publicznie dostępne nagrania wideo albo audio.
Czym jest vishing?
Vishing to phishing głosowy. Przez rozmowę telefoniczną albo wiadomość głosową atakujący nakłania ofiarę do zrobienia czegoś szkodliwego albo ryzykownego.
Najczęstsze cele:
- wykonanie przelewu,
- podanie kodu z SMS-a,
- potwierdzenie płatności,
- zmiana numeru rachunku,
- ujawnienie hasła,
- instalacja aplikacji,
- podanie danych osobowych,
- otwarcie linku przysłanego SMS-em.
Vishing jest starszy niż generatywna AI. Oszuści od lat dzwonią i podają się za bank, policję albo pomoc techniczną – w Polsce najlepiej znane są warianty „na wnuczka”, „na policjanta” i „na pracownika banku”. AI dokłada do nich jedną rzecz: głos, który brzmi jak ktoś znajomy.
Jak wygląda atak z użyciem deepfake’a
Oszustwo „na prezesa” (CEO fraud)
Pracownik odbiera telefon albo wiadomość głosową od kogoś, kto brzmi jak członek zarządu. Dzwoniący jest „na spotkaniu”, nie może pisać, a faktura musi być opłacona dzisiaj. Sytuacja wygląda wiarygodnie, bo głos jest znajomy, a prośba wpisuje się w normalny priorytet służbowy.
Podmiana rachunku na fakturze
Atakujący podaje się za dostawcę albo przełożonego i prosi o zmianę numeru rachunku na fakturze. Bez procedury weryfikacji pracownik może wprowadzić zmianę w dobrej wierze, a kolejny przelew trafi do oszusta.
Oszustwo „na wnuczka” ze sklonowanym głosem
Rodzic albo dziadek odbiera telefon od kogoś, kto brzmi jak jego dziecko lub wnuk. Wypadek, zgubiony telefon, kłopoty, pilnie potrzebne pieniądze. Scenariusz jest zbudowany tak, żeby wywołać panikę i wyłączyć weryfikację.
Fałszywe wideokonferencje
Opisano publicznie przypadki, w których pracownicy uwierzyli w wideorozmowę z fałszywymi menedżerami i wykonali przelewy na duże kwoty. Deepfake w wideo nie jest więc scenariuszem teoretycznym – dotyka realnych firm.
Po czym poznać fałszywy głos lub wideo
Deepfake nie musi być doskonały. Zwykle ma drobne wady. Problem w tym, że pod presją trudniej je zauważyć.
Sygnały ostrzegawcze:
- dzwoniący buduje silną presję czasu,
- zniechęca do sprawdzenia sprawy u kogoś innego,
- prosi o nietypową płatność albo zmianę rachunku,
- zaznacza, że sprawa jest tajna lub wrażliwa,
- odmawia przejścia na inny kanał kontaktu,
- odpowiedzi przychodzą z lekkim opóźnieniem lub brzmią nienaturalnie,
- głos się zgadza, ale emocje do niego nie pasują,
- w wideo widać dziwną pracę ust, oczu lub mimiki,
- jakość połączenia jest podejrzanie zła,
- rozmówca unika pytań, których nie przewidział.
Najważniejszy sygnał nie jest techniczny. To połączenie zaufanej tożsamości z pilną prośbą. Kiedy ktoś znajomy prosi o coś ważnego i to natychmiast – zwolnij.
Jak zweryfikować podejrzany telefon
Najskuteczniejsza obrona to weryfikacja drugim kanałem.
Jeśli dzwoni „prezes” i prosi o płatność, rozłącz się i oddzwoń na numer, który już znasz. Nie oddzwaniaj na numer, z którego przyszło połączenie. Jeśli „współpracownik” pisze z nieznanego numeru, potwierdź to na firmowym czacie. Jeśli w panice dzwoni „dziecko”, zadaj pytanie, na które odpowie tylko ono.
W firmie warto pójść dalej: ustalić hasło bezpieczeństwa albo regułę weryfikacji, wprowadzić drugą akceptację przy pilnych przelewach i potwierdzić zmianę rachunku dostawcy pod znanym wcześniej numerem kontaktowym. Wrażliwa prośba nigdy nie powinna opierać się wyłącznie na wiadomości głosowej.
Co powinny zrobić firmy
Oszustwa z użyciem deepfake’a przestały być ciekawostką. Są elementem normalnego krajobrazu zagrożeń.
Co da się wdrożyć od razu:
- Zasady dla pilnych płatności – żaden przelew nie powstaje wyłącznie na podstawie telefonu.
- Druga akceptacja przy wyższych kwotach.
- Weryfikacja zmiany rachunku dostawcy niezależnym kanałem.
- Szkolenia z vishingu i scenariuszy deepfake.
- Ograniczenie wrażliwych informacji wewnętrznych w materiałach publicznych.
- Prosta ścieżka zgłaszania podejrzanych połączeń.
- Jasny komunikat dla zespołu: weryfikacja to nie brak zaufania, tylko standard pracy.
Co powinny zrobić rodziny
Klonowanie głosu uderza nie tylko w firmy. Ryzyko rośnie też w rodzinach.
Ustal w rodzinie kilka prostych zasad:
- rodzinne hasło na sytuacje awaryjne,
- zasada, że pieniądze nigdy nie wychodzą pod presją,
- weryfikacja przez oddzwonienie,
- pytania kontrolne, które zna tylko rodzina,
- żadnych kodów ani danych osobowych w wiadomościach.
Osoby starsze bywają szczególnie podatne na telefony, które grają strachem. Lepiej omówić takie scenariusze zawczasu niż po fakcie.
Podsumowanie
Oszustwa z użyciem deepfake’a są groźne, bo atakują zaufanie. Głosowi i twarzy wierzymy odruchowo, a AI potrafi to wykorzystać.
Zasada jest prosta: przy pieniądzach, hasłach, rachunkach i danych wrażliwych sam głos nie wystarczy. Potrzebna jest weryfikacja.
Zdanie „Sprawdzę to i oddzwonię” nie jest nietaktem. Potrafi uratować pieniądze, firmę i dane osobowe.
