Deepfake podvody a vishing: rozpoznajte falošný hlas
Telefón zazvoní počas porady. Na displeji je neznáme číslo, ale hlas znie povedome. „Ahoj, som v aute, nemôžem dlho hovoriť. Potrebujem, aby si dnes poslala zálohovú platbu. Detaily máš v e-maile.“ Je to hlas šéfa. Tón sedí. Tempo reči sedí. Aj krátke frázy znejú ako on.
Lenže šéf o ničom nevie.
Takto môže vyzerať deepfake podvod spojený s vishingom. Vishing je hlasový phishing, teda podvod cez telefonát. Deepfake hlas alebo voice cloning pridáva niečo, čo ľudí silno presviedča: známy hlas.
Pri deepfake podvodoch nejde len o technológiu. Ide o dôveru, stres a rýchle rozhodnutie. Útočník nechce, aby ste premýšľali. Chce, aby ste zareagovali.
To neznamená, že máme byť paranoidní. Znamená to, že pri dôležitých rozhodnutiach musíme overovať. Najmä ak ide o peniaze, prístupy, osobné údaje alebo citlivé firemné informácie.
Súvisiaci kontext nájdete aj v článku AI ako útočník: phishing, deepfaky a nové kybernetické hrozby.
Deepfake a vishing často nadväzujú na rovnakú logiku ako AI phishing: útočník vytvorí dôveryhodný príbeh a tlačí obeť do rýchlej reakcie. Pri príprave takého príbehu mu pomáha aj OSINT z verejných informácií.
Čo je deepfake
Deepfake je umelo vytvorený alebo upravený zvuk, obraz alebo video, ktoré napodobňuje skutočného človeka. Pomocou AI sa dá vytvoriť hlas, ktorý znie podobne ako konkrétna osoba, alebo video, kde tvár a mimika vyzerajú veľmi presvedčivo.
Na vytvorenie hlasovej napodobeniny niekedy stačí relatívne malá vzorka hlasu. Verejné vystúpenie, podcast, video z konferencie, rozhovor na YouTube, online školenie alebo krátke video na sociálnych sieťach môžu útočníkovi poskytnúť materiál.
Preto je dôležité riešiť aj digitálnu stopu: verejné videá, profily a konferenčné fotky môžu byť vstupom pre technický aj sociálny útok.
Preto sú ohrození nielen známi ľudia. Riziko sa týka aj manažérov, majiteľov firiem, učiteľov, lekárov, realitných maklérov, obchodníkov, influencerov alebo kohokoľvek, kto má verejne dostupné videá a hlasové záznamy.
Čo je vishing
Vishing je hlasový phishing. Útočník sa cez telefón alebo hlasovú správu snaží presvedčiť obeť, aby urobila niečo nevýhodné alebo nebezpečné.
Môže ísť napríklad o:
- prevod peňazí,
- zadanie kódu z SMS,
- potvrdenie platby,
- zmenu bankového účtu,
- prezradenie hesla,
- inštaláciu aplikácie,
- poskytnutie osobných údajov,
- otvorenie odkazu poslaného cez SMS.
Vishing existoval aj pred AI. Podvodníci volali ľuďom a vydávali sa za banku, políciu alebo technickú podporu. AI však pridáva novú vrstvu dôveryhodnosti: hlas môže znieť ako niekto, koho poznáte.
Ako môže vyzerať deepfake podvod
Podvod na šéfa
Zamestnanec dostane telefonát alebo hlasovú správu od osoby, ktorá znie ako riaditeľ. Hovorí, že je na stretnutí, nemôže písať, ale potrebuje urgentne zaplatiť faktúru. Situácia pôsobí dôveryhodne, pretože hlas znie známo a požiadavka sa tvári ako pracovná priorita.
Podvod na finančné oddelenie
Útočník sa vydáva za dodávateľa alebo manažéra. Žiada zmenu čísla účtu na faktúre. Ak firma nemá jasný proces overovania, zamestnanec môže zmenu spraviť v dobrej viere.
Podvod na rodinu
Rodičovi zavolá hlas, ktorý znie ako jeho dieťa. Tvrdí, že malo nehodu, stratilo mobil, je v probléme alebo potrebuje rýchlo peniaze. Cieľom je vyvolať paniku a zabrániť overeniu.
Podvod cez videohovor
V zahraničí boli medializované prípady, kde zamestnanci uverili videohovoru s falošnými manažérmi a na základe toho poslali veľké finančné sumy. Takéto útoky ukazujú, že deepfake už nie je len teoretická hrozba. Môže zasiahnuť reálne firmy.
Varovné znaky falošného hlasu alebo videa
Deepfake nemusí byť dokonalý. Často má drobné nedostatky. Problém je, že v strese si ich nemusíme všimnúť.
Pozor si dajte najmä na tieto signály:
- volajúci vytvára silný časový tlak,
- nechce, aby ste vec overovali s niekým iným,
- žiada nezvyčajnú platbu alebo zmenu účtu,
- hovorí, že ide o tajnú alebo citlivú záležitosť,
- odmieta prejsť na iný komunikačný kanál,
- odpovede pôsobia mierne oneskorene alebo neprirodzene,
- hlas znie dobre, ale emócie nesedia,
- video má zvláštne pohyby pier, očí alebo mimiky,
- kvalita hovoru je zámerne zlá,
- osoba sa vyhýba nečakanej otázke.
Najdôležitejší signál však nie je technický. Je to kombinácia dôveryhodnej identity a urgentnej požiadavky. Keď niekto známy žiada niečo dôležité veľmi rýchlo, treba spomaliť.
Ako si overiť, či je hovor skutočný
Najlepšia obrana proti deepfake podvodom je overovanie cez druhý kanál.
Ak vám volá „šéf“ a žiada platbu, zaveste a zavolajte mu späť na číslo, ktoré už máte uložené. Nie na číslo, z ktorého prišiel podozrivý hovor. Ak vám píše „kolega“ cez neznáme číslo, overte si to cez firemný chat. Ak vám volá „dieťa“ v panike, položte otázku, ktorú by poznalo len ono.
Vo firme je dobré zaviesť aj bezpečnostné frázy alebo overovacie pravidlá. Napríklad pri urgentných platbách musí byť druhé schválenie. Pri zmene účtu dodávateľa sa musí volať na pôvodne evidovaný kontakt. Pri citlivých požiadavkách nestačí hlasová správa.
Čo by mali spraviť firmy
Firmy by mali prestať vnímať deepfake ako kuriozitu. Je to súčasť modernej bezpečnostnej reality.
Praktické opatrenia:
- Nastavte pravidlá pre urgentné platby. Žiadna platba iba na základe telefonátu.
- Zaveďte dvojité schvaľovanie pri vyšších sumách.
- Overujte zmenu bankového účtu dodávateľa cez nezávislý kontakt.
- Školte ľudí na vishing a deepfake scenáre.
- Obmedzte verejné zdieľanie citlivých interných informácií.
- Vytvorte jednoduchý postup, ako nahlásiť podozrivý hovor.
- Učte zamestnancov, že overenie nie je nedôvera, ale profesionálny štandard.
Čo by mali spraviť rodiny
Deepfake hlasové podvody sa netýkajú iba firiem. Riziko rastie aj pre rodiny.
Dohodnite si jednoduché pravidlá:
- rodinné heslo pre núdzové situácie,
- pravidlo, že peniaze sa neposielajú pod tlakom,
- overenie cez spätný telefonát,
- otázky, ktoré pozná len člen rodiny,
- zákaz posielania kódov a údajov cez správy.
Najmä starší ľudia môžu byť zraniteľní voči telefonátom, ktoré vyvolávajú strach. Preto je lepšie hovoriť o týchto scenároch vopred, nie až po incidente.
Záver
Deepfake podvody sú nebezpečné, pretože útočia na dôveru. Hlas a tvár patria medzi veci, ktorým prirodzene veríme. AI túto dôveru dokáže zneužiť.
Základné pravidlo je jednoduché: pri peniazoch, heslách, účtoch a citlivých údajoch nestačí hlas. Treba overenie.
Nie je hanba povedať: „Overím si to a ozvem sa.“ Práve táto veta môže zachrániť peniaze, firmu aj osobné údaje.