oszustwo deepfake
| Po angielsku | deepfake fraud |
|---|---|
| Którą formą pisać | po polsku Polska nazwa przyjęła się w tekstach i w wyszukiwarce — używaj jej samodzielnie. |
| Inne formy | oszustwo z użyciem deepfake'a · scam z deepfakiem · podszycie się z użyciem deepfake'a |
| Kategoria | Ataki i socjotechnika |
Oszustwo deepfake to oszustwo, w którym wygenerowany przez sztuczną inteligencję głos albo wizerunek prawdziwej osoby uwiarygadnia polecenie przelewu, prośbę o dane lub fałszywą inwestycję. CERT Polska pisze, że technologia deepfake pozwala dosłownie włożyć w usta dowolnej osoby dowolne słowa [1]. Oszustwo deepfake jest odmianą socjotechniki: nie łamie zabezpieczeń systemu, tylko przekonuje człowieka, że rozmawia z kimś, komu ufa.
Jak działa
Oszust potrzebuje materiału wyjściowego: nagrań głosu i zdjęć lub filmów osoby, którą chce udawać. Z nich generuje nowe nagranie albo prowadzi rozmowę na żywo. FBI opisuje, że przestępcy tworzą krótkie nagrania z głosem bliskiej osoby w sytuacji kryzysowej, prosząc o natychmiastową pomoc finansową albo żądając okupu [4]. Tworzą też wideo do rozmów w czasie rzeczywistym z rzekomymi członkami zarządu firm, funkcjonariuszami lub innymi autorytetami [4].
Deepfake rzadko działa sam. Zwykle jest jednym ogniwem dłuższego scenariusza, jak w fałszywych inwestycjach, których przebieg Niebezpiecznik opisał w pięciu krokach [3]. Pokazuje je schemat poniżej.
Niebezpiecznik podkreśla, że może to być trwający tygodniami proces, w który ofiara się angażuje [3].
Odmiany
| Odmiana | Kogo udaje oszust | Czego chce |
|---|---|---|
| klon głosu krewnego | bliska osoba w kryzysie [4] | pilny przelew albo okup [4] |
| wideorozmowa z „prezesem” | członek zarządu, urzędnik, policjant [4] | polecenie wypłaty, poufne dane |
| reklama inwestycyjna | polityk, sportowiec, celebryta [2] | wpłata na fałszywą platformę [2] |
| wiadomość głosowa od urzędnika | wysoki rangą urzędnik [5] | dostęp do kont prywatnych [5] |
Odmiana z klonem głosu krewnego rozwija znane oszustwo na wnuczka. Rozmowa z fałszywym przełożonym przypomina BEC i whaling, tyle że podszycie odbywa się głosem i obrazem, a nie samym e-mailem. Wiadomości głosowe to odmiana vishingu, a SMS-y z linkiem to smishing [5].
Znaczenie dla właściciela strony
Oszustwo deepfake nie jest atakiem na kod WordPressa, ale dotyka stron internetowych na dwa sposoby.
Pierwszy to materiał do klonowania. Zdjęcia zespołu, nagrania wideo i podcasty na stronie firmy są publicznie dostępne. FBI radzi, by w miarę możliwości ograniczać publikowanie w sieci własnego wizerunku i głosu, bo utrudnia to przestępcom tworzenie fałszywych tożsamości narzędziami generatywnej AI [4]. Właściciel strony powinien to rozważyć, decydując, jakie nagrania kadry publikuje; zob. ślad cyfrowy.
Drugi to procedury wokół samej strony. Prośba o dodanie konta administratora, zmianę hasła do hostingu czy numeru rachunku w sklepie może przyjść telefonicznie lub w wideorozmowie od kogoś, kto brzmi jak szef albo klient. Taki telefon trzeba potwierdzić innym kanałem, zanim powstanie nieautoryzowane konto administratora albo dojdzie do przejęcia konta.
Zagrożenia i skutki
KNF opisuje, że technologia deepfake pozwala przestępcom tworzyć nagrania wideo z wizerunkiem i modelem głosu znanej osoby, promujące rzekome inwestycje [2]. Reklamy zawierają wizerunki znanych osób ze świata polityki i sportu albo podszywają się pod instytucje finansowe [2]. Dalszy scenariusz według KNF obejmuje fałszywe aplikacje, prośby o udostępnienie pulpitu przez programy do zdalnej pomocy oraz żądanie zapłaty „podatku” z kredytu [2]. Pieniądze trafiają dalej na rachunki osób trzecich i giełdy kryptowalut [2]; zob. oszustwo inwestycyjne.
FBI opisuje też użycie sklonowanego głosu do uzyskania dostępu do rachunków bankowych przez podszycie się pod właściciela [4]. Skutkiem jest wtedy kradzież tożsamości.
Poza wyłudzeniami deepfake służy dezinformacji. CERT Polska w czerwcu 2024 roku ostrzegał przed spreparowanymi nagraniami polityków i fałszywymi komunikatami o godzinach głosowania i lokalizacji lokali wyborczych [1].
Jak się bronić
FBI zaleca kilka prostych zasad [4]:
- ustalić z rodziną tajne słowo lub frazę do potwierdzania tożsamości;
- rozłączyć się, samodzielnie znaleźć numer banku lub instytucji i oddzwonić;
- zwracać uwagę na niedoskonałości obrazu: zniekształcone dłonie, nienaturalne zęby lub oczy, błędne cienie, opóźnienia i nienaturalne ruchy;
- nie przekazywać pieniędzy ani danych wrażliwych osobom znanym tylko z sieci lub telefonu.
W kampanii z 2025 roku, w której od kwietnia podszywano się pod wysokich rangą urzędników USA, FBI dodało: nie klikać linków przed potwierdzeniem nadawcy i włączyć uwierzytelnianie wieloskładnikowe, nigdy nie przekazując jego kodów [5].
KNF przestrzega, by nigdy nie logować się do bankowości internetowej w trakcie udostępniania komuś pulpitu, i przypomina, że obietnica szybkiego zysku powinna budzić podejrzliwość [2]. Incydenty w Polsce można zgłaszać do CERT Polska przez serwis incydent.cert.pl [1]; zob. zgłoszenie incydentu.
Przypisy
5- [1] Deepfake i wybory · CERT Polska
- [2] Fałszywe inwestycje · Komisja Nadzoru Finansowego
- [3] Oszustwa inwestycyjne to nie jeden telefon od konsultanta · Niebezpiecznik
- [4] Criminals Use Generative Artificial Intelligence to Facilitate Financial Fraud (PSA241203) · FBI IC3
- [5] Senior US Officials Impersonated in Malicious Messaging Campaign (PSA250515) · FBI IC3