Oszustwo na prezesa z AI: jak chronić firmę przed deepfake

Dzwoni szef. Głos brzmi znajomo, słychać nawet jego charakterystyczne przerwy. Prosi o pilny przelew dla nowego dostawcy albo o zmianę numeru konta, bo „księgowa jest na urlopie, a sprawa nie może czekać”. Dziś taki głos można podrobić narzędziem AI, więc samo rozpoznanie go po głosie przestało być dowodem.

W tej poradzie dostajesz prostą procedurę dla małej firmy. Składa się z hasła weryfikacyjnego, oddzwonienia na znany numer, zasady dwóch osób przy przelewach i krótkiego szkolenia zespołu. Wdrożysz ją w jedno popołudnie, bez kupowania specjalnych programów.

Jak wygląda oszustwo „na prezesa” z AI

Schemat jest stary, zmienia się tylko narzędzie. Oszust podaje się za osobę, której pracownik ufa: właściciela, wspólnika, prezesa albo księgowego. Dziś zamiast maila z podrobionym adresem może wysłać notatkę głosową na komunikatorze albo zadzwonić z głosem naśladującym prawdziwą osobę.

Materiał do podrobienia głosu często leży w sieci: film na stronie firmy, nagranie z wydarzenia albo post na profilu w social mediach. Nie twierdzę, że każdy głos da się podrobić idealnie. Wystarczy jednak, że rozmowa jest krótka, a słuchawka szumi, żeby zadziałała presja czasu.

Typowe prośby wyglądają tak:

• pilny przelew na nowy rachunek, „bo umowa się wali”,
• zmiana numeru konta dostawcy na kolejnej fakturze,
• zakup kart podarunkowych albo doładowań i przesłanie kodów,
• prośba o podanie kodów z SMS albo dostępu do bankowości,
• „tylko nikomu nie mów, to poufna transakcja”.

Po czym poznasz, że coś jest nie tak

Głos może być bardzo przekonujący, dlatego nie oceniaj brzmienia. Oceniaj okoliczności. Oszustwo prawie zawsze ma kilka wspólnych cech:

1. Pośpiech. „Muszę to mieć w ciągu godziny.”
2. Tajemnica. „Nie mów nikomu, w tym księgowej.”
3. Nietypowy kanał. Szef pisze z nowego numeru albo z komunikatora, z którego nigdy nie wysyłał poleceń.
4. Nowy rachunek albo nowy odbiorca. Pierwszy raz widzisz tę firmę albo ten numer konta.
5. Pominięcie zwykłej procedury. Szef zwykle prosi o fakturę, a teraz „nie ma czasu”.

Jeśli pasują dwa z pięciu punktów, przerwij rozmowę i zastosuj procedurę niżej. Nie musisz mieć pewności, że to oszustwo. Wystarczy, że nie masz pewności, że to nie jest oszustwo.

Krok 1: ustal hasło weryfikacyjne

Hasło weryfikacyjne to słowo albo krótkie pytanie, które znają tylko osoby upoważnione do poleceń finansowych. Oszust, nawet z dobrym głosem, go nie zna.

Zasady, które zwiększają skuteczność:

• ustal je ustnie, na spotkaniu, a nie mailem czy na komunikatorze,
• wybierz coś, czego nie da się znaleźć w sieci, więc nie imię psa ani nazwę ulicy,
• lepsze jest pytanie z odpowiedzią niż samo słowo, bo trudniej je zgadnąć,
• zmieniaj je co kilka miesięcy i po każdej zmianie w zespole,
• zasada jest prosta: bez hasła nie ma przelewu, nawet gdy dzwoni sam właściciel.

Właściciel nie powinien się o to obrażać. To działa na jego korzyść, bo chroni też jego pieniądze.

Krok 2: oddzwoń na znany numer

Hasło nie wystarczy, jeśli wycieknie albo ktoś je podejrzy. Druga warstwa to oddzwonienie. Rozłączasz się i dzwonisz na numer, który masz zapisany od dawna: z wizytówki, z umowy albo z własnej książki adresowej.

Czego nie robić:

• nie oddzwaniaj na numer, który właśnie zadzwonił,
• nie klikaj „oddzwoń” z wiadomości,
• nie używaj numeru podanego w tej samej wiadomości.

Gdy szef nie odbiera, napisz na znany mail albo poproś kogoś, kto jest obok. Jeśli sprawa jest naprawdę pilna, szef zadzwoni jeszcze raz. Jeśli to oszust, zniknie albo zacznie naciskać. To też jest informacja.

Krok 3: zasada dwóch osób przy przelewach

Najmocniejsza ochrona to taka, w której jedna osoba nie może wysłać pieniędzy sama. W małej firmie wystarczy prosta wersja:

• jedna osoba przygotowuje przelew,
• druga zatwierdza go po sprawdzeniu faktury i rachunku,
• przy nowym odbiorcy albo zmianie numeru konta dochodzi telefon do kontrahenta na numer ze starej umowy lub strony,
• progi ustal samodzielnie: od jakiej kwoty zasada obowiązuje zawsze.

Wiele banków w bankowości firmowej pozwala skonfigurować dwa podpisy albo limit dla jednej osoby. Zajrzyj do ustawień swojego banku albo zapytaj doradcę. Jeśli firma jest jednoosobowa, rolę drugiej osoby może pełnić księgowa albo zaufana osoba, która dostaje od Ciebie powiadomienie o przelewach powyżej ustalonej kwoty.

Zmiana numeru konta w fakturze to osobny, bardzo częsty przypadek. Opisuję go w poradzie podmieniony numer konta na fakturze: jest tam procedura dla księgowości i plan na pierwszą godzinę po przelewie.

Krok 4: krótkie szkolenie zespołu

Procedura bez rozmowy z ludźmi się nie sprawdzi. Wystarczy 15–20 minut raz na kilka miesięcy. Na spotkaniu:

1. Opowiedz, jak działa oszustwo, i puść zespołowi kilka przykładowych nagrań z internetu, żeby usłyszał, jak realistycznie brzmi sztuczny głos.
2. Pokaż pięć sygnałów z tej porady.
3. Przećwicz scenariusz: „dzwoni szef, chce przelewu na nowe konto”. Co robisz krok po kroku?
4. Powiedz wprost, że każdy ma prawo i obowiązek zweryfikować polecenie, także wobec właściciela.
5. Ustal, kto jest osobą do zgłaszania wątpliwości.

Najważniejsze zdanie, które powinien usłyszeć każdy pracownik: „Nikt nie będzie miał do Ciebie pretensji o sprawdzenie polecenia, nawet jeśli było prawdziwe”.

Co zrobić, gdy już doszło do przelewu

Najwięcej zależy od pierwszych minut. Działaj w tej kolejności:

1. Zadzwoń do banku na infolinię z numerem podanym w aplikacji albo na stronie banku. Powiedz, że to podejrzenie oszustwa, i poproś o próbę wstrzymania albo odwołania przelewu.
2. Zachowaj dowody: zrzuty ekranu, nagrania rozmów, notatki głosowe, numery telefonów, godziny i treść faktur. Nie usuwaj niczego.
3. Zgłoś sprawę policji, dołączając zebrane materiały.
4. Zgłoś incydent do CERT Polska przez formularz na stronie incydent.cert.pl. Takie zgłoszenia pomagają ostrzegać inne firmy.
5. Uprzedź zespół i kontrahentów, że ktoś podszywa się pod firmę. Ten sam oszust może zadzwonić do kolejnej osoby.
6. Jeśli oszust zdobył hasła albo dostęp do kont, zmień hasła i włącz uwierzytelnianie dwuskładnikowe.

Nie obiecuję, że bank zawsze zdąży zatrzymać pieniądze. Im szybciej zadzwonisz, tym większa szansa.

Zmniejsz ilość materiału dla oszusta

Oszust zwykle przygotowuje się: sprawdza, kto jest szefem, kto robi przelewy i jak firma mówi do klientów. Część tych informacji publikujemy sami. Warto to ograniczyć:

• na stronie nie podawaj prywatnych numerów telefonów ani pełnej struktury firmy z funkcjami finansowymi,
• nie publikuj wewnętrznych dokumentów ani wzorów faktur z danymi do przelewów,
• pilnuj formularzy i skrzynek na stronie: spam i włamania często poprzedzają podszywanie się pod firmę,
• włącz w firmowej poczcie SPF, DKIM i DMARC, żeby utrudnić podrabianie adresu nadawcy (opisuję to w poradzie o mailach w spamie),
• po wszystkich zmianach w firmie przejrzyj, kto ma dostęp do bankowości i skrzynek.

Jeśli chcesz sprawdzić, jak zabezpieczona jest Twoja strona, zacznij od darmowego narzędzia Zbadaj stronę: w około 30 sekund zobaczysz, co poprawić w bezpieczeństwie i w poczcie w domenie.

Lista kontrolna do wydruku

• [ ] Ustaliliśmy hasło weryfikacyjne ustnie.
• [ ] Każdy przelew do nowego odbiorcy potwierdzamy telefonem na znany numer.
• [ ] Przelewy powyżej ustalonej kwoty zatwierdzają dwie osoby.
• [ ] Zespół przeszedł 15-minutowe szkolenie.
• [ ] Każdy wie, kogo zawiadomić, gdy coś budzi wątpliwość.
• [ ] Mamy numer do banku i adres incydent.cert.pl w widocznym miejscu.
• [ ] Włączyliśmy uwierzytelnianie dwuskładnikowe w bankowości i poczcie.

Podsumowanie

Głos szefa w słuchawce przestał być dowodem tożsamości. Hasło weryfikacyjne, oddzwonienie na znany numer i zasada dwóch osób kosztują minutę, a mogą uchronić firmę przed stratą pieniędzy na wypłaty za cały miesiąc.

Jeśli chcesz sprawdzić zabezpieczenia strony i serwera firmy, zrobię dla Ciebie audyt bezpieczeństwa, a w razie potrzeby zabezpieczę serwer i aplikację. Napisz do mnie, odpowiadam w 24 godziny, a nowi klienci dostają 20% rabatu na pierwsze zlecenie.