Szkolenie uświadamiające Deepfake: krótki przewodnik

W lutym 2024 roku pracownik działu finansowego firmy inżynieryjnej Arup dołączył do wideokonferencji, w której uczestniczyli ludzie wyglądający i brzmiący jak dyrektor finansowy firmy oraz kilku współpracowników. Każda osoba biorąca udział w tej rozmowie, z wyjątkiem tego pracownika, była deepfake’iem. Do końca tygodnia na konta atakujących przelano 25,6 mln USD.

Oto jak naprawdę wygląda oszustwo z wykorzystaniem deepfake’ów w 2026 roku: nie przypomina już kiepsko zsynchronizowanego wideo z gwiazdą. Wygląda jak twój dyrektor generalny na Teamsie, proszący o coś pilnego. W tym przewodniku dowiesz się, czym są deepfake’i, jak wykorzystuje się je przeciwko organizacjom, jakie zasady weryfikacji naprawdę je powstrzymują oraz z jakich platform szkoleniowych dotyczących deepfake’ów możesz skorzystać, by przygotować swoich pracowników.

Czym są deepfakes i dlaczego są niebezpieczne?

Deepfake’i to syntetyczne materiały multimedialne (wideo lub audio) tworzone lub modyfikowane przy użyciu sztucznej inteligencji, żeby sprawiać wrażenie, jakby ktoś mówił lub robił rzeczy, których w rzeczywistości nigdy nie powiedział ani nie zrobił. Można zamieniać twarze i klonować głosy tak, żeby brzmiały niesamowicie przekonująco. Deepfake może przekonać innych, że dana osoba powiedziała lub zrobiła coś, czego w rzeczywistości nigdy nie zrobiła.

Z biegiem lat wszyscy nauczyliśmy się, żeby nie zawsze wierzyć w to, co czytamy. Jednak ludzie nie nauczyli się jeszcze nie ufać wszystkiemu, co widzą i słyszą. Tym właśnie obecnie wykorzystują się cyberprzestępcy. Niezależnie od tego, czy chodzi o sfałszowane nagranie, na którym prezes wypowiada kontrowersyjną wypowiedź, czy o sklonowany głos pilnie proszący o podanie poufnych informacji – deepfake’i mogą wyrządzić realne szkody.

Kluczowe zagrożenia związane z podróbkami dla organizacji

Deepfakes stwarzają wielowarstwowe zagrożenia dla firm. Główne zagrożenia obejmują:

Oszustwa CEO i straty finansowe

Jednym z głównych zagrożeń są oszustwa typu "deepfake CEO". Przestępcy wykorzystują sklonowany głos lub nagranie wideo kierownika wyższego szczebla, aby nakłonić pracowników do przelania pieniędzy. Takie ataki już się zdarzają. Na przykład:

• W 2019 r. brytyjska firma energetyczna straciła 243 000 USD po fałszywym połączeniu głosowym od "dyrektora generalnego".
• W 2020 r. oszuści wykorzystali technologię deepfake voice do kradzieży 35 milionów dolarów.
• W 2024 r. brytyjska firma inżynieryjna straciła ponad 20 milionów funtów po tym, jak fałszywe połączenie wideo podszyło się pod kierownika wysokiego szczebla.

Pracownicy mają naturalną tendencję do wykonywania pilnych próśb kierownictwa, zwłaszcza pod presją. Deepfakes wykorzystują ten instynkt, omijając zwykłe procedury weryfikacji.

Szkody wizerunkowe i dezinformacja

Deepfakes mogą być również wykorzystywane do niszczenia reputacji. Wyobraź sobie, że fałszywy film przedstawiający dyrektora generalnego wygłaszającego rasistowskie uwagi lub fałszywe dowody na to, że Twój produkt jest niebezpieczny, rozprzestrzeniają się w Internecie. Nawet jeśli zostanie to później obalone, uszczerbek na zaufaniu i percepcji publicznej może być nieodwracalny.

Europol ostrzega, że deepfakes mogą być wykorzystywane do rozpowszechniania fałszywych informacji o firmach, wywołując panikę wśród akcjonariuszy, bojkot klientów, a nawet dochodzenia regulacyjne.

Ukierunkowany phishing i inżynieria społeczna

Deepfakes przenoszą inżynierię społeczną na zupełnie nowy poziom. Zamiast podejrzanej wiadomości e-mail, wyobraź sobie, że otrzymujesz przekonującą rozmowę wideo od "działu IT" z prośbą o zalogowanie się na stronie phishing . Lub wiadomość głosową od twojego "dyrektora finansowego" z prośbą o pilne poufne informacje.

• Vishing ( phishing głosowy) i phishing wideo to rosnące zagrożenia.
• Atakujący potrzebują jedynie krótkiego klipu audio (np. z mediów społecznościowych), aby przekonująco sklonować głos danej osoby.

Deepfakes tworzą emocjonalną autentyczność, utrudniając pracownikom wykrywanie oszustw wyłącznie na podstawie instynktu.

W życiu prywatnym wiele osób padło już ofiarą deepfake'ów ze strony swoich dzieci lub rodziców. Jeśli twój syn mówi ci, że jest w niebezpieczeństwie i potrzebuje pieniędzy, czy jesteś wystarczająco spokojny i świadomy, aby dokładnie sprawdzić jego tożsamość?

Trzy prawdziwe ataki typu deepfake na firmy (i co powstrzymało dwa z nich)

Arup, Hongkong, 2024 r. Pracownik działu finansowego dostał e-mail o „poufnej transakcji”, a potem dołączył do wideokonferencji, na której na żywo pojawili się dyrektor finansowy i inni współpracownicy. Wszyscy byli wygenerowani przez sztuczną inteligencję. Pracownik wykonał 15 przelewów o łącznej wartości 200 milionów HK$ (około 25,6 miliona US$). Żadna część systemu technologicznego nie zawiodła; atak się powiódł, bo wideokonferencja została potraktowana jako dowód tożsamości.

Ferrari, 2024 r. Jeden z członków kierownictwa dostał wiadomości na WhatsAppie, a potem telefon od kogoś, kto brzmiał jak dyrektor generalny Benedetto Vigna – łącznie z jego południowowłoskim akcentem – w sprawie poufnej transakcji przejęcia. Członek kierownictwa zadał pytanie, na które tylko prawdziwy dyrektor generalny mógłby odpowiedzieć (tytuł książki, którą polecił kilka dni wcześniej). Osoba dzwoniąca się rozłączyła. Koszt: zero.

WPP, 2024 r. Atakujący zorganizowali spotkanie w Microsoft Teams, wykorzystując publiczne zdjęcie prezesa Marka Reada, sklonowany głos i materiał z YouTube’a, i próbowali namówić szefa agencji do nawiązania „nowej współpracy” oraz podania danych finansowych i osobowych. Ofiara nabrała podejrzeń i zgłosiła sprawę. Koszt: zero.

Schemat jest zawsze ten sam: znajoma twarz albo głos, powód, dla którego trzeba zachować tajemnicę, i presja czasu. Różnica między stratą 25 milionów dolarów a brakiem straty nie polegała na umiejętnościach wykrywania. Chodziło o to, czy pracownik zweryfikował sprawę przez drugi kanał, zanim podjął działanie.

Dlaczego tradycyjna security awareness już nie wystarcza

Większość firm oferuje coroczne szkolenia w security awareness , obejmujące phishing, higienę haseł i podstawową higienę cybernetyczną. Ale to już nie wystarcza w walce z deepfake'ami:

• Fałszerstwa to nowe, szybko ewoluujące zagrożenie. Pracownicy muszą nauczyć się kwestionować nawet zaufane źródła, takie jak filmy i rozmowy telefoniczne.
• Większość tradycyjnych programów szkoleniowych nawet nie wspomina o deepfake'ach.
• Badania pokazują, że nawet po otrzymaniu ostrzeżenia o deepfake'ach, ludzie są słabi w ich wykrywaniu.
• Tradycyjne szkolenia z zakresu bezpieczeństwa są statyczne, podczas gdy techniki deepfake ewoluują z miesiąca na miesiąc.
• Incydenty związane z deepfake wymagają nowych procedur reagowania, takich jak weryfikacja podejrzanych połączeń za pośrednictwem alternatywnych kanałów oraz wprowadzenie jasnych mechanizmów zgłaszania takich przypadków.

Bez specjalnego szkolenia w zakresie świadomości deepfake, pracownicy mogą dać się nabrać na ataki, ponieważ nie doceniają tego, jak przekonujące mogą być syntetyczne media.

Protokół weryfikacji deepfake’ów: pięć zasad, które powstrzymują niemal każdy atak

Nie można oczekiwać, że pracownicy będą w stanie rozpoznać dobrze wykonany deepfake. Klony głosowe (zobacz: vishing) wymagają obecnie zaledwie kilku sekund próbki dźwiękowej, a deepfake’i wideo na żywo działają na zwykłym sprzęcie. Dlatego szkolenia muszą skupiać się nie na wykrywaniu, a na weryfikacji. Te pięć zasad obejmuje zdecydowaną większość prawdziwych incydentów:

1. Oddzwon na znany numer. Każda prośba dotycząca pieniędzy, danych uwierzytelniających, danych osobowych lub uprawnień dostępu, którą otrzymasz w rozmowie, wiadomości wideo lub głosowej, powinna zostać zweryfikowana poprzez oddzwonienie do tej osoby na numer, który masz już w telefonie lub w książce telefonicznej. Nigdy nie dzwon na numer podany w wiadomości.
2. Ustalcie hasło na wypadek pilnych spraw. Kierownictwo i dział finansowy mają wspólne, proste hasło, którego nigdy nie zapisuje się w mailach ani na czacie. Jeśli „dyrektor generalny” nie potrafi go podać, rozmowa się kończy.
3. Każda płatność i każda zmiana danych bankowych są sprawdzane przez dwie osoby. Żaden pracownik nie może samodzielnie zrealizować przelewu powyżej ustalonego limitu ani zmienić numeru konta dostawcy. Deepfake’i atakują konkretne osoby; druga osoba zatwierdzająca zapobiega atakowi.
4. Pilność plus tajemnica równa się „stop”. „Nie mów nikomu” i „to musi się stać dzisiaj” to dwa zwroty, które pojawiają się niemal w każdej sprawie oszustwa z wykorzystaniem deepfake’ów. Przeszkol pracowników, żeby traktowali tę kombinację jako sygnał do zatrzymania się, a nie do działania.
5. Zmień kanał komunikacji. Prośba przyszła przez wideo? Potwierdź telefonicznie. Przyszła przez telefon? Potwierdź osobiście albo na firmowym czacie. Atakujący rzadko kontrolują dwa kanały naraz.

Zapisz te pięć zasad na jednej stronie, poproś kierownictwo o podpisanie jej i włącz to do programu wdrażania nowych pracowników. Procedura, której kierownictwo wyraźnie przestrzega, jest warta więcej niż jakakolwiek wskazówka dotycząca wykrywania nieprawidłowości.

Praktyczne wskazówki: przygotowanie pracowników na incydenty typu deepfake

Oto jak organizacje mogą rozpocząć przygotowania już dziś:

• Kampanie uświadamiające z prawdziwymi przykładami: Pokaż pracownikom rzeczywiste przykłady deepfake’ów. Porównanie prawdziwych i sfałszowanych filmów pomaga rozwinąć zdrowy sceptycyzm. Kluczem do sukcesu jest tu powtarzanie. Coroczne szkolenie zapomina się już po kilku tygodniach.
• Naucz umiejętności wykrywania: Przeszkol personel w wykrywaniu subtelnych niespójności (np. niedopasowanych ruchów warg, dziwnego oświetlenia, monotonnych głosów).
• Zdefiniuj jasne procedury raportowania: Pracownicy powinni wiedzieć, w jaki sposób weryfikować nietypowe żądania i zgłaszać podejrzenia bez obawy, że zostaną obarczeni winą.
• Korzystaj z narzędzi technicznych: Zapoznaj się z oprogramowaniem, które może wykrywać nośniki syntetyczne lub wdrożyć weryfikację dwuskładnikową dla poufnych żądań.

Szkolenie z zakresu świadomości zagrożeń związanych z deepfake’ami w podziale na role: kto czego potrzebuje

Ogólny moduł typu „deepfaki istnieją” niewiele zmienia. Skup się na ludziach, którzy faktycznie padają ofiarą ataków:

Finanse i zobowiązania

Sytuacje: pilne przelewy, zmiany danych bankowych dostawców, płatności związane z „poufnym przejęciem”. Ćwicz zasadę potwierdzenia i zasadę podwójnej kontroli, aż staną się dla ciebie czymś naturalnym. Przeprowadzaj co najmniej jedną symulację „klonowania głosu” na kwartał.

Kadry i płace

Scenariusze: zmiany na koncie płacowym, wdrażanie „nowych pracowników” z wykorzystaniem syntetycznych tożsamości, fałszywi kandydaci podczas rozmów kwalifikacyjnych na wideo. Przeszkol dział HR, żeby weryfikował dokumenty tożsamości na podstawie spontanicznej interakcji na żywo oraz potwierdzał zmiany na koncie za pośrednictwem drugiego kanału komunikacji.

Kierownictwo i asystenci kierownictwa

Głosy kadry kierowniczej są najczęściej naśladowane w firmie, bo ich nagrania są publiczne. Naucz asystentów, żeby traktowali każdą nietypową prośbę „od szefa” jako niepotwierdzoną, a kadrę kierowniczą – żeby bez irytacji godziła się na oddzwanianie. Ta procedura zadziała tylko wtedy, gdy kierownictwo będzie grało zgodnie z zasadami.

IT i dział pomocy technicznej

Scenariusze: prośby o zresetowanie hasła i uwierzytelniania wieloskładnikowego (MFA) zgłaszane przez „pracownika” podczas rozmowy telefonicznej, prośby o zdalny dostęp od „dostawcy”. Naruszenie bezpieczeństwa w MGM Resorts w 2023 roku zaczęło się od zgłoszenia do pomocy technicznej. Wymagaj kroków weryfikacji tożsamości, których nie da się przejść wyłącznie na podstawie głosu.

Jak zaoferować skuteczne szkolenie w security awareness deepfake security awareness

Guardey pomaga organizacjom budować ciągłą odporność cybernetyczną dzięki przyjaznym dla użytkownika, gamifikowanym szkoleniom w security awareness , które obejmują świadomość deepfake:

• Grywalizacja: Pracownicy zdobywacie punkty, odznaki i rywalizujecie w przyjaznych rankingach, dzięki czemu nauka staje się przyjemnością i pozostaje w pamięci.
• Ciągła nauka: Zamiast jednej corocznej sesji, Guardey oferuje cotygodniowe lub comiesięczne mikroszkolenia, pomagając pracownikom być na bieżąco w miarę ewolucji zagrożeń deepfake.
• Istotna treść: Guardey dostosowuje scenariusze do sektora każdego klienta, dzięki czemu lekcje są bardzo przydatne.

Ciągły, gamifikowany model Guardey zachęca pracowników do krytycznego myślenia o tym, co widzą i słyszą, budując trwałe nawyki sceptycyzmu.

→ Dowiedz się więcej o Guardey podczas demonstracji

Porównanie platform i narzędzi do szkoleń z zakresu świadomości zagrożeń związanych z deepfake’ami

Większość platform zajmujących się podnoszeniem świadomości w zakresie bezpieczeństwa ma teraz moduł poświęcony deepfake’om. Różnice dotyczą tego, jak realistyczne są symulacje, czy obejmują one zarówno głos, jak i obraz, oraz czy szkolenie ma charakter ciągły, czy jest to jednorazowy kurs.

Niezależnie od tego, jaką platformę wybierzesz, sprawdź trzy rzeczy: czy umożliwia ona symulację rozmów głosowych lub wideo (a nie tylko e-maili), czy szkolenia odbywają się na bieżąco, a nie tylko raz w roku, oraz czy możesz sprawdzić dla każdego pracownika, kto przeszedł szkolenie, a kto nie? Jeśli odpowiedź na ostatnie pytanie brzmi „nie”, nie będziesz w stanie ocenić, czy szkolenie przynosi efekty.

Lista kontrolna dotycząca świadomości zagrożeń związanych z deepfake’ami dla twojej organizacji

• Protokół weryfikacji sporządzony na piśmie, podpisany przez kierownictwo, stanowiący część procesu wdrażania nowych pracowników
• Numery do oddzwonienia dla wszystkich członków kierownictwa i pracowników działu finansowego w katalogu, z którego faktycznie korzystają pracownicy
• Hasło uzgodnione między kierownictwem, działem finansowym i asystentami wykonawczymi
• Zasada „czterech oczu” jest skonfigurowana w systemie płatności, a nie tylko w polityce firmy
• Przypisane moduły oparte na rolach: finanse, HR, kadra kierownicza, IT
• Co najmniej jeden klon głosu lub symulacja wideo na kwartał
• Kanał zgłaszania podejrzanych połączeń, który działa szybciej niż wysyłanie e-maila
• Przejrzano publiczne nagrania audio i wideo z udziałem kadry kierowniczej (to, co jest dostępne, można skopiować)
• Procedura postępowania w razie incydentu: do kogo zadzwonić w ciągu pierwszych 30 minut po podejrzeniu przesłania deepfake’a
• Śledzone wskaźniki: wskaźnik weryfikacji w symulacjach, czas do zgłoszenia, brak ukończenia kursu

Często zadawane pytania

Czym jest szkolenie z zakresu świadomości zagrożeń związanych z deepfake’ami?

Szkolenie, które uczy pracowników, jak głos, filmy i zdjęcia generowane przez sztuczną inteligencję są wykorzystywane do oszustw, oraz przedstawia zasady weryfikacji, których powinni przestrzegać przed podjęciem jakichkolwiek działań w odpowiedzi na prośbę, która wydaje się pochodzić od znanej osoby.

Czy jest jakiś kurs o deepfake’ach dla pracowników?

Tak. Większość platform zajmujących się świadomością bezpieczeństwa oferuje moduł lub kurs poświęcony deepfake’om; Guardey w ramach cotygodniowych wyzwań porusza tematy deepfake’ów, vishingu i oszustw typu „CEO fraud”, a także prowadzi szkolenia z zakresu świadomości sztucznej inteligencji. Samodzielny kurs to dobry początek, ale jednorazowe szkolenia zapomina się już po kilku tygodniach. To właśnie ciągłe, krótkie szkolenia z symulacjami zmieniają zachowanie.

Czym jest szkolenie z zakresu phishingu z wykorzystaniem deepfake’ów?

Szkolenie połączone z symulacjami, podczas których pracownicy otrzymują realistyczne, ale nieszkodliwe połączenia typu deepfake, wiadomości głosowe lub zaproszenia wideo, dzięki czemu możesz sprawdzić, kto weryfikuje informacje, a kto podejmuje działania.

Jak często należy szkolić pracowników w zakresie deepfake’ów?

Krótkie treści co miesiąc, a dla stanowisk wysokiego ryzyka symulacje przynajmniej co kwartał. Techniki deepfake zmieniają się tak szybko, że moduł roczny jest już nieaktualny, zanim jeszcze zostanie ukończony.

Wniosek: działaj teraz, aby pozostać na czele

Deepfakes to już nie science fiction. Na prawo i lewo cyberprzestępcy próbują nakłonić pracowników do zrobienia rzeczy, które mogą zaszkodzić finansom lub reputacji Twojej organizacji. Inwestowanie w cykliczne szkolenia jest jedyną opcją przygotowania Twoich pracowników.