Deepfake i phishing z AI — jak mała firma może się bronić

Dlaczego phishing nagle stał się skuteczniejszy

Przez lata najlepszym filtrem antyphishingowym był zdrowy rozsądek: fałszywy mail zdradzały literówki, dziwna składnia i „Szanowny Panie/Pani" w nagłówku. Ten filtr przestał działać. Mail napisany przez AI jest gramatycznie bezbłędny, utrzymany w naturalnym tonie i potrafi nawiązać do prawdziwych szczegółów — nazwy Twojego kontrahenta, projektu, nad którym pracujesz, albo wydarzenia z profilu firmowego na Facebooku.

Do tego doszło klonowanie głosu. Wystarczy krótka próbka — nagranie z rolki na Instagramie, wystąpienie na YouTube, wiadomość głosowa — żeby wygenerować wypowiedź brzmiącą jak konkretna osoba. Oszust nie musi znać się na technologii, bo narzędzia są tanie i proste w obsłudze. Nie piszę tego, żeby Cię straszyć. Piszę, bo obrona jest prostsza, niż się wydaje — tylko trzeba ją ustawić zanim ktoś zadzwoni.

Cztery scenariusze, które naprawdę się zdarzają

Ataki z użyciem AI w małych firmach nie wyglądają jak w filmach. Wyglądają jak zwykły dzień pracy, w którym coś jest odrobinę pilniejsze niż zwykle:

• Telefon od „szefa". Księgowa albo pracownik biura odbiera połączenie. Głos brzmi jak właściciel firmy: „Jestem u klienta, nie mogę rozmawiać, zrób pilny przelew na to konto, wyślę Ci dane SMS-em". Presja czasu + znajomy głos = klasyczny schemat, tylko teraz głos jest sklonowany.
• Faktura z podmienionym numerem konta. Mail wygląda jak korespondencja od stałego dostawcy — czasem to wręcz przejęty, prawdziwy wątek mailowy. Zmienia się jedno: numer rachunku na fakturze. Płacisz jak co miesiąc, pieniądze idą do oszusta.
• Mail „z banku" albo „od urzędu". Bez błędów, z poprawnym logo, z linkiem do strony logowania, która wygląda identycznie jak prawdziwa. Cel: Twój login, hasło i kod z SMS-a.
• Fałszywy profil firmy. Ktoś zakłada stronę lub profil społecznościowy podszywający się pod Twoją markę — zbiera zaliczki od Twoich potencjalnych klientów albo wyłudza dane. Ty dowiadujesz się ostatni, zwykle od zdezorientowanego klienta.

Wspólny mianownik wszystkich czterech: pośpiech i prośba o pieniądze lub dane. To jest właśnie punkt zaczepienia dla obrony.

Obrona procesowa — ważniejsza niż technologia

Najskuteczniejsze zabezpieczenia w małej firmie nie kosztują nic. To umowy, które zawierasz z zespołem (i z samym sobą), zanim cokolwiek się wydarzy:

• Weryfikacja drugim kanałem. Każda prośba o przelew, zmianę numeru konta albo przekazanie danych — niezależnie od tego, kto prosi — jest potwierdzana innym kanałem niż ten, którym przyszła. Dostałeś mail? Zadzwoń. Dostałeś telefon? Rozłącz się i oddzwoń na numer, który masz zapisany w kontaktach, nie na ten, z którego dzwoniono.
• Zasada czterech oczu. Przelewy powyżej ustalonej kwoty zatwierdzają dwie osoby. W jednoosobowej firmie odpowiednikiem jest zasada „śpię z tym do jutra" — pilność to narzędzie oszusta, prawie nic w księgowości nie jest naprawdę pilne.
• Limity w banku. Ustaw dzienny limit przelewów na poziomie, którego normalnie nie przekraczasz. Podniesienie limitu wymaga logowania i chwili namysłu — i dokładnie o tę chwilę chodzi.
• Hasło bezpieczeństwa. Ustal z zespołem (i z rodziną — te same ataki dotykają prywatnych kont) słowo lub pytanie kontrolne, którego nie da się wyczytać z internetu. Jeśli „szef" dzwoni z pilną prośbą i nie zna hasła, rozmowa się kończy.
• Szkolenie na przykładach. Raz na kwartał pokaż zespołowi prawdziwe przykłady ataków — najlepiej takie, które przyszły na Waszą skrzynkę. Piętnaście minut rozmowy „co byś zrobił?" działa lepiej niż regulamin, którego nikt nie czyta.

Żaden z tych punktów nie wymaga informatyka. To procedury — takie same, jakie opisywaliśmy przy okazji wdrażania agentów AI w firmie: technologia robi swoje, ale to jasno ustalony proces decyduje, czy pieniądze wychodzą z konta.

Techniczne minimum — po ludzku

Gdy procedury już działają, domknij trzy rzeczy techniczne. Wszystkie są tanie albo darmowe:

• 2FA wszędzie. Dwuskładnikowe logowanie (hasło + kod z aplikacji) włącz na poczcie, w banku, w mediach społecznościowych i w panelach, z których zarządzasz firmą. Poczta jest najważniejsza — kto przejmie Twój mail, ten zresetuje hasła do wszystkiego innego.
• Menedżer haseł. Jedno mocne hasło główne, resztę generuje i pamięta program. Bonus, o którym mało kto mówi: menedżer nie podstawi hasła na podrobionej stronie logowania, bo adres się nie zgadza — czyli wyłapuje phishing za Ciebie.
• SPF, DKIM i DMARC na Twojej domenie. Jednym zdaniem: to trzy wpisy w ustawieniach domeny, które mówią serwerom pocztowym „maile z mojej firmy wychodzą tylko stąd — resztę odrzucaj". Utrudniają oszustom podszywanie się pod Twój adres w mailach do Twoich klientów. Konfiguruje się je raz; jeśli masz stronę i pocztę we własnej domenie, poproś o to osobę, która nią administruje — przy stronach, które prowadzimy, ustawiamy to standardowo.

Jeżeli w firmie działają automatyzacje albo AI obsługuje klientów, dopilnuj też zasad dostępu do danych — pisaliśmy o tym szerzej w tekście o RODO i AI w obsłudze klienta.

Coś poszło nie tak? Plan na pierwszą godzinę

Jeśli przelew już wyszedł albo ktoś wpisał hasło na fałszywej stronie, liczy się kolejność działań, nie szukanie winnych:

• Bank — natychmiast. Zadzwoń na infolinię i zgłoś próbę oszustwa. Poproś o zablokowanie transakcji lub procedurę reklamacyjną; im szybciej, tym większa szansa na zatrzymanie pieniędzy. Zablokuj też kanały płatności, jeśli wyciekły dane logowania.
• CERT Polska. Incydent zgłosisz przez formularz na cert.pl, a podejrzanego SMS-a przekażesz bezpłatnie na numer 8080. To nie biurokracja — dzięki zgłoszeniom fałszywe strony trafiają na listę ostrzeżeń i są blokowane u operatorów.
• Policja. Oszustwo to przestępstwo — złóż zawiadomienie. Protokół przyda się też w rozmowach z bankiem i ubezpieczycielem.
• Hasła i dostępy. Zmień hasło do poczty i do wszystkiego, co było powiązane z wyciekiem. Włącz 2FA tam, gdzie jeszcze go nie było. Poinformuj zespół — ten sam atak często wraca innymi drzwiami.

I jedno ważne zdanie do wypowiedzenia na głos w zespole: za zgłoszenie wpadki nikt nie zostanie ukarany. Firmy tracą najwięcej wtedy, gdy pracownik boi się przyznać i incydent wychodzi na jaw po tygodniu.

Podsumowanie — jeden krok do zrobienia dziś

Nie musisz wdrażać wszystkiego naraz. Kolejność, która ma sens: najpierw zasada drugiego kanału i hasło bezpieczeństwa (dziś), potem 2FA i menedżer haseł (w tym tygodniu), na końcu SPF/DKIM/DMARC i limity w banku (w tym miesiącu). Spokojnie, po kolei — każdy z tych kroków samodzielnie zatrzymuje większość opisanych ataków.

Do zrobienia dziś: ustal z zespołem — albo z rodziną — hasło bezpieczeństwa i zasadę „prośba o pieniądze = oddzwaniamy na znany numer". Zajmie to pięć minut przy kawie, a to właśnie ta procedura zatrzymuje sklonowany głos „szefa" w miejscu, w którym technologia jest bezradna.

Najczęstsze pytania

Czytaj też

← wszystkie wpisy