Мошенничество от имени руководителя с ИИ: как защитить компанию от дипфейков

Звонит начальник. Голос звучит знакомо, слышны даже его характерные паузы. Он просит срочно перевести деньги новому поставщику или сменить номер счёта, потому что «бухгалтер в отпуске, а дело не может ждать». Сегодня такой голос можно подделать с помощью ИИ, поэтому узнавание по голосу перестало быть доказательством.

В этой статье Вы найдёте простую процедуру для малой компании. Она состоит из проверочного пароля, обратного звонка на известный номер, правила двух человек при переводах и короткого обучения команды. Внедрить её можно за полдня, без покупки специальных программ.

Как выглядит мошенничество «от имени руководителя» с ИИ

Схема старая, меняется только инструмент. Мошенник выдаёт себя за человека, которому сотрудник доверяет: владельца, совладельца, директора или бухгалтера. Сегодня вместо письма с поддельного адреса он может прислать голосовое сообщение в мессенджере или позвонить голосом, который имитирует реального человека.

Материал для подделки голоса часто лежит в сети: видео на сайте компании, запись с мероприятия или пост в профиле в социальных сетях. Я не утверждаю, что любой голос можно подделать идеально. Но достаточно, чтобы разговор был коротким, а в трубке был шум, и давление времени сработает.

Типичные просьбы выглядят так:

• срочный перевод на новый счёт, «потому что сделка срывается»,
• смена номера счёта поставщика в очередном счёте-фактуре,
• покупка подарочных карт или пополнений и отправка кодов,
• просьба сообщить коды из SMS или дать доступ к интернет-банку,
• «только никому не говори, это конфиденциальная сделка».

Как понять, что что-то не так

Голос может быть очень убедительным, поэтому не оценивайте звучание. Оценивайте обстоятельства. У мошенничества почти всегда есть несколько общих черт:

1. Спешка. «Мне это нужно в течение часа».
2. Секретность. «Никому не говори, даже бухгалтеру».
3. Необычный канал. Начальник пишет с нового номера или из мессенджера, через который никогда не давал поручений.
4. Новый счёт или новый получатель. Вы впервые видите эту компанию или этот номер счёта.
5. Обход обычной процедуры. Обычно начальник просит счёт-фактуру, а теперь у него «нет времени».

Если совпадают два пункта из пяти, прервите разговор и примените процедуру ниже. Не обязательно точно знать, что это мошенничество. Достаточно того, что нет уверенности, что это не мошенничество.

Шаг 1: установите проверочный пароль

Проверочным паролем служит слово или короткий вопрос, который знают только люди, уполномоченные давать финансовые поручения. Мошенник, даже с хорошим голосом, его не знает.

Правила, которые повышают эффективность:

• договоритесь о нём устно, на встрече, а не по e-mail или в мессенджере,
• выберите то, что нельзя найти в сети, то есть не кличку собаки и не название улицы,
• вопрос с ответом лучше одного слова, потому что его труднее угадать,
• меняйте его раз в несколько месяцев и после каждого изменения в составе команды,
• правило простое: без пароля перевода нет, даже если звонит сам владелец.

Владельцу не стоит на это обижаться. Это работает в его пользу, потому что защищает и его деньги.

Шаг 2: перезвоните на известный номер

Пароля недостаточно, если он утечёт или кто-то его подслушает. Второй уровень защиты: обратный звонок. Вы кладёте трубку и звоните на номер, который давно у Вас записан: с визитки, из договора или из собственной адресной книги.

Чего не делать:

• не перезванивайте на номер, с которого только что звонили,
• не нажимайте «перезвонить» в сообщении,
• не используйте номер, указанный в том же сообщении.

Если начальник не отвечает, напишите на известный адрес e-mail или попросите кого-нибудь, кто находится рядом. Если дело действительно срочное, начальник позвонит ещё раз. Если это мошенник, он исчезнет или начнёт давить. Это тоже информация.

Шаг 3: правило двух человек при переводах

Самая надёжная защита та, при которой один человек не может отправить деньги в одиночку. В малой компании достаточно простой версии:

• один человек готовит перевод,
• второй утверждает его после проверки счёта-фактуры и номера счёта,
• при новом получателе или смене номера счёта добавляется звонок контрагенту на номер из старого договора или с его сайта,
• пороги установите самостоятельно: с какой суммы правило действует всегда.

Многие банки в корпоративном интернет-банке позволяют настроить две подписи или лимит для одного человека. Загляните в настройки своего банка или спросите консультанта. Если в компании работает один человек, роль второго может выполнять бухгалтер или доверенное лицо, которое получает от Вас уведомления о переводах выше установленной суммы.

Подмена номера счёта в счёте-фактуре представляет собой отдельный и очень частый случай. Я описываю его в статье о подмене номера банковского счёта в счёте-фактуре: там есть процедура для бухгалтерии и план на первый час после перевода.

Шаг 4: короткое обучение команды

Процедура без разговора с людьми не сработает. Достаточно 15–20 минут раз в несколько месяцев. На встрече:

1. Расскажите, как работает мошенничество, и включите команде несколько примеров записей из интернета, чтобы она услышала, насколько реалистично звучит искусственный голос.
2. Покажите пять сигналов из этой статьи.
3. Отработайте сценарий: «звонит начальник, хочет перевод на новый счёт». Что Вы делаете шаг за шагом?
4. Скажите прямо, что у каждого есть право и обязанность проверить поручение, в том числе от владельца.
5. Определите, к кому обращаться при сомнениях.

Самая важная фраза, которую должен услышать каждый сотрудник: «Никто не будет в претензии к Вам за то, что Вы проверили поручение, даже если оно оказалось настоящим».

Что делать, если перевод уже ушёл

Больше всего зависит от первых минут. Действуйте в таком порядке:

1. Позвоните в банк на горячую линию по номеру, указанному в приложении или на сайте банка. Скажите, что подозреваете мошенничество, и попросите попытаться остановить или отозвать перевод.
2. Сохраните доказательства: скриншоты, записи разговоров, голосовые сообщения, номера телефонов, время и содержание счетов-фактур. Ничего не удаляйте.
3. Сообщите в полицию, приложив собранные материалы.
4. Сообщите об инциденте в CERT Polska (польская группа реагирования на компьютерные инциденты) через форму на сайте incydent.cert.pl. Такие сообщения помогают предупреждать другие компании.
5. Предупредите команду и контрагентов, что кто-то выдаёт себя за Вашу компанию. Тот же мошенник может позвонить следующему человеку.
6. Если мошенник получил пароли или доступ к учётным записям, смените пароли и включите двухэтапную аутентификацию.

Я не обещаю, что банк всегда успеет остановить деньги. Чем быстрее Вы позвоните, тем больше шанс.

Уменьшите количество материала для мошенника

Мошенник обычно готовится: выясняет, кто начальник, кто делает переводы и как компания общается с клиентами. Часть этой информации мы публикуем сами. Это стоит ограничить:

• не указывайте на сайте личные номера телефонов и полную структуру компании с финансовыми должностями,
• не публикуйте внутренние документы и образцы счетов-фактур с платёжными реквизитами,
• следите за формами и почтовыми ящиками на сайте: спам и взломы часто предшествуют тому, что кто-то выдаёт себя за компанию,
• включите для корпоративной почты SPF, DKIM и DMARC, чтобы затруднить подделку адреса отправителя (я описываю это в статье о письмах в спаме),
• после любых изменений в компании проверьте, у кого есть доступ к интернет-банку и почтовым ящикам.

Если хотите проверить, насколько защищён Ваш сайт, начните с бесплатного инструмента «Проверить сайт»: примерно за 30 секунд Вы увидите, что улучшить в безопасности и в почте на домене.

Чек-лист для печати

• [ ] Мы договорились о проверочном пароле устно.
• [ ] Каждый перевод новому получателю мы подтверждаем звонком на известный номер.
• [ ] Переводы выше установленной суммы утверждают два человека.
• [ ] Команда прошла 15-минутное обучение.
• [ ] Каждый знает, кому сообщить, если что-то вызывает сомнения.
• [ ] Номер банка и адрес incydent.cert.pl у нас на видном месте.
• [ ] Мы включили двухэтапную аутентификацию в интернет-банке и почте.

Итог

Голос начальника в трубке перестал быть доказательством личности. Проверочный пароль, обратный звонок на известный номер и правило двух человек стоят минуту, но могут уберечь компанию от потери денег на зарплаты за целый месяц.

Если хотите проверить защиту сайта и сервера компании, я проведу для Вас аудит безопасности, а при необходимости защищу сервер и приложение. Напишите мне, я отвечаю в течение 24 часов, а новые клиенты получают скидку 20% на первый заказ.