W 2026 roku cyberprzestępcy nie muszą już wysyłać maili z podejrzanymi linkami. Teraz dzwonią do Ciebie z głosem szefa prosząc o pilny przelew albo wysyłają nagranie wideo, na którym współpracownik potwierdza fałszywą transakcję. Deepfake i vishing to zaawansowane ataki, które wykorzystują sztuczną inteligencję do naśladowania głosu i obrazu bliskich osób. Od niedawna staje się to prawdziwym zagrożeniem – jedna zła decyzja może kosztować Cię tysiące złotych.
Ten artykuł pokaże Ci, jak działają te oszustwa, na co zwracać uwagę i jak się chronić. Omówimy realne przykłady z Polski i świata, praktyczne testy rozpoznawania deepfake oraz proste procedury, które wdrożysz już dziś. Zrozumiesz też, dlaczego tradycyjne antywirusy już nie wystarczają.
Co to jest Deepfake i dlaczego stał się bronią cyberprzestępców?
Deepfake to technologia oparta na sztucznej inteligencji, która tworzy fałszywe nagrania wideo lub audio tak realistyczne, że trudno je odróżnić od prawdziwych. Wystarczy kilka sekund nagrania głosu szefa z firmowego spotkania czy wideo opublikowanego na LinkedIn, a AI wygeneruje przekonujące „pilne polecenie”. W 2026 roku narzędzia do tworzenia deepfake są dostępne za darmo w aplikacjach mobilnych – oszuści potrzebują tylko Twojego numeru telefonu i kilku próbek głosu.
W małych firmach deepfake jest szczególnie groźny, bo pracownicy i właściciele JDG często działają całkowicie samodzielnie. Nie ma IT, które zweryfikuje podejrzane żądanie. Według raportów z 2025 roku, ataki głosowe z deepfake wyłudziły już miliony złotych od europejskich firm, w tym polskich przedsiębiorstw. Oszuści celują w głównie w księgowe, menedżerów i właścicieli – wszystkich, którzy mają dostęp do konta firmowego.
Vishing – phishing przez telefon ewoluuje w erze AI
Vishing (voice phishing) to starszy brat klasycznego phishingu (o którym możesz poczytać w tym artykule), ale w wersji głosowej. Zamiast maila dostajesz telefon od „dyrektora” z prośbą o natychmiastowy przelew na „pilną inwestycję”. W 2026 roku vishing napędza deepfake – głos brzmi identycznie jak prawdziwy, a presja czasu uniemożliwia sprawdzenie.
Typowy scenariusz w małej firmie: wtorek, 14:30. Dzwoni „szef z delegacji” (głos sklonowany z nagrania z Teams) i mówi: „Jacek jest na urlopie, zrób przelew 25 tys. zł na konto podwykonawcy z ostatniego zlecenia. Szybko, bo tracimy kontrakt!”. Pracownik loguje się do banku i… traci pieniądze. Takie ataki trwają średnio 2-3 minuty i kończą się sukcesem w około 30% przypadków.
Realne przykłady ataków z Polski i świata
-
-
- Hongkong, 2024: Pracownik działu finansowego uwierzył w wideokonferencję z „dyrektorem finansowym” i innymi menedżerami, którzy okazali się perfekcyjnymi deepfake’ami audio/wideo, po czym wykonał 15 przelewów na łączną kwotę ok. 25 mln dolarów w ciągu jednego dnia. Sprawcy wykorzystali publicznie dostępne nagrania kadry, by odtworzyć głosy i twarze, a „pilny, poufny przelew” został początkowo uznany za podejrzany – dopiero fałszywa wideorozmowa przełamała czujność ofiary.
- Singapur, 2025: Dyrektor finansowy międzynarodowej firmy niemal przelał ok. 499 tys. dolarów, po tym jak podczas wideokonferencji na Zoomie został zmanipulowany przez deepfake’owe postaci podszywające się pod CEO i kadrę zarządzającą. Wygenerowane przez AI wideo i audio były na tyle przekonujące, że CFO uznał polecenia przelewu za autentyczne i zainicjował transakcję na konto kontrolowane przez przestępców, którą ostatecznie udało się w dużej części zablokować.
- Polska, 2025: Krzysztof Zdanowski, założyciel warszawskiej firmy Summa Linguae, padł ofiarą zaawansowanego ataku deepfake, w którym oszuści perfekcyjnie podrobili jego głos i wizerunek, po czym zalogowali się na firmowego Teamsa i podczas rozmowy wideo nakłonili pracownicę w USA do wykonania dwóch przelewów na łączną kwotę ok. 500 tys. dolarów . Część środków udało się odzyskać dzięki błyskawicznej reakcji i kontaktom biznesowym, a paradoksem tej historii jest fakt, że dane do trenowania modeli AI użytych w ataku mogły pochodzić z materiałów dostarczanych właśnie przez Summa Linguae na potrzeby rozwoju zaawansowanych systemów sztucznej inteligencji.
-
Jak rozpoznać Deepfake audio? 5 kluczowych sygnałów
AI nie jest jeszcze doskonałe. To pomoże Ci wychwycić fałsz już w 30 sekund rozmowy:
- Nienaturalne pauzy: Głos „zacinają się” na spółgłoskach (np. „prze-przelew”) albo zbyt płynnie – bez normalnych oddechów.
- Tło bez echa: Prawdziwy głos z biura ma pogłos. Deepfake często brzmi jak w studiu.
- Zmiany tempa: Szef mówi wolniej/szybciej niż zwykle? AI ma problem z naturalną modulacją.
- Brak emocji: Głos „szefa” jest zbyt spokojny pod presją czasu – prawdziwy by się denerwował!
- Test z pytaniem: Zadaj pytanie o prywatny szczegół: „Pamiętasz, co zjedliśmy na wigilii firmowej?”. AI tego nie wie.
Najważniejsze: Jeśli nie jesteś pewien, czy rozmawiasz z prawdziwą osobą, skontaktuj się z nią inną drogą, np. telefonicznie lub na innym komunikatorze.
Jak rozpoznać Deepfake wideo? Sygnały wizualne
Wideo deepfake wygląda z miesiąca na miesiąc coraz lepiej, ale wciąż popełnia błędy. Oto, na co warto zwrócić uwagę:
-
Nienaturalne ruchy twarzy i oczu: sztywna mimika, dziwne mruganie (za rzadko, nieregularnie), oczy jakby „nie patrzyły” dokładnie tam, gdzie powinny.
-
Usta niespójne z mową: ruch warg minimalnie „spóźniony” lub „wyprzedzający” głos, szczególnie przy trudniejszych słowach.
-
Nienaturalne oświetlenie: inne światło na twarzy niż na reszcie sceny, dziwne cienie, poświaty wokół głowy.
-
Artefakty i „glitche”: rozmycia na krawędziach twarzy, skaczące piksele, zmiany tekstury skóry między klatkami.
-
Problemy z detalami: kolczyki, okulary, włosy czy zęby wyglądające inaczej między ujęciami, asymetryczna twarz, „pływające” elementy.
5 prostych zasad chroniących Twoją firmę przed Vishingiem
Wdrożenie tych reguł zajmie 15 minut, a uratuje finanse firmy:
- Drugie źródło kontaktu: Żadne pilne przelewy bez potwierdzenia drugim kanałem komunikacji(SMS/mail z innego konta).
- Zasada „Zawsze weryfikuj”: Za każdym razem gdy chodzi o przelew, zapytaj drugą osobę o coś, czego AI nie może wiedzieć.
- Zaufany kanał komunikacji: Ustalcie, że w ważnych sprawach będziecie kontaktować się tylko jedną wybraną bezpieczną, szyfrowaną formą kontaktu.
- Szkolenie 15-minutowe: Raz na kwartał sprawdźcie i omówcie przykłady deepfake (jest masa na YouTube).
- Zabezpiecz kluczowe konta: Zadbaj o odpowiednia uprawnienia kont dla siebie i pracowników – nie twórz jednego konta „dla wszystkich od wszystkiego”.
Procedura anty-vishing krok po kroku
- Dzwoni „szef” z prywatnego numeru? Powiedz: „Dobrze, oddzwaniam na Pana służbowy numer.”
- Sprawdź w kalendarzu firmowym, czy szef naprawdę jest na „delegacji”.
- Dalej nie masz pewności? Zapytaj o to, o czym np. rozmawialiście wczoraj podczas porannej kawy.
- Zadzwoń na inny numer do współpracownika i potwierdź żądanie.
- Przelew tylko po widocznym loginie w systemie bankowym (nie udostępniaj ekranu).
Konsekwencje prawne dla firm po udanym ataku
Wyłudzony przelew to nie tylko strata finansowa. W Polsce:
- Art. 296 KK: Nadużycie zaufania – do 10 lat więzienia dla pracownika, który nie zweryfikował żądania.
- NIS2 (2026): Obowiązek raportowania incydentów bezpieczeństwa w 24h pod karą 2% obrotu.
- Ubezpieczenie OC: Wyklucza straty z „błędów ludzkich” bez procedur anty-phishingowych.
Firma bez polityki anty-vishing ryzykuje nie tylko pieniądze, ale i reputację oraz problemy z prawem.
