20 sie 2026

Prezesie, proszę pilnie zatwierdzić przelew. Głos brzmi dokładnie jak głos członka zarządu. To deepfake.

Prezesie, proszę pilnie zatwierdzić przelew. Głos brzmi dokładnie jak głos członka zarządu. To deepfake
Prezesie, proszę pilnie zatwierdzić przelew. Głos brzmi dokładnie jak głos członka zarządu. To deepfake !!!

„PREZESIE, PROSZĘ PILNIE ZATWIERDZIĆ PRZELEW”. GŁOS BRZMI DOKŁADNIE JAK GŁOS CZŁONKA ZARZĄDU. TO DEEPFAKE.

Telefon.

Znany numer.

Znajomy głos.

Pilne polecenie:

„Proszę natychmiast zatwierdzić przelew. Nie mamy czasu.”

Jeszcze kilka lat temu znajomy głos mógł być dodatkowym potwierdzeniem tożsamości rozmówcy.

Dziś już nie.

Deepfake w banku może być wykorzystany do stworzenia bardzo przekonującego nagrania głosu, obrazu lub wiadomości imitującej Prezesa, Członka Zarządu, pracownika albo kontrahenta.

W praktyce oznacza to jedno:

głos, obraz i poprawnie napisana wiadomość nie mogą być jedynym dowodem autentyczności polecenia.

Bank powinien traktować deepfake nie tylko jako zagrożenie techniczne, ale również jako ryzyko operacyjne związane z autoryzacją decyzji, płatności i dostępu.

Deepfake w banku zmienia zasady socjotechniki

Klasyczny phishing często zdradzał się błędami językowymi, nietypową treścią albo podejrzanym adresem.

AI coraz częściej eliminuje te sygnały.

Atak może być:

  • poprawny językowo,
  • dopasowany do stanowiska pracownika,
  • oparty na prawdziwych nazwiskach,
  • osadzony w kontekście bieżących spraw banku,
  • wykonany głosem przypominającym konkretną osobę.

Najważniejsze pytanie nie powinno więc brzmieć:

„Czy ten głos brzmi prawdziwie?”

ale:

„Czy polecenie zostało potwierdzone zgodnie z procedurą?”

Presja czasu to jeden z najważniejszych sygnałów ostrzegawczych

Atakujący chce ograniczyć czas na zastanowienie.

Dlatego pojawiają się komunikaty:

„Pilne.”

„Zrób to teraz.”

„Nie dzwoń do nikogo.”

„To decyzja Zarządu.”

„Sprawa jest poufna.”

Połączenie autorytetu i presji czasu może spowodować, że pracownik ominie standardową procedurę.

Właśnie dlatego procedura powinna działać również wtedy, gdy polecenie pochodzi rzekomo od Prezesa.

Drugi kanał powinien być standardem

Jednym z najskuteczniejszych mechanizmów obrony jest potwierdzenie polecenia niezależnym kanałem.

Przykład:

Pracownik otrzymuje telefon z poleceniem pilnego przelewu.

Nie oddzwania na numer podany przez rozmówcę.

Kontaktuje się z osobą wydającą polecenie przez wcześniej znany i niezależny kanał.

Dopiero wtedy wykonuje dalsze działania.

Prosta zasada:

ważne polecenie → drugi kanał → potwierdzenie → wykonanie

może zatrzymać bardzo zaawansowany atak.

Zasada czterech oczu nadal ma ogromne znaczenie

Im większe ryzyko operacji, tym trudniej powinno być jej wykonanie przez jedną osobę.

Warto stosować:

  • limity kwotowe,
  • podwójną autoryzację,
  • rozdział obowiązków,
  • niezależne potwierdzenie nietypowej dyspozycji,
  • dodatkową weryfikację zmian rachunku odbiorcy.

Deepfake nie powinien umożliwiać obejścia tych mechanizmów.

Jeżeli procedura jest zawieszana tylko dlatego, że „Prezes dzwoni osobiście”, to właśnie tę słabość może wykorzystać atakujący.

Co powinien zrobić pracownik?

Jeżeli pojawia się choć cień wątpliwości:

zatrzymać operację.

Następnie:

  • zweryfikować polecenie drugim kanałem,
  • nie wykonywać kolejnych instrukcji atakującego,
  • zabezpieczyć wiadomość lub dane połączenia,
  • zgłosić zdarzenie zgodnie z procedurą,
  • przekazać informację do IT, SOC lub ABI.

Najważniejsza zasada:

lepiej zatrzymać prawidłową operację na kilka minut niż wykonać fałszywą dyspozycję nieodwracalnie.

Co robi SOC, IT i ABI po zgłoszeniu?

Zgłoszenie nie powinno kończyć się stwierdzeniem:

„to był tylko podejrzany telefon”.

Należy sprawdzić:

  • czy podobne próby otrzymali inni pracownicy,
  • czy doszło do przejęcia skrzynki pocztowej,
  • czy atakujący posiada informacje wewnętrzne,
  • czy używany jest prawdziwy numer lub spoofing,
  • czy pojawiły się podobne wiadomości,
  • czy należy ostrzec innych pracowników.

Jedna próba może być elementem większego ataku.

Najlepszy test? Spróbować oszukać własną procedurę

Krótki test socjotechniczny może pokazać więcej niż wielostronicowa instrukcja.

Scenariusz może być prosty:

„Członek Zarządu pilnie prosi o wykonanie nietypowej operacji.”

Następnie sprawdzamy:

  • czy pracownik zatrzymał działanie,
  • czy zastosował drugi kanał,
  • czy uruchomił zasadę czterech oczu,
  • czy zgłosił próbę,
  • czy informacja trafiła do właściwych osób.

Nie chodzi o „złapanie” pracownika.

Chodzi o sprawdzenie, czy procedura działa pod presją.

Podsumowanie

Deepfake zmienia jedną z podstawowych zasad zaufania:

znajomy głos nie oznacza już pewnej tożsamości.

Bank powinien więc budować bezpieczeństwo na procesie, a nie na intuicji pracownika.

Najprostszy model:

STOP → WERYFIKACJA → DRUGI KANAŁ → POTWIERDZENIE → DECYZJA

Jeżeli procedura działa również wtedy, gdy rzekome polecenie wydaje Prezes, bank jest znacznie trudniejszym celem.

Pytania i odpowiedzi

Czy deepfake głosowy może brzmieć jak konkretna osoba?

Tak. Technologia pozwala tworzyć nagrania naśladujące głos konkretnej osoby, dlatego sam głos nie powinien być traktowany jako wystarczające potwierdzenie tożsamości.

Jak najlepiej potwierdzić podejrzane polecenie?

Przez niezależny, wcześniej znany kanał kontaktu, np. osobny numer telefonu lub inny zatwierdzony kanał komunikacji.

Czy zasada czterech oczu chroni przed deepfake?

Znacznie ogranicza ryzyko, ponieważ wykonanie operacji wymaga udziału kolejnej osoby i dodatkowej weryfikacji.

Co powinien zrobić pracownik, gdy podejrzewa deepfake?

Zatrzymać operację, zweryfikować polecenie drugim kanałem i zgłosić zdarzenie zgodnie z procedurą banku.

Czy deepfake dotyczy tylko przelewów?

Nie. Może być wykorzystywany do uzyskania danych, zmiany konfiguracji, resetowania haseł, zatwierdzania dostępu albo nakłaniania pracownika do wykonania innych działań.

Jak sprawdzić, czy bank jest gotowy na taki atak?

Najlepiej przeprowadzić kontrolowany test socjotechniczny i sprawdzić, czy pracownicy stosują procedury także pod presją czasu i autorytetu.

Czy pracownik Twojego banku zatrzymałby taki przelew?

To pytanie warto zadać zanim zrobi to atakujący.

Jeżeli chcesz sprawdzić, czy procedury weryfikacji poleceń, zasada czterech oczu, ścieżka zgłoszenia oraz reakcja SOC, IT i ABI rzeczywiście działają, skontaktuj się bezpośrednio ze specjalistami Servus Comp Kraków.

Pomagamy bankom spółdzielczym w:

  • przygotowaniu scenariuszy deepfake i phishing AI,
  • testach socjotechnicznych,
  • weryfikacji procedur zatwierdzania operacji,
  • projektowaniu drugiego kanału potwierdzenia,
  • budowie zasad eskalacji,
  • szkoleniach pracowników i Zarządu,
  • ocenie reakcji SOC, IT i ABI.

Servus Comp Kraków
Bezpieczeństwo • Odporność • Ryzyko ICT • Zgodność

Zapraszamy Państwa do zapoznania się z innymi wpisami na naszm blogu:

  1. Strategia ICT to za mało. KNF pyta o operacyjną odporność cyfrową Banku:

    https://premiumbank.zadbajobezpieczenstwo.pl/strategia-ict-to-za-malo-knf-pyta-o-operacyjna-odpornosc-cyfrowa-banku/

  2. Backup jest? To za mało. KNF zapyta, czy Bank potrafi się odtworzyć:
    https://premiumbank.zadbajobezpieczenstwo.pl/backup-jest-to-za-malo-knf-zapyta-czy-bank-potrafi-sie-odtworzyc-strategia-ciaglosci-dzialania-ict-po-ocenie-knf-ryzyka-ict-za-2025-r/

  3. Skan to za mało. KNF zapyta, czy Bank naprawdę testuje odporność ICT:
    https://premiumbank.zadbajobezpieczenstwo.pl/skan-podatnosci-to-nie-test-odpornosci-knf-zapyta-czy-bank-naprawde-testuje-ict/

  4. Jeden dostawca, wiele systemów, jedno duże ryzyko. KNF pyta o koncentrację ICT:
    https://premiumbank.zadbajobezpieczenstwo.pl/jeden-dostawca-wiele-systemow-jedno-duze-ryzyko-knf-pyta-o-koncentracje-ict/

  5. Audyt ZDU — czy wiesz, kogo naprawdę powinien kontrolować Bank?:
    https://premiumbank.zadbajobezpieczenstwo.pl/audyt-zdu-w-banku-spoldzielczym-jak-kontrolowac-dostawcow-zewnetrznych-zgodnie-z-dora/

  6. Zarząd musi wiedzieć. KNF zapyta, kto naprawdę nadzoruje ryzyko ICT w Banku:
    https://premiumbank.zadbajobezpieczenstwo.pl/raport-ict-do-zarzadu-knf-pyta-kto-nadzoruje-ryzyko-ict-w-banku/

  7. Znalazłeś podatność? KNF zapyta, kiedy ją usunąłeś:
    https://premiumbank.zadbajobezpieczenstwo.pl/znalazles-podatnosc-knf-zapyta-kiedy-ja-usunales-zarzadzanie-podatnosciami-ict-po-ocenie-knf-ryzyka-ict-za-2025-r/

  8. Masz procedury DORA? KNF zapyta: kiedy ostatnio naprawdę je przeczytałeś?:
    https://premiumbank.zadbajobezpieczenstwo.pl/coroczny-przeglad-dokumentacji-ict-dora-w-banku-spoldzielczym-po-ocenie-nadzorczej-knf-ryzyka-ict-za-2025-r/

  9. DORA nie zna wymówki: pracownik nie miał czasu na szkolenie:
    https://premiumbank.zadbajobezpieczenstwo.pl/szkolenia-ict-dora-po-ocenie-knf-ryzyka-ict-za-2025-r-czy-bank-przeszkolil-wszystkich-czy-tylko-ma-plan-szkolenia/

  10. Dokument jest? KNF zapyta o dowód, że działa:
    https://premiumbank.zadbajobezpieczenstwo.pl/dokument-jest-knf-zapyta-o-dowod-ze-dziala/

Zadzwoń lub napisz do Servus Comp, aby omówić temat.


Servus Comp Data Security, Świętokrzyska 12/403, 30-015 Kraków

tel. +48 608 407 668, +48 12 631 91 22 • biuro@servus-comp.pl

PODEJMIEMY DLA PAŃSTWA KAŻDE WYZWANIE!

JESTEŚ ZAINTERESOWANY? ZADZWOŃ, NAPISZ DO NAS

#Deepfake #DeepfakeWBanku #PhishingAI #BankSpółdzielczy #Socjotechnika #SztucznaInteligencja #Cyberbezpieczeństwo #FałszywePolecenie #BezpieczeństwoPrzelewów #ZasadaCzterechOczu #DrugiKanałWeryfikacji #SOC #ABI #ASI #DORA #BezpieczeństwoBanku #ServusCompKraków

Dodaj komentarz