Oszustwo typu prezes przez wideokonferencje wykorzystuje deepfake i manipulację dla wyłudzania pieniędzy od firm. Nowa metoda CEO fraud przez wideokonferencje staje się realnym zagrożeniem w dobie cyfrowej pracy zdalnej. Dowiedz się, jakie techniki stosują przestępcy i jak skutecznie zabezpieczyć się przed atakiem na zarząd w erze wideo.
Spis treści
- Czym jest oszustwo typu „Prezes” przy użyciu wideokonferencji?
- Techniki stosowane przez cyberprzestępców w nowym oszustwie
- Przykłady realnych ataków CEO Fraud przez wideokonferencje
- Sposoby ochrony przed oszustwem CEO w erze wideokonferencji
- Rola technologii deepfake w rozszerzonym oszustwie na prezesa
- Znaczenie edukacji pracowników w zapobieganiu oszustwom
Czym jest oszustwo typu „Prezes” przy użyciu wideokonferencji?
Oszustwo typu „Prezes” (CEO Fraud) przy użyciu wideokonferencji to nowa, bardziej zaawansowana odsłona znanego ataku socjotechnicznego, w którym cyberprzestępcy podszywają się pod najwyższe kierownictwo firmy – najczęściej prezesa, dyrektora finansowego lub członka zarządu – aby wyłudzić przelew, ujawnić poufne dane czy wymusić określone działania operacyjne. Tradycyjnie ataki te realizowane były głównie za pomocą e‑maila lub telefonu, natomiast w nowej wersji hakerzy wykorzystują platformy wideokonferencyjne (np. Teams, Zoom, Google Meet, Webex) oraz technologie deepfake do generowania realistycznego obrazu i głosu rzekomego przełożonego. Celem jest stworzenie maksymalnie wiarygodnej, „na żywo” sytuacji, w której pracownik ma jak najmniej czasu i przestrzeni na refleksję, weryfikację tożsamości czy konsultację z innymi osobami w organizacji. W praktyce oszuści przygotowują szczegółowy scenariusz spotkania, bazując na wcześniej zebranych informacjach o strukturze firmy, projektach, wewnętrznych procedurach i relacjach między konkretnymi osobami. Dane te pozyskują m.in. z publicznych profili w mediach społecznościowych, stron firmowych, wycieków baz danych oraz wcześniejszych kampanii phishingowych. Następnie aranżują „pilne spotkanie” online, często z zaskoczenia, pod pretekstem kryzysowej sytuacji – np. nagłej akwizycji, problemu z dużym kontraktem, blokady środków na rachunku, rozliczeń z zagranicznym partnerem czy konieczności szybkiego zabezpieczenia transakcji. Kluczowym elementem jest tu wykorzystanie wideo: pracownik nie tylko słyszy, ale również widzi osobę wyglądającą jak prezes, poruszającą ustami w synchronizacji z głosem, działającą w znajomym kontekście (np. na tle charakterystycznego biura, logo firmy, znanych przedmiotów). To radykalnie obniża czujność – ludzie ufają temu, co widzą, a dodatkowo są przyzwyczajeni do pracy zdalnej i spotkań online, więc sytuacja nie wydaje się im nienaturalna. Oszustwo typu „Prezes” przez wideokonferencje może przybierać różne formy: od krótkich, jednostronnych „odpraw”, w których rzekomy prezes wydaje jasne dyspozycje finansowe, po dłuższe spotkania, w których bierze udział kilka osób, a napastnicy konsekwentnie budują atmosferę poufności i presji czasu. Nierzadko atak jest łączony z klasycznym phishingiem – np. po spotkaniu pracownik otrzymuje e‑mail „potwierdzający” z rzekomo firmowego adresu lub wiadomość na komunikatorze wewnętrznym z instrukcją realizacji przelewu, dołączenia podpisanej umowy lub udostępnienia danych logowania. Z punktu widzenia ofiary krytyczne jest to, że interakcja odbywa się w czasie rzeczywistym – nie jest to jedynie tekst do przeczytania, który można spokojnie przeanalizować, ale stresujące, dynamiczne wydarzenie, w którym od pracownika oczekuje się natychmiastowej reakcji. Hakerzy w trakcie wideokonferencji bardzo świadomie wykorzystują mechanizmy psychologiczne: presję autorytetu (widoczna „twarz prezesa” wydająca polecenie), presję czasu (podkreślenie, że „okno transakcyjne zaraz się zamknie”, „termin decyzji mija za 15 minut”), odwoływanie się do lojalności („liczę na Ciebie, nie możemy tego puścić szerzej”) i tajemnicy („sprawa jest poufna, nie informujemy jeszcze reszty działu”). Element wideo pozwala też na manipulowanie emocjami – np. okazywanie pozornego zdenerwowania, rozczarowania, czy wręcz gniewu, co dodatkowo paraliżuje pracownika i utrudnia mu zadawanie krytycznych pytań. Zaawansowane ataki CEO Fraud na wideokonferencjach posługują się deepfake’ami w dwóch wariantach: pełnej generacji obrazu (syntetyczny awatar przypominający prezesa) lub tzw. face‑swap, gdzie na ciało innej osoby „nakłada się” twarz prezesa w czasie rzeczywistym. Wsparciem jest zmodyfikowany lub syntetyczny głos, dopasowany do nagrań oryginalnego menedżera. Co ważne, cyberprzestępcy nie zawsze muszą tworzyć w 100% perfekcyjny deepfake – w warunkach słabszego oświetlenia, nagłego „problemu z kamerą”, niskiej jakości łącza lub pretekstu w stylu „jestem w drodze, mam tylko chwilę na telefon z wideo”, wiele niedoskonałości zostaje przez ofiarę zignorowanych. Dla dodatkowego uwiarygodnienia napastnicy mogą też w tle wyświetlać podrobiony interfejs korporacyjnego systemu, prezentację ze znanym szablonem firmowym czy ekran z pozornie wewnętrznymi danymi. W efekcie powstaje bardzo przekonujący „teatr” cyberoszustwa, w którym każda scena jest starannie przygotowana, a rolą pracownika jest jedynie „zagrać” zgodnie z oczekiwaniami atakujących.
W praktyce oszustwo typu „Prezes” przy użyciu wideokonferencji obejmuje kilka charakterystycznych etapów, które odróżniają je od klasycznych prób wyłudzenia przez e‑mail. Po pierwsze, dochodzi do starannej fazy rozpoznania: przestępcy identyfikują kluczowe osoby – zarówno potencjalnego „prezesa” (osobę, pod którą będą się podszywać), jak i „cel” (np. głównego księgowego, specjalistę ds. płatności, kierownika projektu z uprawnieniami do akceptacji kosztów). Analizują publicznie dostępne nagrania wideo, wywiady, webinary, nagrania z konferencji czy wewnętrzne filmiki firmowe, aby zebrać materiał do trenowania modeli deepfake i odtworzyć sposób mówienia, gesty oraz typowe zwroty językowe danej osoby. Po drugie, wybierają odpowiedni moment – np. okres wzmożonego obciążenia finansami (koniec kwartału, zamykanie roku, finalizacja dużej umowy) lub czas, gdy prezes faktycznie przebywa w delegacji, strefie innej czasowej czy na urlopie, co utrudnia bezpośrednie potwierdzenie autentyczności rozmowy innym kanałem. Następnie aranżują samo spotkanie, korzystając z przechwyconych lub sfałszowanych kont użytkowników w firmowych systemach wideokonferencyjnych, albo wysyłając link do „zewnętrznej” platformy, rzekomo wykorzystywanej w sytuacjach awaryjnych. W zaproszeniu i w trakcie rozmowy pojawiają się szczegóły świadczące o znajomości wewnętrznych realiów – nazwy projektów, kody budżetowe, nazwiska współpracowników, co ma potwierdzić, że rozmawia się naprawdę z kimś z wewnątrz organizacji. Technicznie rzecz biorąc, wideokonferencyjna wersja CEO Fraud nie ogranicza się do samego momentu rozmowy wideo. Często jest elementem większej kampanii, w której wcześniejsze etapy obejmują infekcję skrzynki pocztowej, podmianę filtrów przekierowujących pocztę, śledzenie komunikacji z bankiem czy działem finansowym, a nawet testowe, niewielkie transakcje wykonywane pod pretekstem „sprawdzenia procedury”. W finale, podczas wideokonferencji, rzekomy prezes formalizuje dyspozycję, żądając np. wykonania szybkiego przelewu do „zagranicznego partnera”, utworzenia „tymczasowego rachunku escrow”, podania danych logowania do bankowości elektronicznej lub przesłania skanu podpisanych, ale sfałszowanych dokumentów. Charakterystyczna jest również próba odizolowania ofiary – oszuści nalegają, aby pracownik „nie angażował innych, bo to delikatna sprawa”, zabraniają dyskusji z przełożonym liniowym lub działem prawnym, a wszelkie wątpliwości kwitują stwierdzeniami typu „nie mamy czasu na biurokrację, jesteśmy pod presją z zarządu grupy”. W odróżnieniu od zwykłego maila, wideo umożliwia natychmiastowe reagowanie na pytania i opory ofiary: jeżeli pracownik zaczyna się wahać, cyberprzestępca może „prezesa” uczynić bardziej stanowczym, przemówić do lojalności („ufam właśnie Tobie”), a nawet wzbudzić poczucie winy („nie zawiedź mnie teraz”). Wszystko to sprawia, że oszustwo typu „Prezes” przy użyciu wideokonferencji jest wyjątkowo niebezpieczne: łączy wiarygodność obrazu i głosu, znajomość realiów biznesowych oraz nacisk psychologiczny w jednym, skoordynowanym ataku, który w wielu organizacjach przełamuje dotychczasowe mechanizmy obronne oparte wyłącznie na analizie wiadomości tekstowych i klasycznych procedurach weryfikacji e‑maili.
Techniki stosowane przez cyberprzestępców w nowym oszustwie
Nowa metoda oszustw typu „Prezes” realizowanych przez wideokonferencje łączy klasyczną socjotechnikę z zaawansowaną technologią deepfake oraz precyzyjnym rozpoznaniem celów, co znacząco zwiększa realizm ataku. Cyberprzestępcy rozpoczynają od długotrwałego etapu rekonesansu: śledzą profile kadry zarządzającej na LinkedIn i innych mediach społecznościowych, analizują nagrania wystąpień prezesa, wywiady w mediach, firmowe webinary, a nawet filmy z wewnętrznych wydarzeń publikowane na YouTube czy w intranecie. Na podstawie zebranych materiałów trenują modele AI do generowania realistycznego obrazu i głosu konkretnej osoby – zarówno w czasie rzeczywistym, jak i w formie przygotowanych wcześniej fragmentów wideo. Jednocześnie badają strukturę organizacyjną firmy: kto odpowiada za przelewy, kto może autoryzować transakcje, jakie procedury obowiązują przy płatnościach, z jakich systemów i dostawców płatności korzysta organizacja. Z tych informacji powstaje szczegółowy scenariusz spotkania – z określonym celem (np. pilna akwizycja, poufna inwestycja, kryzys wizerunkowy), rolami uczestników oraz listą prawdopodobnych pytań i odpowiedzi, aby zminimalizować ryzyko zdemaskowania. Istotnym elementem techniki jest też przygotowanie tzw. „legendy komunikacyjnej”: fałszywych e‑maili lub wiadomości na komunikatorach (np. Slack, Teams) wysyłanych rzekomo z konta asystenta lub działu prawnego, które zapowiadają nadchodzące „tajne” spotkanie z prezesem, podkreślają jego wyjątkową poufność i proszą o dyskrecję oraz natychmiastową dostępność. Dzięki temu ofiary są już wstępnie „ustawione” psychologicznie – nastawione na działania niestandardowe i ograniczone w gotowości do weryfikacji poleceń.
Właściwy atak w wideokonferencji opiera się na kilku skoordynowanych technikach. Po pierwsze, cyberprzestępcy wykorzystują manipulację obrazem i dźwiękiem w czasie rzeczywistym: za pomocą narzędzi face-swap nakładają wizerunek prezesa na twarz oszusta, zsynchronizowany z ruchem ust, mimiką i gestykulacją, a syntetyzowany głos – wytrenowany na prawdziwych nagraniach – imituje barwę, akcent, tempo i charakterystyczne zwroty używane przez daną osobę. Aby ukryć ewentualne artefakty deepfake, często symulują „problemy techniczne”: sztuczne opóźnienia w obrazie, słabszą rozdzielczość kamery, włączony filtr rozmycia tła, a nawet upozorowane zakłócenia dźwięku, które „usprawiedliwiają” krótsze, bardziej kategoryczne komunikaty oraz proszenie o powtórzenie czy doprecyzowanie informacji przez ofiarę. Po drugie, bardzo mocno wykorzystywana jest technika presji czasu i autorytetu. „Prezes” rozpoczyna spotkanie od podkreślenia wyjątkowości i poufności sytuacji („o tym wie tylko zarząd i wy”), przywołuje konkretne fakty z życia firmy (niedawne wyniki finansowe, nazwiska członków rady nadzorczej, nazwy projektów), przez co wydaje się wiarygodny, po czym przechodzi do komunikatu o „pilnym przelewie” lub konieczności złamania standardowych procedur „tylko tym jednym razem”. Często pojawia się narracja kryzysowa: groźba utraty strategicznego kontrahenta, kary umowne, utrata inwestora lub wizerunkowy skandal, który rzekomo można powstrzymać natychmiastową decyzją finansową. Po trzecie, oszuści stosują zaawansowaną segmentację roli ofiar: podczas spotkania obecny jest nie tylko „prezes”, ale również „prawnik”, „doradca ds. M&A” czy „zewnętrzny konsultant”, w rzeczywistości sterowani przez tę samą grupę atakujących, którzy przełączają się między różnymi kontami i profilami. Taka orkiestracja ma stworzyć iluzję normalnego, wielostronnego procesu decyzyjnego i wzmocnić presję konformizmu – pracownik finansów ma wrażenie, że jest jedyną osobą, która jeszcze „blokuje” ważną transakcję, podczas gdy wszyscy inni już się zgodzili. Kolejną techniką jest łączenie ataku wideo z wcześniejszym przejęciem skrzynek e‑mail lub kont w komunikatorach: przed, w trakcie lub tuż po wideokonferencji ofiara otrzymuje „potwierdzenie” instrukcji przelewu z prawdziwego, skompromitowanego adresu prezesa lub CFO, z załączonym „poufnym dokumentem” (np. umową, term sheet, pismem od kancelarii prawnej), który ma uwiarygodnić transakcję i dostarczyć szczegółów rachunku docelowego. Wreszcie, w celu obejścia klasycznych mechanizmów bezpieczeństwa, wykorzystywane są sugestie zastosowania „tymczasowych” lub „alternatywnych” ścieżek płatności, jak nowe konta escrow, rachunki zagranicznych spółek pośredniczących czy usługi płatnicze o uproszczonych procedurach AML, wszystko pod przykrywką „przyspieszenia” procesu i rzekomych wymogów kontrahenta. Zdarza się także, że oszuści najpierw proszą o wykonanie mniejszych, testowych przelewów, tłumacząc to formalnościami banku lub partnera biznesowego – te mikrotransakcje mają przełamać psychologiczną barierę ofiary i ugruntować w niej poczucie, że „proces już się toczy”, co utrudnia wycofanie się przy większej kwocie. Dzięki połączeniu tych technik – głębokiej personalizacji, deepfake wideo i audio, presji sytuacyjnej oraz manipulacji kanałami komunikacji – nowe oszustwo typu „Prezes” staje się wyjątkowo trudne do wykrycia w warunkach codziennej pracy zdalnej i hybrydowej.
Przykłady realnych ataków CEO Fraud przez wideokonferencje
Chociaż wiele firm niechętnie dzieli się szczegółami incydentów z obawy przed utratą reputacji, na rynku można już zidentyfikować kilka powtarzalnych scenariuszy, w których nowa metoda oszustw typu „Prezes” z wykorzystaniem wideokonferencji odegrała kluczową rolę. Jeden z modelowych przypadków dotyczył średniej wielkości spółki technologicznej, w której „prezes” wezwał dyrektora finansowego na pilne spotkanie online, argumentując koniecznością szybkiego sfinansowania przejęcia strategicznego partnera. Cyberprzestępcy wcześniej zgromadzili obszerne dane z LinkedIn, nagrań z konferencji branżowych i webinarów, aby przygotować deepfake wideo – w trakcie rozmowy ruchy ust, mimika i gestykulacja były wyjątkowo wiarygodne, a głos „prezesa” niemal nie do odróżnienia od oryginału. Scenariusz zawierał elementy poufności i presji: atakujący podkreślał, że transakcja jest objęta ścisłą tajemnicą, a ujawnienie jej w firmie może zablokować negocjacje i spowodować odpowiedzialność prawną. Na wideokonferencję zaproszono jedynie dwie osoby, co dodatkowo wzmacniało poczucie „wtajemniczenia” u dyrektora finansowego. W trakcie rozmowy „prezes” kilkukrotnie wspominał o rzekomych wcześniejszych ustaleniach zarządu i audytora, świadomie przeplatając znane fakty z fikcją, aby uwiarygodnić historię. Spotkanie zakończyło się prośbą o natychmiastowe wykonanie kilku przelewów do zagranicznych podmiotów z „tymczasowego konta powierniczego”, przy jednoczesnym żądaniu obejścia standardowej ścieżki akceptacji z uwagi na „deadline regulatora”. Dyrektor, widząc i słysząc „prezesa” na ekranie, nie uruchomił standardowych procedur weryfikacji i potwierdził płatności, które łącznie opiewały na kilka milionów euro. Dopiero po kilkunastu godzinach, gdy prawdziwy prezes wrócił z delegacji i zapytał o nietypowe księgowania, okazało się, że cała wideokonferencja była profesjonalnie przygotowanym deepfakiem. Pomimo zaawansowanych systemów antyphishingowych i segmentacji dostępu do bankowości, atak skutecznie ominął tradycyjne zabezpieczenia, ponieważ kluczowym wektorem była psychologiczna manipulacja w czasie rzeczywistym.
Inny powtarzający się scenariusz oszustw CEO Fraud przez wideokonferencje dotyczy łańcucha dostaw i presji na działy operacyjne. W jednym z głośnych, choć nieoficjalnie opisywanych przypadków w sektorze produkcyjnym, „wiceprezes ds. operacyjnych” zorganizował nagłe spotkanie online z kierownikiem logistyki oraz przedstawicielem działu zakupów, tłumacząc to rzekomym kryzysem u kluczowego dostawcy komponentów. Atakujący wcześniej włamali się na skrzynkę pocztową asystentki, z której wysłali autentycznie wyglądające zaproszenia do spotkania w służbowym kalendarzu, korzystając z poprawnego konta i szablonu komunikacji. Podczas wideokonferencji wykorzystano nie tylko deepfake twarzy, ale również symulację zakłóceń audio i „słabego łącza”, aby utrudnić uczestnikom dokładne przyjrzenie się szczegółom obrazu oraz ewentualne dopytywanie – każda próba przerwania była zbywana komentarzami o konieczności „działania zamiast dyskutowania”. Oszust przedstawił slajdy z przygotowanymi wcześniej, częściowo prawdziwymi danymi rynkowymi oraz sfałszowanymi mailami od rzekomego dyrektora fabryki w Azji, powołując się na groźbę wstrzymania produkcji. W kulminacyjnym momencie rozmowy polecił natychmiastowe uruchomienie „awaryjnej procedury zakupowej” – skierowanie wielomilionowego zamówienia i przedpłaty na nowe konto „zaufanego pośrednika”, które miało rzekomo zabezpieczyć dostawy w ciągu 48 godzin. Dział zakupów, przekonany, że uczestniczy w nadzwyczajnym kryzysowym sztabie z członkiem zarządu obecnym „na żywo” na kamerze, zignorował konieczność dodatkowej autoryzacji z działu prawnego i bezpieczeństwa. Dopiero później okazało się, że zatwierdzone w systemie ERP dane kontrahenta zostały subtelnie zmodyfikowane kilka dni wcześniej przez tego samego atakującego, który wcześniej zdobył dostęp do konta z uprawnieniami administracyjnymi poprzez spear‑phishing. W licznych raportach branżowych opisuje się także warianty CEO Fraud przez wideokonferencje skierowane bezpośrednio do działów HR lub kancelarii prawnych, gdzie podszywający się pod prezesa lub członka zarządu inicjuje rozmowę o „tajnym programie restrukturyzacji” lub „poufnej ugodzie sądowej”. W trakcie takiej rozmowy cyberprzestępca wywiera silną presję emocjonalną, podkreślając, że od natychmiastowej reakcji zależy wizerunek firmy w mediach lub przyszłość zatrudnienia wielu osób. Następnie prosi o szybkie przesłanie wrażliwych danych osobowych pracowników, skanów umów czy projektów porozumień na zewnętrzny „bezpieczny” serwer lub do kancelarii, której dane kontaktowe w rzeczywistości należą do grupy przestępczej. Dzięki zastosowaniu wideokonferencji i deepfake’a, ofiary mają iluzję bezpośredniej, „twarzą w twarz” rozmowy z przełożonym, co znacząco obniża ich czujność w porównaniu z klasycznymi mailami czy rozmowami telefonicznymi. Wzorce tych incydentów pokazują, że wideokonferencja staje się dla oszustów pełnoprawną sceną do odgrywania złożonych, wieloetapowych ról, gdzie każda pauza, westchnięcie czy spojrzenie w stronę kamery jest częścią precyzyjnie zaplanowanej manipulacji, a tradycyjne procedury bezpieczeństwa często przegrywają z silnie odczuwalną „obecnością” rzekomego prezesa.
Sposoby ochrony przed oszustwem CEO w erze wideokonferencji
Skuteczna ochrona przed nową metodą oszustw typu „Prezes” przez wideokonferencje wymaga połączenia trzech filarów: twardych procedur, technologii oraz świadomych pracowników. Podstawą jest jasny, formalny model autoryzacji decyzji i płatności, który obowiązuje niezależnie od tego, czy polecenie przychodzi mailem, telefonicznie, czy w trakcie wideospotkania. W praktyce oznacza to m.in. wprowadzenie zasady „dwóch par oczu” (four-eyes principle) przy wszystkich przelewach powyżej określonej kwoty, obowiązkowej weryfikacji telefonicznej lub przez niezależny komunikator przy niestandardowych dyspozycjach finansowych oraz ścisłego rozdzielenia ról: osoba zlecająca przelew nie może być jednocześnie osobą go autoryzującą. Niezwykle ważne jest też zdefiniowanie, że żadne „wyjątkowe okoliczności”, „pełna poufność” ani „nakaz nierozgłaszania w zespole” nie mogą znosić tych procedur – taktyka wyłączania standardowych zabezpieczeń jest kluczowym elementem scenariusza oszustów CEO. Pomocne bywa stworzenie wewnętrznej „listy czerwonych flag” dla płatności, zawierającej takie sygnały ostrzegawcze jak: nagła zmiana beneficjenta, presja na wykonanie przelewu „jeszcze dzisiaj”, omijanie systemu obiegu dokumentów, prośba o płatności w kryptowalutach lub na zagraniczne, nieznane konto oraz powoływanie się na tajne przejęcia, audyty czy przejściowe „dziury” w cash flow. W erze wideokonferencji szczególną wagę warto przywiązać do rozdzielenia kanałów komunikacji: jeśli polecenie finansowe zapada na spotkaniu online, potwierdzenie musi przejść innym, niezależnym kanałem – np. telefonem na stały, znany numer prezesa lub poprzez wewnętrzną aplikację z dodatkowym uwierzytelnieniem. Firmy, które już doświadczyły prób inżynierii społecznej, często wprowadzają dodatkowo słowa kodowe lub ustalone wcześniej pytania weryfikacyjne, o których wiedzą wyłącznie kluczowe osoby – to prosty, ale skuteczny sposób utrudniający działanie deepfake’om. Nie mniej istotne jest uporządkowanie sposobu zarządzania uprawnieniami w systemach finansowo-księgowych i bankowości elektronicznej: minimalny dostęp (zasada least privilege), regularne przeglądy uprawnień, brak kont współdzielonych, obowiązkowe logowanie wieloskładnikowe (MFA), a także oddzielenie środowiska pracy księgowości od prywatnych urządzeń pracowników, co ogranicza ryzyko infekcji używanych do ataku kont i kanałów komunikacji. Na poziomie organizacyjnym warto również uregulować publiczną ekspozycję zarządu: ograniczyć ilość szczegółowych informacji o strukturze decyzyjnej i odpowiedzialnościach na stronie WWW i LinkedIn, przemyśleć zakres publikowanych nagrań z webinarów czy konferencji, a także wdrożyć politykę obecności w mediach społecznościowych – im mniej szczegółowa mapa władzy i stylu komunikacji kadry kierowniczej jest dostępna dla wszystkich, tym trudniej przygotować wiarygodny scenariusz deepfake’owego „prezesa” na wideokonferencji.
Drugim filarem jest świadome i bezpieczne korzystanie z samych narzędzi wideokonferencyjnych, które stały się nowym polem gry dla oszustów typu CEO Fraud. Przedsiębiorstwa powinny stosować wyłącznie zaufane, firmowo zatwierdzone platformy z aktualnymi łatkami bezpieczeństwa, unikając ad hoc instalowanych aplikacji czy logowania się na prywatne konta podczas służbowych spotkań. Standardem powinno być stosowanie firmowych kont użytkowników z silnym MFA, włączanie poczekalni (waiting room) i ograniczenie możliwości dołączania do spotkania wyłącznie do osób zaproszonych na służbowe adresy e-mail, co zmniejsza szansę na wtrącenie się nieautoryzowanych uczestników. W praktyce pomocne jest też wyłączenie możliwości zmiany nazwy użytkownika w trakcie spotkania oraz ograniczenie udostępniania ekranu tylko do prowadzących – to utrudnia podszycie się pod kogoś innego lub prezentowanie fałszywych dokumentów. Równolegle należy szkolić pracowników, jak rozpoznawać oznaki potencjalnego deepfake’u: nienaturalne mruganie, sztywne ruchy ust, drobne przesunięcia między dźwiękiem a obrazem, zbyt „idealny” obraz przy słabym łączu, brak spontanicznych reakcji lub charakterystycznych, znanych z wcześniejszych spotkań gestów prezesa. Warto zachęcać zespół do zadawania prostych, „rozpraszających” pytań, które wymagają autentycznej reakcji (np. nawiązań do poprzednich, wewnętrznych spotkań), gdy w trakcie wideokonferencji padają niestandardowe, pilne polecenia finansowe. Organizacje mogą również wdrożyć krótkie, cykliczne szkolenia e-learningowe i symulacje ataków socjotechnicznych z elementem wideokonferencji, aby pracownicy oswoili się z presją czasu i autorytetu oraz nauczyli bezpiecznie „zatrzymywać” sytuację, gdy czują niepokój. Do tego niezbędna jest jasna kultura bezpieczeństwa: formalne przyzwolenie na „święte prawo do zwątpienia” w komunikaty, nawet jeśli pochodzą rzekomo od prezesa czy członka zarządu, bez ryzyka negatywnych konsekwencji służbowych. Bardzo praktycznym elementem takiej kultury jest procedura „stop & verify”: każdy pracownik działu finansowego, prawnego, HR czy zakupów ma prawo – a wręcz obowiązek – przerwać rozmowę lub wideokonferencję, jeśli ma choćby cień wątpliwości, i samodzielnie zweryfikować sprawę innym kanałem. Od strony technologicznej warto rozważyć rozwiązania klasy fraud detection i user behavior analytics, które potrafią wykrywać nietypowe schematy płatności, nietypowe godziny autoryzacji czy logowania z nowych lokalizacji, a w środowisku komunikacji – narzędzia analizujące ryzyka deepfake (np. detekcja śladów manipulacji w obrazie lub dźwięku). Uzupełnieniem jest dobrze przygotowany plan reagowania na incydent: określone kontakty w banku do natychmiastowego wstrzymywania przelewów, gotowe szablony zgłoszeń do CSIRT-ów i organów ścigania, wewnętrzne procedury zabezpieczania logów z wideokonferencji i systemów pocztowych, a także mechanizmy szybkiej komunikacji kryzysowej w organizacji, tak aby w przypadku próby CEO Fraud przez wideokonferencję informacje o „nowej metodzie ataku” błyskawicznie dotarły do wszystkich kluczowych działów i zablokowały dalsze działania oszustów.
Rola technologii deepfake w rozszerzonym oszustwie na prezesa
Technologia deepfake stała się katalizatorem ewolucji oszustwa na prezesa z prostych, e‑mailowych manipulacji w kierunku złożonych, wieloetapowych scenariuszy realizowanych na żywo podczas wideokonferencji. W klasycznym CEO Fraud przestępcy musieli polegać na przekonującym tekście, podszywaniu się pod adres e‑mail, ewentualnie na spreparowanych dokumentach. Obecnie, dzięki uczeniu maszynowemu i modelom generatywnym, możliwe jest stworzenie hiperrealistycznej postaci „prezesa” lub „członka zarządu”, która w czasie rzeczywistym pojawia się w oknie spotkania na Teams, Zoom czy Google Meet. Cyberprzestępcy wykorzystują publicznie dostępne nagrania z konferencji branżowych, wywiadów, webinarów i materiałów PR, aby wytrenować modele potrafiące wiernie odwzorować twarz, mimikę, sposób mówienia, intonację oraz charakterystyczne gesty konkretnego menedżera. Następnie nakładają wygenerowany obraz i dźwięk na własną postać, stosując techniki face‑swap oraz voice cloning, co sprawia, że dla przeciętnego pracownika – a często nawet dla bliskich współpracowników – różnice są praktycznie niedostrzegalne, zwłaszcza przy słabej jakości połączenia i niewielkich oknach wideo. W rozszerzonym oszustwie na prezesa deepfake nie jest jedynie „gadżetem technologicznym”, lecz kluczowym narzędziem budowania autorytetu i poczucia autentyczności. Przestępcy świadomie wprowadzają do inscenizowanych spotkań elementy naturalnych niedoskonałości: drobne pauzy, westchnienia, poprawianie okularów, dźwięki powiadomień w tle czy celowe „lagi” obrazu, które paradoksalnie zwiększają wiarygodność – przypominają bowiem typowe problemy znane z codziennych wideokonferencji. Deepfake umożliwia też precyzyjne dopasowanie przekazu do odbiorcy: ten sam „prezes” może w ciągu jednego dnia przeprowadzić kilka różnych rozmów z różnymi działami, utrzymując spójną tożsamość wizualno‑głosową, ale dopasowując treść do kompetencji i odpowiedzialności danego pracownika, co znacząco podnosi skuteczność ataku. Cyberprzestępcy łączą możliwości deepfake z wcześniejszym rozpoznaniem procesów biznesowych – wiedzą, jak wygląda standardowy przebieg akceptacji faktury, jak formułowane są wewnętrzne polecenia przelewów, jakimi skrótami i żargonem posługuje się zarząd – a następnie odtwarzają ten styl w generowanych wypowiedziach, tworząc złudzenie absolutnej normalności sytuacji. Co więcej, technologia deepfake pozwala na tworzenie krótkich, predefiniowanych sekwencji wypowiedzi – „makr konwersacyjnych” – które oszust może szybko przełączać w trakcie rozmowy, reagując na pytania ofiary i utrzymując kontrolę nad narracją, nawet jeśli jego własne kompetencje językowe są ograniczone. W efekcie atak nie musi już opierać się wyłącznie na jednym, perfekcyjnie przygotowanym nagraniu – jest dynamiczny, dialogowy i dopasowany do przebiegu interakcji, co radykalnie utrudnia jego demaskację w czasie rzeczywistym.
Istotą roli technologii deepfake w nowych wariantach oszustwa na prezesa jest to, że zaciera ona granicę między „prawdziwą” a „spreparowaną” obecnością przełożonego, a tym samym osłabia fundamenty klasycznych procedur weryfikacji tożsamości. Przez lata budowano w organizacjach przekonanie, że kontakt „twarzą w twarz”, nawet zdalny, stanowi mocniejsze potwierdzenie autentyczności niż e‑mail czy telefon. Deepfake całkowicie to założenie podważa: przestępca może pojawić się na tle realistycznego „wirtualnego biura”, zsynchronizować ruch ust z generowanym dźwiękiem, a nawet symulować reakcje na wypowiedzi pracownika, np. kiwać głową, przewracać oczami przy wzmiance o „zbędnej biurokracji” czy okazywać zniecierpliwienie, gdy ofiara zaczyna mówić o procedurach. Takie zachowania uruchamiają po stronie pracownika dobrze znane schematy „relacji hierarchicznej”: chęć spełnienia oczekiwań przełożonego, unikanie konfrontacji, strach przed oceną lub utratą zaufania. W połączeniu z komunikatem o kryzysowej sytuacji – np. rzekomej kontroli regulatora, opóźnieniu kluczowej dostawy czy „tajnym przejęciu” – deepfake staje się narzędziem intensyfikacji presji emocjonalnej, przy jednoczesnym zachowaniu pozorów pełnej normalności biznesowej. W praktyce oznacza to, że wiele klasycznych „czerwonych flag” znanych z e‑mailowego CEO Fraud (błędy językowe, nietypowy adres nadawcy, brak podpisu) przestaje być użytecznych, ponieważ pracownik ma wizualne i głosowe „potwierdzenie”, że rozmawia z właściwą osobą. Co więcej, deepfake umożliwia stopniowe budowanie zaufania: atakujący może kilkukrotnie pojawić się na krótkich, pozornie rutynowych spotkaniach, podczas których nie żąda żadnych niestandardowych działań, a jedynie porusza neutralne tematy – np. podziękowanie za wyniki kwartału, prośba o przygotowanie raportu, krótkie pytania o projekt. Dopiero po kilku takich „bezpiecznych” interakcjach pojawia się scenariusz kryzysowy i prośba o obejście standardowego obiegu akceptacji płatności. W tym momencie psychologiczna bariera przed wykonaniem polecenia jest już znacznie niższa, bo pracownik w swojej pamięci ma szereg wcześniejszych, pozytywnych doświadczeń z „prezesem” na wideo. Jednocześnie, z punktu widzenia bezpieczeństwa technicznego, deepfake znacząco utrudnia analizę powłamaniową: zapis nagrania ze spotkania pokazuje twarz i głos osoby, którą systemy HR, PR czy działu IT rozpoznają jako kluczowego menedżera, co może prowadzić do początkowego bagatelizowania incydentu („to na pewno wewnętrzne nieporozumienie, a nie atak”). Dopiero szczegółowa analiza klatek wideo, nienaturalnych artefaktów przy szybkich ruchach głowy, mikrozacięć obrazu lub anomalii w widmie dźwięku pozwala ekspertom ds. cyberbezpieczeństwa wykryć ingerencję algorytmów generatywnych. Z perspektywy organizacji oznacza to konieczność przedefiniowania pojęcia „wiarygodnego kanału komunikacji”: obecność na wideokonferencji nie może już być automatycznym dowodem autentyczności, a procedury akceptacji płatności i przekazywania wrażliwych danych muszą zakładać, że obraz i dźwięk mogą zostać zmanipulowane z równie wysokim realizmem jak treść e‑maila czy SMS‑a. Właśnie ten aspekt – możliwość nadzwyczaj przekonującego oszukania ludzkich zmysłów podczas standardowego, codziennego narzędzia pracy, jakim stała się wideokonferencja – sprawia, że deepfake pełni dziś centralną, a nie tylko pomocniczą rolę w rozszerzonym oszustwie na prezesa.
Znaczenie edukacji pracowników w zapobieganiu oszustwom
W kontekście nowej metody oszustw typu „Prezes (CEO Fraud)” prowadzonej przez wideokonferencje edukacja pracowników staje się jednym z absolutnie kluczowych elementów strategii bezpieczeństwa – porównywalnym rangą z technologią i procedurami. To właśnie pracownicy są ostatnią linią obrony, kiedy na ekranie pojawia się „prezes” lub „członek zarządu”, który w ramach pilnego spotkania żąda natychmiastowego przelania środków, udostępnienia poufnych danych lub obejścia standardowych ścieżek akceptacji. Bez odpowiedniego przygotowania psychologicznego i merytorycznego nawet najlepiej opisane procedury mogą zostać zignorowane, a zaawansowane systemy bezpieczeństwa – obchodzone poprzez zwykłe ludzkie zaufanie do autorytetu. Szkolenia muszą więc tłumaczyć nie tylko, jak wyglądają tradycyjne maile typu „CEO Fraud”, ale przede wszystkim jak działają scenariusze wideokonferencyjne z użyciem deepfake: jak w praktyce wygląda manipulacja obrazem i dźwiękiem, jakie sygnały ostrzegawcze mogą pojawić się podczas zdalnego spotkania (nienaturalne opóźnienia, brak reakcji na small talk, powtarzające się frazy, unikanie odpowiedzi na szczegółowe pytania), a także jak rozpoznawać typowe schematy nacisku („to poufne, nie informuj nikogo”, „nie mamy czasu na biurokrację”, „to decyzja zarządu, biorę odpowiedzialność na siebie”). Im bardziej realistyczne przykłady zobaczą pracownicy, tym większa szansa, że w rzeczywistej sytuacji uruchomi im się „czerwona lampka” i zdążą zastosować procedury weryfikacyjne zanim wykonają polecenie. Kluczowe jest również podkreślanie, że w epoce deepfake nawet obraz i głos „prezesa” na żywo nie mogą być już samodzielną podstawą do podjęcia decyzji finansowej – a więc edukacja musi dekonstruować utrwalone przekonanie, że „jak widzę osobę, to znaczy, że to na pewno ona”. Bez zrozumienia tej zmiany paradygmatu pracownik będzie odruchowo bardziej ufał wideokonferencji niż mailowi, nie zdając sobie sprawy, że dla cyberprzestępcy jest to teraz preferowany kanał ataku.
Skuteczna edukacja w obszarze CEO Fraud przez wideokonferencje wymaga jednak podejścia systemowego, a nie jednorazowego „odhaczenia” szkolenia e‑learningowego. Po pierwsze, program powinien być dopasowany do roli w organizacji: inni pracownicy są celem przy ogólnym wyłudzaniu informacji, a inni w sytuacjach wymagających autoryzacji przelewów czy zatwierdzania kontraktów. Dla działów finansowych i osób z uprawnieniami do wysokokwotowych płatności niezbędne są szczegółowe scenariusze ćwiczeniowe, obejmujące symulowane zaproszenia na pilne wideokonferencje z „prezesem”, podczas których uczestnicy uczą się w praktyce, jak opanować presję czasu i presję autorytetu, jak asertywnie odłożyć decyzję („zgodnie z procedurą muszę to potwierdzić drugim kanałem”) oraz jak technicznie zweryfikować tożsamość rozmówcy (np. samodzielne nawiązanie połączenia do prezesa na wcześniej znany numer, szybki telefon do asystentki, sprawdzenie kalendarza spotkań w zaufanym systemie). Po drugie, proces edukacji powinien regularnie obejmować krótkie, powtarzalne moduły – np. kwartalne mikro‑szkolenia online z nowymi przykładami ataków, analizy prawdziwych incydentów z rynku oraz okresowe testy socjotechniczne, w których dział bezpieczeństwa inicjuje kontrolowane próby wyłudzeń przez wideokonferencję lub komunikatory firmowe. Po trzecie, równolegle trzeba budować kulturę, w której pracownik ma realne „prawo powiedzieć nie” nawet wobec najwyższego szczebla – bez obawy o konsekwencje służbowe. Oznacza to jasny komunikat zarządu, że przestrzeganie zasad bezpieczeństwa stoi ponad „szybkim domknięciem tematu”, oraz że kto przerwie podejrzane spotkanie z rzekomym „prezesem”, by zadzwonić do Security lub CFO, działa zgodnie z oczekiwaniami, a nie wbrew nim. Dobrą praktyką jest angażowanie faktycznych członków zarządu w szkolenia – np. krótkie nagrania wideo, w których prawdziwy prezes wyjaśnia, że nigdy nie będzie prosił przez komunikator ani wideokonferencję o pominięcie procedur płatności czy wysłanie środków na „nowy, pilny rachunek”. Wreszcie, edukacja powinna uwzględniać aspekty emocjonalne: jak reaguje nasz mózg na sytuacje kryzysowe, dlaczego stres i autorytet zawężają pole widzenia, jak rozpoznać u siebie „czerwone flagi” (przyspieszone tętno, poczucie niepokoju, chęć natychmiastowego działania), które w realnym ataku mogą być jedynym sygnałem, że coś jest nie tak. Dopiero połączenie wiedzy o technologiach deepfake, praktycznych umiejętności weryfikacji podczas wideokonferencji oraz psychologicznej świadomości własnych reakcji tworzy odporność organizacji na nową generację oszustw na prezesa.
Podsumowanie
Oszustwa typu „Prezes” przy użyciu wideokonferencji to nowa, groźna forma ataku cyberprzestępców, wykorzystująca zaawansowane technologie, takie jak deepfake. Poprzez manipulacje wizualne i dźwiękowe, oszuści potrafią stworzyć przekonujący wizerunek prezesa, by zdobyć zaufanie pracowników i wyłudzić pieniądze. Kluczowe jest wprowadzenie zabezpieczeń, takich jak weryfikacja tożsamości rozmówców, edukacja pracowników oraz uważne monitorowanie procesu decyzyjnego. Edukacja i świadomość zagrożeń mogą znacząco zmniejszyć ryzyko udanego ataku.
