Проверенное доверие против дипфейков

Звонок, которого не было

В начале 2024 года финансовый сотрудник инженерной фирмы Arup присоединился к, казалось бы, совершенно обычному видеозвонку. Там был финансовый директор. Там были коллеги. Были даны инструкции, и сотрудник действовал в соответствии с ними, переведя 200 миллионов гонконгских долларов — примерно 25 миллионов долларов США — из гонконгского офиса компании. Ни один из людей, участвовавших в этом звонке, не был настоящим. Каждое лицо и голос были синтетически реконструированы. Деньги исчезли, прежде чем кто-либо понял, что сама встреча была мошенничеством.

Этот единственный инцидент привлек внимание руководителей больше, чем годы абстрактных брифингов по кибербезопасности. Он продемонстрировал, что для мошенничества с использованием дипфейков больше не требуется доверчивая цель или грубый сценарий. Требуется лишь убедительный видеозвонок и правдоподобная инструкция. Для руководителей финансовых, юридических и CX-отделов Arup стало сокращением: случай, который доказал, что выдача себя за другое лицо превратилась из новинки в операционную угрозу.

Почему верификация теперь является проблемой дизайна

Проверка личности раньше была фоновой инфраструктурой — пароли, секретные вопросы, случайный обратный звонок. Она находилась за пределами пользовательского опыта, невидимая, если только что-то не шло не так. Мошенничество с использованием дипфейков ломает эту модель, потому что подделывается уже не учетные данные. Это человек. Голос. Лицо на экране, говорящее то, что этот человек правдоподобно сказал бы.

Это превращает верификацию из технического контроля в разработанный слой клиентского и сотрудника опыта. Задача состоит не просто в обнаружении мошенничества — это решение, когда и как попросить кого-то доказать, что он тот, за кого себя выдает, не заставляя его чувствовать себя обвиненным. Шаги верификации, которые кажутся допросом, подрывают доверие, которое они призваны защищать. Финансовый директор, который должен неоднократно доказывать, что он финансовый директор, даже своему собственному персоналу, воспринимает проверку как трение и подозрение, а не как защиту.

Проблема, которую создают дипфейки, не в том, что люди обманываются. А в том, что каждый, включая подлинник, теперь должен доказывать, что он не подделка.

Инструменты уже в руках потребителей

Частично то, что делает случай Arup сигналом, а не исключением, — это доступность. Коммерческое программное обеспечение для клонирования голоса теперь может воспроизводить речевые паттерны человека по короткому образцу аудио — секунды, а не часы. Это снижает барьер для мошеннических схем выдачи себя за другое лицо, направленных на колл-центры, членов семьи и личных помощников. Мошенничество, которое когда-то требовало навыков и планирования, теперь требует только записи и готового программного обеспечения.

Эта доступность важна для CX-дизайна, потому что это означает, что угроза не ограничивается мошенничеством на уровне совета директоров. Те же методы, которые сфабриковали финансового директора на видеозвонке, могут сфабриковать голос клиента на линии поддержки или голос члена семьи в звонке о помощи. Любой канал, который полагается на распознавание голоса или лица как доказательство личности, теперь подвержен риску.

Регулирование догоняет, но медленно

Финансовые регуляторы и органы по стандартизации на нескольких рынках начали консультации в 2024 и 2025 годах по вопросам мошенничества с использованием синтетических медиа. Это указывает на направление движения: обязательства по верификации, которые в настоящее время остаются на усмотрение отдельных фирм, вероятно, станут формализованными требованиями. Организации, которые сегодня рассматривают многоуровневую верификацию как добровольное улучшение, вероятно, обнаружат, что завтра она будет обязательной, по чужому расписанию, а не по их собственному.

Для бизнеса расчет уже очевиден, не дожидаясь регулирования. Одно успешное мошенничество с использованием дипфейков может стоить десятки миллионов и нанести долгосрочный ущерб доверию партнеров и клиентов к операционным и финансовым процессам. Потеря Arup была не просто статьей расходов — это была демонстрация для всех, кто наблюдал, что в процессах верификации компании был пробел, достаточно большой, чтобы через него проехал сфабрикованный финансовый директор.

Разработка защиты без трения

Практический ответ — это многоуровневая, низкофрикционная верификация, сосредоточенная на действительно высокорисковых моментах: крупные платежи, изменения учетных записей, одобрения руководителей, эскалации в колл-центре. Поведенческая биометрия, протоколы обратного звонка через независимо проверенные каналы и многоканальное подтверждение могут добавить уровень уверенности, не превращая каждое взаимодействие в контрольную точку.

Организации, которые, скорее всего, сделают это правильно, не будут внедрять верификацию повсеместно сразу. Они будут пилотировать многоуровневые проверки в точках контакта, где мошенничество наиболее значимо, изучать, как клиенты и сотрудники воспринимают эти проверки, и расширяться только после того, как трение будет устранено путем дизайна, а не наложено сверху. Верификация, выполненная хорошо, должна ощущаться как компания, которая серьезно относится к вашей защите, а не как та, которая по умолчанию сомневается в вас.