62% руководителей по кибербезопасности сообщили, что за предыдущие 12 месяцев их компании хотя бы раз атаковали с помощью дипфейков. Проверка дипфейков перестаёт быть факультативным упражнением для службы ИБ: синтезированный голос финансового директора может убедить сотрудника срочно отправить платёж, а «звонок» от руководителя продаж — помочь захватить учётную запись через сброс MFA. Для российских IT-команд это означает простую вещь: надёжность нужно проверять не на обучающем слайде, а в сценарии с давлением, срочностью и авторитетом начальства.
Как сообщает The Hacker News, в опросе Gartner 2025 года среди 302 руководителей по кибербезопасности 43% респондентов рассказали об инцидентах с поддельными голосовыми звонками, а 37% — о дипфейках в видеозвонках. В январском исследовании Osterman Research 2026 года, проведённом по заказу IRONSCALES среди 128 руководителей ИБ и IT в США, 60% участников признали, что не уверены в способности противостоять таким атакам даже при действующих программах обучения.
Самый узнаваемый сюжет выглядит буднично: в пятницу около 16:40 контролёру звонит человек с голосом CFO. Он просит провести платёж поставщику до выходных — якобы от этого зависит сделка в понедельник. Связь плохая, руководитель в поездке, времени нет. Через несколько минут приходит письмо с реквизитами. Но целью может быть не только банковский перевод. Тем же голосом злоумышленник способен позвонить в help desk и попросить перенести MFA на новый телефон или убедить администратора выдать новую глобальную учётную запись «перед аудитом». Ошибочный платёж хотя бы обнаружится при сверке; лишний привилегированный аккаунт может оставаться незамеченным месяцами.
Слух не должен быть средством защиты
Классическое обучение фишингу предлагает искать неловкие формулировки, подозрительный адрес отправителя и странные ссылки. С голосом и видео этот подход работает всё хуже: качественная имитация не обязана выдавать себя акцентом или роботизированной паузой. В мае 2025 года ФБР предупреждало об ИИ-сообщениях, имитирующих высокопоставленных чиновников США, и советовало подтверждать личность обратным звонком на номер, полученный из независимого источника. Практический вывод не зависит от качества подделки: при запросах на деньги, доступы и учётные данные защита должна опираться на повторяемую процедуру, а не на способность сотрудника «услышать фальшь».
Начать учения стоит с двух списков. В первом — люди, чьи голоса и лица выгодно подделывать: CEO, CFO, CIO, CISO, юрист компании, а также руководители финансов, IT и HR уровнем ниже. Сюда же стоит добавить внешних контрагентов, влияющих на платежи или доступы: например, сотрудника поставщика либо инженера MSP-провайдера. Во втором списке — потенциальные получатели звонка: бухгалтерия, казначейство, payroll, HR, ассистенты руководителей, help desk и администраторы системы управления идентификацией. Последние две группы часто выпадают из моделирования угроз, хотя именно через сброс MFA и изменение прав проще всего получить доступ к корпоративным системам.
Для каждой вероятной «мишени» полезно оценить объём публичных аудио- и видеоматериалов: выступления на конференциях, вебинары, подкасты, записи звонков с инвесторами, публикации в соцсетях. Чем больше такого материала, тем проще злоумышленнику подготовить убедительный голосовой двойник. При этом риск не ограничен публичными спикерами: для синтеза может хватить нескольких минут записи с одного вебинара. Результатом должна стать небольшая матрица: кого будут имитировать, кому позвонят и какое действие попытаются продавить.
Что именно проверять на учениях
Проверка дипфейков не должна измерять интуицию сотрудников. До запуска сценариев компании нужно письменно закрепить правила верификации. Любой запрос на перевод денег, смену платёжных реквизитов, передачу учётных данных, сброс MFA или изменение прав следует подтверждать обратным звонком по номеру из внутреннего справочника или карточки контрагента, но не по контакту из самого письма или звонка. Для новых получателей платежа, изменённых банковских данных, привилегированных учётных записей и ролевых изменений необходимы два согласования. Для наиболее часто имитируемых руководителей можно использовать регулярно сменяемые контрольные фразы, но не подменять ими другие проверки.
Критична и организационная гарантия: CEO и CFO должны заранее и письменно подтвердить, что сотрудник не получит взыскание за паузу, отказ или обратный звонок даже в ситуации, которая выглядит срочной. Дипфейк-атаки играют на двух рычагах — дефиците времени и должностной иерархии. Если бухгалтер опасается испортить отношения с вице-президентом, формальная политика верификации не сработает. Не менее важен безобвинительный порядок эскалации: сотрудник, который уже перевёл деньги, сбросил MFA или выдал доступ, должен сообщить об этом немедленно, а не скрывать ошибку из страха наказания.
Сценарии стоит строить как реальные многошаговые атаки. Например, письмо о конфиденциальной сделке может подготовить почву для голосового сообщения «от CFO» с требованием провести перевод до конца дня. Письмо от известного поставщика о смене банковских реквизитов — перейти в звонок в корпоративном мессенджере от имени его представителя. Для IT подойдут запрос «от VP по продажам» на срочный перенос MFA из-за поездки или звонок «директора по IT» во время плановой ревизии доступов: среди пяти разумных удалений прав предлагается незаметно добавить аккаунт подрядчика в привилегированную группу. Учения нужно согласовывать с юристами, HR и руководителями, чьи личности используются; вместо несанкционированного клонирования голоса можно привлечь актёра или применить явно разрешённый синтетический образ.
Лучшее время для таких тренировок — периоды, когда обычные процессы и без того напряжены: закрытие квартала, аудит, дни перед праздниками, командировки топ-менеджеров. В этот момент станет видно не только, знает ли сотрудник правило, но и выдерживает ли его процесс. Следующий вопрос для компаний уже не в том, сумеет ли ИИ достаточно правдоподобно скопировать голос руководителя, а в том, сколько независимых проверок потребуется пройти такому «руководителю», прежде чем он получит деньги, MFA или административные права.