כיצד Deepfakes עלול לפגוע בתחום הפיננסי והבנקאי: התקפות אמיתיות, כסף אמיתי, הגנה אמיתית (מדריך 2025)

תקציר מנהלים
הונאת Deepfake כבר אינה סיפור תיאורטי על שימוש לרעה ב-AI. כיום יש לנו מקרים מתועדים שבהם פושעים השתמשו בקטעי וידאו וקולות משוכפלים שנוצרו באמצעות AI כדי להתחזות למנהלים בשיחות ועידה בשידור חי וללחוץ על עובדים להעביר סכום של מעל $25 מיליון דולר. אותה טכנולוגיה משמשת לעקיפת KYC, לעקיפת בדיקות זיהוי פנים, להתחזות ללקוחות בנקים ולביצוע העברות דחופות באמצעות הנדסה חברתית.הפורום הכלכלי העולמי)

זו לא רק בעיה של הונאה. זו בעיה מרכזית של אבטחת פינטק, בעיה רגולטורית (GDPR / FCA / FTC) וסיכון ברמת הדירקטוריון עבור כל ארגון שמעביר כספים במהירות או מאפשר פתיחת חשבונות מרחוק.מזל)

כיצד נראית "הונאת דיפ-פייק" בתחום הפיננסי

דיפ-פייקים הם נכסי אודיו/וידאו שנוצרו או שונו על ידי בינה מלאכותית, המחקים באופן משכנע את פניו, קולו, תנועות הפנים הזעירות, הקצב והדפוס הדיבורי של אדם אמיתי. תוקפים מנצלים אותם כעת כדי להתחזות ל:

• סמנכ"ל הכספים או סמנכ"ל אזורי של חברה נותן "הוראות העברה דחופות וסודיות".
• לקוח בנק המבקש לאפס את בקרות החשבון.
• ממונה על ציות המבקש חשבוניות, דרכונים או פרטי העברה בנקאית.
• מנהל הכספים של ספק מהימן מבקש חשבון תשלום "מעודכן".

מה שהשתנה הוא לא רק הריאליזם הוויזואלי. אלא גם הנגישות. כלי סינתזת קול מדף יכולים לשכפל קול מתוך שניות ספורות של אודיו ציבורי, ואז לקרוא כל תסריט באותו קול — מספיק כדי לעבור תהליכי "אימות קול" חלשים בבנקים מסוימים.Business Insider)

זה מפריח את ההנחה הישנה ש"אם אני יכול לשמוע אותם או לראות אותם בהופעה חיה, זה בטח הם".

מחקרי מקרה ומדוע הם חשובים

$25M צו נשיאותי מזויף באמצעות שיחת וידאו

בתחילת 2024, פושעים ערכו "פגישת הנהלה דחופה" מזויפת באמצעות וידאו עם המשרד של חברה רב-לאומית בהונג קונג. כל המשתתפים שהופיעו על המסך — כולל מי שנראה ונשמע כמו סמנכ"ל הכספים של החברה — היו תוצר של בינה מלאכותית. עובד מחלקת הכספים שהשתתף בשיחה הוכרח לאשר מספר העברות בסך כולל של כ-$25 מיליון דולר.הפורום הכלכלי העולמי)
התקפה זו שילבה הנדסה חברתית עם נוכחות מזויפת משכנעת ביותר. הקורבן חשב שהוא פועל על פי הוראות ישירות של ההנהלה, בזמן אמת, מול המצלמה. התוצאות גרמו למעורבות של חוקרי זירה וגורמי אכיפת החוק, ולא רק ל"תיק הונאה" פנימי.פיננשל טיימס)

שיבוט קולי כנגד תהליכי עבודה בנקאיים

חוקרי אבטחה ועיתונאים הוכיחו כי באמצעות שיבוט קול ברמה צרכנית, ניתן להתקשר למוקד שירות הלקוחות של בנק, להישמע כמו בעל החשבון ולבקש שינויים באימות או במגבלות. בבדיקות שנערכו, בקרות התאמת הקול הראשוניות של כמה מוסדות פיננסיים לא היו מספיק חזקות כדי לדחות את המתקשר הסינתטי.Business Insider)
זה הופך את השתלטות על חשבונות ממבצע חד-פעמי של הנדסה חברתית למשהו שניתן להרחבה ואוטומציה.

עקיפת KYC והרשמה מרחוק

בנקים, מלווים ואפליקציות תשלום מסתמכים על KYC מרחוק: "הראה לנו את פניך, קרא את המשפט הזה, החזק את תעודת הזהות שלך ליד פניך". תוקפים מייצרים כעת סרטוני פנים באיכות גבוהה עם מצמוץ עיניים, סיבוב ראש וסימני עומק מציאותיים, ואז משלבים אותם על גוף אנושי אמיתי כדי להטעות את בדיקות החיוניות ולפתוח חשבונות מזויפים. התוצאה: חשבונות "בלדרים" מיידיים וערוצים חדשים להלבנת הון.חדשות סייבר)

אלה אינם מקרים חריגים. חברת Deloitte העריכה כי הונאות המונעות על ידי בינה מלאכותית עלולות לעלות לבנקים וללקוחותיהם עשרות מיליארדי דולרים עד שנת 2027, ככל שהונאות המשתמשות בטכנולוגיית Deepfake מתעשייתיות ומתרחבות.דלויט ברזיל)

ספר תרגילים להתקפה: כיצד משתמשים בפועל ב-deepfakes

התחזות למנהל בכיר / הונאת "העברה דחופה עכשיו"

• עובד מחלקת הכספים נקרא לשיחת וידאו עם "מנהל הכספים", שדורש ממנו לבצע העברות כספים חסויות ומיידיות מחוץ לערוצי האישור הרגילים.
• הדיפ-פייק משתמש בסמכות, בסודיות ובלחץ זמן כדי לעקוף את המדיניות.
• חשיפה לאירוע בודד יכולה לעלות על שמונה ספרות.הפורום הכלכלי העולמי)

הונאת KYC וזירוז חשבונות

• וידאו סינתטי של "פנים חיות" בתוספת תעודת זהות מזויפת עוברים את תהליך הקליטה.
• התוקפים רוכשים חשבונות בנק/פינטק/בורסה תחת זהויות מזויפות, מה שמאפשר הונאה, הלבנת הון ושימוש לרעה באשראי.חדשות סייבר)

הונאות שיבוט קול

• עבריינים מתחזים למנהל בכיר או ללקוח בעל הון רב ומנחים את העובדים בטלפון.
• נציגי מוקדי שירות וצוות פיננסי זוטר לעיתים קרובות אינם יכולים לערער על החלטות "הבוס".Business Insider)

פישינג, עכשיו עם הוכחה מצולמת

• מיילים ישנים של פישינג נראו מרופטים.
• קמפיינים חדשים של פישינג משלבים "הודעות וידאו" או "הודעות קוליות" מותאמות אישית, שנראות כאילו נשלחו על ידי איש קשר מוכר, מה שמגביר באופן דרמטי את אמינותן.Business Insider)

הונאת ספקים/חשבוניות

• התוקפים מתחזים למנכ"ל הכספים של ספק ותיק, עם תמונה וקול תואמים, ודורשים ממחלקת החשבונות "לעדכן את הוראות ההעברה הבנקאית".
• הכספים מועברים בשקט לחשבונות הנשלטים על ידי התוקפים.

מדוע תחום הפיננסים, הטכנולוגיה הפיננסית והבנקאות חשופים באופן ייחודי

1. הכל מרחוק עכשיו.
   ההצטרפות, אישור מראש של הלוואות, שינויים במגבלות גבוהות ופעולות אוצר מתבצעים כולם בערוצים מרחוק. אם זיוף עמוק עובר את השלב "האם אתה באמת אתה?", שאר תהליך העבודה מבוסס על אמון.חדשות סייבר)
2. מהירות היא תכונה.
   חברות פינטק ובנקים מתחרים מתגאים בכך ש"ניתן לפתוח חשבון תוך דקות". בדיקה ידנית ואישור של מספר אנשים נתפסים כגורמים מעכבים. התוקפים מנצלים את ההטיה התרבותית הזו לטובת המהירות.
3. תלות יתר בביומטריה.
   ארגונים רבים עדיין מתייחסים ל"הקול נשמע נכון" או "הפנים תואמות את תמונת הזיהוי" כאל הוכחה חזקה. דיפ-פייקים נוצרו ממש כדי לשבור את ההנחה הזו.Business Insider)
4. רדיוס פיצוץ חוצה פלטפורמות.
   ברגע שתוקף משכנע את מחלקת הכספים להעביר כסף, את מחלקת המשפטית לאשר את העסקה ואת מחלקת התפעול לחלוק את פרטי הזיהוי — לעתים קרובות באותה שיחה מזויפת — אתה עומד בפני פריצה מתואמת של מספר מחלקות. זה כבר לא דוא"ל פישינג בערוץ אחד.הפורום הכלכלי העולמי)
5. א-סימטריה במשאבים.
   בנקים מדרגה 1 יכולים להרשות לעצמם מערכות פנימיות לזיהוי חריגות, ניתוח הונאות וחקירות מדיה יריבות. סטארט-אפ אזורי בתחום התשלומים כנראה לא יכול. הפער הזה הוא בדיוק המקום שבו הפשע המאורגן יתמקד בהמשך.דלויט ברזיל)

הגנה: מעבר מ"האם אני מזהה את הפנים האלה?" ל"האם העסקה הזו עקבית מבחינה התנהגותית?"

ההגנה המודרנית היא רב-שכבתית. היא משלבת זיהוי טכני, ניתוח התנהגותי, בקרות תהליכים ומוכנות רגולטורית.

אימות רב-שכבתי (התנהגות + מכשיר + אתגר מחוץ לתחום)

• ניתוח התנהגותי: קצב ההקלדה, דינמיקת הסמן, קצב הניווט.
• אינטליגנציה של המכשיר: טביעת אצבע של המכשיר, עקביות מערכת ההפעלה/הדפדפן, מיקום גיאוגרפי לעומת היסטוריית החשבון.
• אימות מוגבר מחוץ לתחום: OTP או אישור מאובטח בתוך האפליקציה באמצעות ערוץ נפרד ואמין לפני ביצוע פעולות בסיכון גבוה.דלויט ברזיל)

בדיקות מתקדמות של חיוניות / נגד זיוף

• וידאו: קצב ותזמון מצמוץ, זמן השהיה של מיקרו-הבעות, רמזים לעומק תלת-ממדי, השתקפות אור על העור (גשר האף/מצח), ברק בקצוות, תופעות דחיסה.
• אודיו: הפסקות נשימה, הפסקות לא טבעיות, חריגות בספקטרוגרמה, רעשי רקע רובוטיים.חדשות סייבר)
  אלה הם סימנים שצינור "האם הפנים תואמות לתמונת הזיהוי?" לא יוכל לקלוט.

בקרות ברמת התהליך

• העברות בנקאיות בסכומים גבוהים דורשות אישור כפול או משולש בערוצים נפרדים (וידאו + אימות טלפוני נפרד + הודעות פנימיות).
• "חירום" או "סודי" אינם גוברים על המדיניות; הם מפעילים אותה. עוד אימות, לא פחות.הפורום הכלכלי העולמי)

מידע מודיעיני רציף על איומים והכשרת צוות

• צוותי האבטחה, SOC, הונאה, אוצר וחשבונות ספקים צריכים לתרגל תרחישים מציאותיים ("העברה דחופה של מנכ"ל", "שינוי פרטי בנק של ספק", "שיחת טלפון עם לקוח VIP").
• יש ללמד את העובדים: פנים משכנעות ב-Zoom אינן עוד הוכחת זהות.הפורום הכלכלי העולמי)

תאימות וניתנות לביקורת

• הרגולטורים (FCA בבריטניה, FTC בארה"ב, GDPR באיחוד האירופי) מצפים יותר ויותר מהמוסדות להיות מסוגלים להוכיח הם אימתו את הזהות ואישרו את העסקה באמצעות בקרות רב-שכבתיות, ולא רק על סמך "מישהו נשמע אמין בטלפון".מזל)
• חברות הביטוח מעדכנות את הכיסוי הביטוחי נגד פשעי סייבר והנדסה חברתית. כעת הן שואלות אם יש לכם אימות המזהה זיוף עמוק (deepfake) ונהלים לאחר תקרית לפני שהן מבטחות את הנזקים.רויטרס)

להלן דוגמה למטריצת סיכוני הונאה (תרחיש לעומת בקרות נדרשות):

תגובה לאירועים: התייחסו להונאות דיפ-פייק כמו לפריצה

כאשר קיים חשד להונאה באמצעות דיפ-פייק, התגובה שלך צריכה להיות כמו במקרה של אירוע אבטחה, ולא כמו במקרה של סכסוך שגרתי עם לקוח:

1. הקפיאו את ההעברה/ות החשודה/ות וחסמו העברות נוספות.
2. שמור את כל ראיות השיחות/הווידאו/הצ'אט לצורך חקירה משפטית ושרשרת שמירה על הראיות.
3. העבר את העניין למחלקות המשפטיות, הציות, הונאה וסייבר במקביל — לא ברצף.
4. הפעל גילוי חובה אם נדרש על ידי FCA/FTC/GDPR או רגולטורים ענפיים; תעד במדויק אילו בקרות נכשלו.מזל)
5. אפס את פרטי הזיהוי, אמת מחדש חשבונות בסיכון גבוה והפעל אימות רב-גורמי עבור כל ישות שנפגעה.

בשלב זה, חברות ביטוח ורגולטורים רבים כבר מתייחסים להונאות המשתמשות בטכנולוגיית דיפ-פייק כאל אירועי סייבר, ולא כאל "פשוט שיקול דעת מוטעה של עובד".רויטרס)

טיעון סיכום: הוכחת זהות אינה עוד חזותית — היא התנהגותית, פרוצדורלית וניתנת לבדיקה.

מבחינה היסטורית, עולם הפיננסים הסתמך על אישור חזותי וקולי: "ראיתי אותם בסרטון", "שמעתי את קולם", "הם החזיקו את תעודת הזהות שלהם ליד הפנים שלהם". הונאות דיפ-פייק הורסות את המודל הזה.Business Insider)

התקן החדש הוא רב-שכבתי, תחרותי ומפוקח. הוא משלב זיהוי חיים מתקדם, ניתוח התנהגותי, אישור קפדני של מספר גורמים לפעולות בעלות ערך גבוה ותגובה מהירה לאירועים עם שמירת ראיות ברמה משפטית.מזל)

במילים אחרות: השאלה היא כבר לא "האם אני מזהה את הפנים האלה?" השאלה היא "האם פעולה זו תעמוד במבחן ביקורת, תביעה משפטית, בדיקת ביטוח ופיקוח רגולטורי מחר בבוקר?"