В пятницу в 16:40 сотруднику финансового отдела звонит человек, голос которого в точности похож на голос CFO. Он требует срочно оплатить поставщику: сделка закрывается в понедельник, а связь якобы постоянно прерывается. Через десять минут приходит письмо с банковскими реквизитами. Такая схема уже встречается не только в докладах на конференциях, но и в сообщениях о реальных инцидентах.
По опросу Gartner за 2025 год, среди 302 руководителей по кибербезопасности 62% сообщили хотя бы об одной атаке с использованием дипфейков за предыдущие 12 месяцев. 43% сталкивались с поддельными аудиозвонками, 37% — с дипфейками во время видеозвонков. Перевод денег — лишь один из возможных ущербов. Поддельный голос может попросить службу поддержки перенести MFA-токен или убедить администратора создать учетную запись global admin перед «аудитом». Ошибочный перевод может обнаружиться при сверке платежей, а посторонняя учетная запись администратора — оставаться незамеченной месяцами.
Обучение часто предлагает искать подозрительные формулировки, необычный адрес отправителя или странную ссылку. Но качество клонирования голоса и подмены лица в реальном времени растет, а заметных улик становится меньше. В предупреждении от мая 2025 года FBI сообщало, что созданные ИИ голосовые сообщения от имени высокопоставленных чиновников США могут звучать почти так же, как настоящие. Совет ведомства — прежде чем действовать, проверить личность, перезвонив по номеру, найденному независимо. В исследовании Osterman Research, проведенном в январе 2026 года среди 128 руководителей по безопасности и IT в США по заказу IRONSCALES, 60% заявили, что не уверены в способности противостоять дипфейкам даже при наличии действующего обучения.
Защита должна опираться на привычную процедуру проверки, а не на слух сотрудника. Начать стоит с двух списков. В первый включают тех, чьи голоса могут подделать: CEO, CFO, CIO, CISO, главного юрисконсульта, вице-президентов и директоров финансовых, IT- и HR-подразделений. В список также входят внешние контакты с полномочиями в вопросах денег или доступа: например, руководитель дебиторской задолженности ключевого поставщика или инженер управляемого сервисного провайдера. Для каждого полезно отметить, сколько его аудио- и видеозаписей открыто публикуется: выступления с отчетами, подкасты, вебинары, ключевые доклады и ролики в соцсетях. Иногда для клонирования хватает нескольких минут записи с одного вебинара.
Во второй список вносят вероятных получателей звонков: сотрудников accounts payable, казначейства, расчетных ведомостей, HR, помощников руководителей, службы IT-поддержки и всех, кто меняет права в системе управления идентификацией. Особенно опасны просьбы о сбросе MFA: они могут привести к захвату учетной записи, или Account Takeover (ATO). Матрица из нескольких десятков имен помогает увидеть, кого выгодно выдавать за другого и кому атакующий, скорее всего, позвонит.
Затем письменно фиксируют правила проверки. Просьбы о переводе денег, смене банковских реквизитов, сбросе MFA, учетных данных или прав доступа нужно подтверждать обратным звонком по номеру из внутреннего справочника либо базы поставщиков. Номер из самого письма или звонка использовать нельзя. Для новых получателей платежей, измененных банковских реквизитов, привилегированных учетных записей и смены ролей нужны два согласования. Руководители, которых могут чаще всего подделывать, и их помощники могут пользоваться меняющейся по расписанию контрольной фразой. А CEO и CFO стоит письменно сообщить сотрудникам: за то, что человек прервал разговор и перезвонил, его не накажут.
Правила должны включать и разрешение остановиться. Мошенники давят срочностью и статусом собеседника; сотруднику важно понимать, что можно взять паузу, даже если он не способен точно объяснить тревогу. При подозрении после уже выполненного платежа, сброса или выдачи доступа нужно сразу сообщить об этом без обвинений и стыда. Хорошее правило для таких случаев звучит просто: «Не спешите действовать — остановитесь». Минута на обратный звонок обходится дешевле, чем последствия поддельной просьбы.
Сценарии стоит строить с учетом того, что атака часто начинается в письме или чате, а затем переходит в звонок, чтобы усилить давление. До учений нужно получить согласие юридического отдела, HR и каждого руководителя, чью личность собираются использовать. Можно привлечь согласившегося руководителя, актера с заранее подготовленным текстом или явно обозначенный синтетический голос. Для начала хватит четырех ситуаций: срочный перевод от имени CFO; изменение банковских реквизитов поставщика; звонок от имени VP of sales с просьбой перенести MFA на новый телефон перед заседанием совета директоров; письмо от офиса CISO о квартальной проверке прав, после которого «директор IT» просит убрать лишние права у пяти пользователей и заодно добавить подрядчика в привилегированную группу для аудиторов. В последнем случае подозрительная просьба спрятана внутри правдоподобной работы. Учения лучше назначать на конец квартала, сезон аудитов, дни перед праздниками или недели, когда руководители публично сообщали о поездках.
Первый этап — настольное упражнение: участники разбирают сценарий в переговорной и говорят, что будут делать на каждом шаге. Так можно быстро обнаружить пробелы: например, выяснится, что никто не знает, по какому номеру проверять просьбу. После этого проводят ограниченные живые симуляции. О запуске должны знать небольшая контрольная группа — исполнительный спонсор, руководитель SOC и глава финансов, — чтобы реальная эскалация не вызвала лишнюю тревогу. Деньги и права доступа остаются недоступными: используют тестового получателя платежа, запрос, останавливающийся на этапе согласования, и песочницу без реальных привилегий. Если участник расстроен или упражнение мешает работе, его сразу прекращают. После каждой симуляции участникам сообщают, что это было учение: ощущение ловушки подрывает доверие.
Одного результата «прошел/не прошел» мало. Нужно измерять, сколько людей проверили просьбу по установленной процедуре, сколько времени заняла эскалация и попало ли сообщение в SOC по нужному каналу или застряло в почте руководителя. Отдельно фиксируют точное место сбоя: не оказалось номера в справочнике, порог обязательной проверки был неясен, «руководитель» потребовал пропустить обратный звонок. В сценарии с правами доступа важно выяснить, заметил ли кто-нибудь привилегированное добавление среди обычных изменений. Стоит записать и то, что убедило участников: фраза «голос звучал в точности как его» требует одного решения, а «письмо пришло первым, поэтому я поверил» — другого. Разбор проводят без поиска виноватых, желательно в тот же день; затем обновляют справочник, уточняют правила и добавляют сценарии в регулярные фишинг-учения. Повторять проверку нужно не реже двух раз в год и после появления нового CFO, приобретения компании или сезона активных конференций. Сценарии следует менять, чтобы знакомый текст не становился подсказкой.
Технологические средства полезны в двух местах: на этапе письма или чата, задающих контекст, и непосредственно во время звонка. Системы защиты почты могут отмечать необычные просьбы от имени руководителей, менеджеров или поставщиков. Инструменты для Microsoft Teams способны анализировать голос и видео во время встречи и предупреждать, если участник не похож на того, за кого себя выдает. Поиск технических артефактов генерации может стать менее надежным по мере совершенствования моделей; устойчивее сравнивать поведенческие и биометрические сигналы с профилем настоящего человека. При выборе сервиса нужно выяснить, записывает ли он встречи и делает ли расшифровки или обрабатывает сигналы только в реальном времени. IRONSCALES называет себя «первой и единственной платформой защиты электронной почты со встроенной защитой от дипфейков»; по заявлению компании, решение для Microsoft Teams использует поведенческий и биометрический анализ голоса и лица и не хранит записи или расшифровки.
Первое учение можно провести без отдельного бюджета: подготовить два списка, страницу правил проверки, четыре сценария и шаблон разбора. Финансовым и комплаенс-командам пригодится предупреждение FinCEN о схемах мошенничества с дипфейками: в нем описаны случаи, когда преступники с помощью генеративного ИИ выдавали себя за руководителей и направляли сотрудников переводить средства. Среди тревожных признаков FinCEN указывает смену канала связи в середине разговора с объяснением, что возникли технические неполадки. В пятничном звонке от имени CFO именно «плохая связь» должна стать поводом положить трубку и перезвонить по номеру, найденному независимо.
Изображение носит иллюстративный характер
По опросу Gartner за 2025 год, среди 302 руководителей по кибербезопасности 62% сообщили хотя бы об одной атаке с использованием дипфейков за предыдущие 12 месяцев. 43% сталкивались с поддельными аудиозвонками, 37% — с дипфейками во время видеозвонков. Перевод денег — лишь один из возможных ущербов. Поддельный голос может попросить службу поддержки перенести MFA-токен или убедить администратора создать учетную запись global admin перед «аудитом». Ошибочный перевод может обнаружиться при сверке платежей, а посторонняя учетная запись администратора — оставаться незамеченной месяцами.
Обучение часто предлагает искать подозрительные формулировки, необычный адрес отправителя или странную ссылку. Но качество клонирования голоса и подмены лица в реальном времени растет, а заметных улик становится меньше. В предупреждении от мая 2025 года FBI сообщало, что созданные ИИ голосовые сообщения от имени высокопоставленных чиновников США могут звучать почти так же, как настоящие. Совет ведомства — прежде чем действовать, проверить личность, перезвонив по номеру, найденному независимо. В исследовании Osterman Research, проведенном в январе 2026 года среди 128 руководителей по безопасности и IT в США по заказу IRONSCALES, 60% заявили, что не уверены в способности противостоять дипфейкам даже при наличии действующего обучения.
Защита должна опираться на привычную процедуру проверки, а не на слух сотрудника. Начать стоит с двух списков. В первый включают тех, чьи голоса могут подделать: CEO, CFO, CIO, CISO, главного юрисконсульта, вице-президентов и директоров финансовых, IT- и HR-подразделений. В список также входят внешние контакты с полномочиями в вопросах денег или доступа: например, руководитель дебиторской задолженности ключевого поставщика или инженер управляемого сервисного провайдера. Для каждого полезно отметить, сколько его аудио- и видеозаписей открыто публикуется: выступления с отчетами, подкасты, вебинары, ключевые доклады и ролики в соцсетях. Иногда для клонирования хватает нескольких минут записи с одного вебинара.
Во второй список вносят вероятных получателей звонков: сотрудников accounts payable, казначейства, расчетных ведомостей, HR, помощников руководителей, службы IT-поддержки и всех, кто меняет права в системе управления идентификацией. Особенно опасны просьбы о сбросе MFA: они могут привести к захвату учетной записи, или Account Takeover (ATO). Матрица из нескольких десятков имен помогает увидеть, кого выгодно выдавать за другого и кому атакующий, скорее всего, позвонит.
Затем письменно фиксируют правила проверки. Просьбы о переводе денег, смене банковских реквизитов, сбросе MFA, учетных данных или прав доступа нужно подтверждать обратным звонком по номеру из внутреннего справочника либо базы поставщиков. Номер из самого письма или звонка использовать нельзя. Для новых получателей платежей, измененных банковских реквизитов, привилегированных учетных записей и смены ролей нужны два согласования. Руководители, которых могут чаще всего подделывать, и их помощники могут пользоваться меняющейся по расписанию контрольной фразой. А CEO и CFO стоит письменно сообщить сотрудникам: за то, что человек прервал разговор и перезвонил, его не накажут.
Правила должны включать и разрешение остановиться. Мошенники давят срочностью и статусом собеседника; сотруднику важно понимать, что можно взять паузу, даже если он не способен точно объяснить тревогу. При подозрении после уже выполненного платежа, сброса или выдачи доступа нужно сразу сообщить об этом без обвинений и стыда. Хорошее правило для таких случаев звучит просто: «Не спешите действовать — остановитесь». Минута на обратный звонок обходится дешевле, чем последствия поддельной просьбы.
Сценарии стоит строить с учетом того, что атака часто начинается в письме или чате, а затем переходит в звонок, чтобы усилить давление. До учений нужно получить согласие юридического отдела, HR и каждого руководителя, чью личность собираются использовать. Можно привлечь согласившегося руководителя, актера с заранее подготовленным текстом или явно обозначенный синтетический голос. Для начала хватит четырех ситуаций: срочный перевод от имени CFO; изменение банковских реквизитов поставщика; звонок от имени VP of sales с просьбой перенести MFA на новый телефон перед заседанием совета директоров; письмо от офиса CISO о квартальной проверке прав, после которого «директор IT» просит убрать лишние права у пяти пользователей и заодно добавить подрядчика в привилегированную группу для аудиторов. В последнем случае подозрительная просьба спрятана внутри правдоподобной работы. Учения лучше назначать на конец квартала, сезон аудитов, дни перед праздниками или недели, когда руководители публично сообщали о поездках.
Первый этап — настольное упражнение: участники разбирают сценарий в переговорной и говорят, что будут делать на каждом шаге. Так можно быстро обнаружить пробелы: например, выяснится, что никто не знает, по какому номеру проверять просьбу. После этого проводят ограниченные живые симуляции. О запуске должны знать небольшая контрольная группа — исполнительный спонсор, руководитель SOC и глава финансов, — чтобы реальная эскалация не вызвала лишнюю тревогу. Деньги и права доступа остаются недоступными: используют тестового получателя платежа, запрос, останавливающийся на этапе согласования, и песочницу без реальных привилегий. Если участник расстроен или упражнение мешает работе, его сразу прекращают. После каждой симуляции участникам сообщают, что это было учение: ощущение ловушки подрывает доверие.
Одного результата «прошел/не прошел» мало. Нужно измерять, сколько людей проверили просьбу по установленной процедуре, сколько времени заняла эскалация и попало ли сообщение в SOC по нужному каналу или застряло в почте руководителя. Отдельно фиксируют точное место сбоя: не оказалось номера в справочнике, порог обязательной проверки был неясен, «руководитель» потребовал пропустить обратный звонок. В сценарии с правами доступа важно выяснить, заметил ли кто-нибудь привилегированное добавление среди обычных изменений. Стоит записать и то, что убедило участников: фраза «голос звучал в точности как его» требует одного решения, а «письмо пришло первым, поэтому я поверил» — другого. Разбор проводят без поиска виноватых, желательно в тот же день; затем обновляют справочник, уточняют правила и добавляют сценарии в регулярные фишинг-учения. Повторять проверку нужно не реже двух раз в год и после появления нового CFO, приобретения компании или сезона активных конференций. Сценарии следует менять, чтобы знакомый текст не становился подсказкой.
Технологические средства полезны в двух местах: на этапе письма или чата, задающих контекст, и непосредственно во время звонка. Системы защиты почты могут отмечать необычные просьбы от имени руководителей, менеджеров или поставщиков. Инструменты для Microsoft Teams способны анализировать голос и видео во время встречи и предупреждать, если участник не похож на того, за кого себя выдает. Поиск технических артефактов генерации может стать менее надежным по мере совершенствования моделей; устойчивее сравнивать поведенческие и биометрические сигналы с профилем настоящего человека. При выборе сервиса нужно выяснить, записывает ли он встречи и делает ли расшифровки или обрабатывает сигналы только в реальном времени. IRONSCALES называет себя «первой и единственной платформой защиты электронной почты со встроенной защитой от дипфейков»; по заявлению компании, решение для Microsoft Teams использует поведенческий и биометрический анализ голоса и лица и не хранит записи или расшифровки.
Первое учение можно провести без отдельного бюджета: подготовить два списка, страницу правил проверки, четыре сценария и шаблон разбора. Финансовым и комплаенс-командам пригодится предупреждение FinCEN о схемах мошенничества с дипфейками: в нем описаны случаи, когда преступники с помощью генеративного ИИ выдавали себя за руководителей и направляли сотрудников переводить средства. Среди тревожных признаков FinCEN указывает смену канала связи в середине разговора с объяснением, что возникли технические неполадки. В пятничном звонке от имени CFO именно «плохая связь» должна стать поводом положить трубку и перезвонить по номеру, найденному независимо.
