Oszuści dostali do ręki narzędzia, które jeszcze niedawno były domeną studiów filmowych: klonowanie głosu z kilku sekund nagrania, generowanie twarzy na wideo i pisanie wiadomości bez literówek w dowolnym języku. To nie jest science fiction, to dzisiejszy standard. Dobra wiadomość jest taka, że schemat ataku prawie zawsze wygląda podobnie i da się go rozbroić kilkoma nawykami.
Ten tekst to praktyczny przewodnik: najpierw mechanizmy i sygnały ostrzegawcze, potem konkretne zasady obrony, które wdrożysz w rodzinie i firmie jeszcze dziś.
Jak naprawdę działają oszustwa z AI
Wbrew wrażeniu, AI nie wymyśla nowych przekrętów. Ona uwiarygadnia stare. Klasyczny scenariusz "wnuczek w potrzebie", fałszywy szef proszący o przelew czy podszywanie się pod bank istniały od dawna. AI usuwa ich słabe punkty:
- Głos. Klonowanie z krótkiej próbki (np. z filmiku w social mediach albo nagranej poczty głosowej) pozwala odtworzyć barwę i sposób mówienia konkretnej osoby.
- Wideo. Deepfake podmienia twarz lub generuje całą postać, także na żywo podczas wideorozmowy.
- Tekst. Modele językowe piszą poprawnie po polsku, dopasowują ton do firmy i prowadzą długą, spójną konwersację.
Kluczowa zmiana psychologiczna: zniknęły dawne "czerwone flagi", na których uczyliśmy się łapać oszustów. Łamana polszczyzna, dziwny akcent, koślawy mail z prośbą o dane. Dziś atak jest gładki, dlatego obrona musi opierać się nie na ocenie "czy brzmi wiarygodnie", tylko na twardych procedurach weryfikacji.
8 sygnałów ostrzegawczych
Żaden pojedynczy sygnał nie przesądza sprawy. Ale gdy zobaczysz dwa lub trzy naraz, traktuj kontakt jako podejrzany do czasu weryfikacji.
1. Presja czasu i tajemnica
To najważniejszy sygnał, niezależny od technologii. "Musisz działać teraz", "nie mów o tym nikomu", "to poufne, załatwmy to między nami". Oszust potrzebuje, żebyś nie zdążył pomyśleć ani zadzwonić do kogoś po radę. Sztuczny pośpiech to niemal definicja przekrętu.
2. Nietypowy kanał lub nowy numer
Znajomy głos, ale dzwoni z numeru, którego nie znasz. Szef pisze nagle przez SMS lub WhatsApp zamiast firmowego maila. Prośba przychodzi kanałem, którym ta osoba normalnie się nie kontaktuje. To częsty element ataku, bo oszust nie ma dostępu do prawdziwego konta, więc tworzy nowy punkt kontaktu.
3. Prośba o pieniądze, dane lub kody
Każdy nagły wątek finansowy zasługuje na podejrzliwość: przelew, "wykup karty podarunkowej", podanie kodu BLIK, kodu z SMS, danych logowania albo danych karty. Pamiętaj: żaden bank, urząd ani prawdziwy bliski nigdy nie poprosi Cię o hasło, pełny kod autoryzacyjny czy kod z SMS przez telefon.
4. Drobne anomalie w głosie
Klonowany głos potrafi brzmieć bardzo dobrze, ale często zdradzają go szczegóły: nienaturalna płynność bez nabierania oddechu, dziwny rytm, brak typowych "yyy" i pauz, płaska emocja przy dramatycznej treści albo lekko metaliczne tło. Jeśli "mama" płacze, ale oddech i intonacja nie pasują do emocji, to powód do weryfikacji.
5. Artefakty na wideo
Na deepfake wideo zwróć uwagę na: brak naturalnego mrugania lub mruganie w złym momencie, rozmyte krawędzie twarzy przy szybkim ruchu, dziwne dłonie i zęby, brak synchronizacji ust z dźwiękiem, nienaturalne oświetlenie skóry. Prosty test podczas rozmowy: poproś osobę, żeby obróciła głowę w profil i przesunęła dłoń przed twarzą. Generatory wciąż słabo radzą sobie z takimi ujęciami.
6. Treść, która "nie pasuje do tej osoby"
Wiadomość jest poprawna językowo, ale czegoś brakuje: nie ma wewnętrznych żartów, których normalnie używacie, pojawiają się zwroty nietypowe dla nadawcy, brakuje wiedzy o szczegółach, które ta osoba na pewno by znała. AI doskonale imituje formę, gorzej radzi sobie z prawdziwą, wspólną historią między wami.
7. Nadgorliwe uwiarygadnianie
Oszust sam podsuwa "dowody": logo firmy, numer sprawy, podrobiony dokument, link do strony łudząco podobnej do prawdziwej. Im bardziej ktoś próbuje Cię przekonać, że jest prawdziwy, zanim w ogóle o to zapytałeś, tym ostrożniejszy bądź. Prawdziwy bank nie musi Ci udowadniać, że jest bankiem.
8. Prośba o ominięcie normalnej procedury
"Pomińmy ten raz akceptację", "zrób przelew z prywatnego konta, firma odda", "nie pytaj księgowości, ja autoryzuję". Atak na firmy prawie zawsze polega na przekonaniu pracownika, żeby zrobił wyjątek od zasad. Jeśli ktoś prosi o ominięcie procedury, to procedura właśnie zadziałała, bo Cię ostrzegła.
Zasady obrony, które działają niezależnie od technologii
Nie da się na bieżąco rozpoznawać coraz lepszych deepfake'ów okiem. Dlatego obrona musi być proceduralna, a nie percepcyjna.
Weryfikacja drugim kanałem (zasada numer jeden)
To najważniejszy nawyk z całego tekstu. Jeśli kontakt przyszedł jednym kanałem, potwierdź go innym, znanym wcześniej kanałem. Dzwoni "syn" z nieznanego numeru? Rozłącz się i zadzwoń na jego prawdziwy, zapisany numer. Mail od "szefa" o pilnym przelewie? Potwierdź telefonicznie lub osobiście. Nigdy nie weryfikuj kontaktu danymi, które podał Ci sam kontakt, bo to zamknięte koło.
Złota zasada: nieoczekiwana prośba o pieniądze lub dane = rozłącz się i oddzwoń na numer, który już znasz.
Hasło rodzinne
Ustalcie w rodzinie jedno proste hasło-niespodziankę, znane tylko wam, którego nie ma nigdzie w internecie. Gdy ktoś dzwoni "w nagłej sprawie" prosząc o pieniądze, pytasz o hasło. Klon głosu go nie zna.
- Wybierzcie coś nieoczywistego (nie imię psa, nie data urodzin, bo to bywa publiczne).
- Nie zapisujcie go w wiadomościach ani w social mediach.
- Ustalcie też prostą zasadę: w prawdziwej nagłej sytuacji nikt nie obrazi się, że pytasz o hasło.
Procedura dwóch osób w firmie
W firmie żadna prośba o przelew, zmianę numeru konta kontrahenta czy udostępnienie danych nie powinna być realizowana na podstawie jednego kanału.
| Sytuacja | Reguła obrony |
|---|---|
| "Pilny" przelew od przełożonego | Potwierdzenie głosowe lub osobiste plus akceptacja drugiej osoby |
| Zmiana numeru konta kontrahenta | Telefon na wcześniej znany numer kontrahenta, nie z maila |
| Prośba o dane logowania lub kody | Zawsze odmowa, zgłoszenie do IT |
| Wideorozmowa z prośbą finansową | Test na żywo plus weryfikacja drugim kanałem |
Ogranicz materiał do klonowania
Im mniej Twojego głosu i twarzy krąży publicznie, tym trudniej Cię sklonować. Ustaw profile w social mediach jako prywatne, ogranicz publiczne nagrania, a nieznane numery puszczaj na pocztę głosową, bo samo "halo, kto mówi?" bywa próbką do nagrania.
Co zrobić w trakcie podejrzanej rozmowy
- Zwolnij. Powiedz wprost: "oddzwonię za chwilę". Prawdziwa pilna sprawa to wytrzyma, oszustwo nie.
- Zadaj pytanie kontrolne z waszej wspólnej historii, na które odpowiedzi nie ma w internecie.
- Poproś o hasło rodzinne albo o test na wideo (obrót głowy, dłoń przed twarzą).
- Nie podawaj żadnych kodów, haseł ani danych karty. Nigdy, niezależnie od argumentów.
- Rozłącz się i zweryfikuj drugim kanałem.
Gotowe prompty: przećwicz scenariusze z AI
Najlepsza obrona to wcześniejszy trening. Możesz użyć dowolnego asystenta AI, żeby przygotować rodzinę lub zespół. Skopiuj poniższe prompty.
Prompt do stworzenia karty zasad dla rodziny:
Jesteś ekspertem od bezpieczeństwa. Stwórz jednostronicową kartę
"Zasady bezpieczeństwa rodziny" po polsku, prostym językiem, dla osób
w wieku 15-80 lat. Uwzględnij: zasadę weryfikacji drugim kanałem,
pomysł na hasło rodzinne, listę 5 rzeczy, których nigdy nie podajemy
przez telefon, oraz krótką instrukcję "co robić, gdy ktoś naciska na
pośpiech". Ton spokojny, bez straszenia. Format: nagłówki i krótkie
punkty do wydrukowania.Prompt do treningu czujności (symulacja):
Zagrajmy w ćwiczenie obronne. Wcielisz się w oszusta używającego
socjotechniki (bez podawania realnych instrukcji oszukiwania innych),
a ja mam Cię rozpoznać. Po każdej Twojej wiadomości oceniaj, które
sygnały ostrzegawcze się pojawiły (presja czasu, nietypowy kanał,
prośba o dane lub pieniądze, ominięcie procedury) i podpowiadaj, jakie
pytanie kontrolne powinienem zadać. Zacznij od scenariusza: telefon od
"członka rodziny w nagłej potrzebie".Prompt do procedury firmowej:
Napisz krótką procedurę (po polsku) dla małej firmy chroniącą przed
oszustwami typu "fałszywy prezes" i podmiana numeru konta kontrahenta.
Uwzględnij: obowiązek potwierdzenia drugim kanałem, zasadę dwóch osób
przy przelewach powyżej ustalonego progu, zakaz zmiany numeru konta
wyłącznie na podstawie maila, oraz ścieżkę zgłaszania podejrzeń.
Maksymalnie jedna strona, punktowo.Najczęstsze pułapki
- "Mnie to nie dotyczy, nie jestem znany." Do klonowania głosu wystarczy krótka próbka, a do podszycia się pod bank czy kuriera nie trzeba znać ofiary.
- Ufanie temu, co widać i słychać. Wideo i głos nie są już dowodem tożsamości. Dowodem jest weryfikacja drugim kanałem.
- Weryfikacja danymi od oszusta. Numer, link czy "infolinia" podane przez dzwoniącego to część scenariusza. Używaj wyłącznie danych, które miałeś wcześniej.
- Wstyd przed sprawdzeniem. Pytanie o hasło rodzinne czy oddzwonienie to nie brak zaufania, tylko zdrowy nawyk. Bliscy to zrozumieją.
Podsumowanie
AI sprawiła, że oszustwa wyglądają i brzmią wiarygodnie, więc przestań polegać na wrażeniu "to brzmi prawdziwie". Zamiast tego wgraj sobie i bliskim trzy odruchy: reaguj na presję czasu spokojem, potwierdzaj każdą nietypową prośbę drugim, znanym kanałem, i nigdy nie podawaj kodów ani haseł. Ustal hasło rodzinne i procedurę dwóch osób w firmie. To kilka prostych nawyków, które rozbrajają nawet najlepszy technicznie atak.
Tekst powstał z pomocą AI i został zredagowany przez człowieka.
