Deepfake'i grożą pracownikom: 23% Polaków padło ofiarą

Deepfake’i przestały być futurystycznym zagrożeniem – dziś są rzeczywistością, z którą boryka się co czwarty polski pracownik. Według raportu „Cyberportret polskiego biznesu” przygotowanego przez ESET i DAGMA Bezpieczeństwo IT, aż 23% Polaków pracujących przy komputerze padło już ofiarą materiałów sfałszowanych z wykorzystaniem sztucznej inteligencji, a prawie co dziesiąty pracownik zetknął się z próbą oszustwa wykorzystującą cyfrowo sklonowany głos lub wizerunek współpracownika.

Deepfake jako narzędzie cyberprzestępców

Deepfake to fałszywy materiał wideo, audio lub obraz utworzony za pomocą sztucznej inteligencji, który cyfrowo klonuje wizerunek lub głos rzeczywistej osoby. Technologia, która jeszcze kilka lat temu wydawała się ciekawostką technologiczną, dziś stała się jednym z głównych narzędzi wykorzystywanych przez oszustów do wyłudzania danych i pieniędzy.

Cyberprzestępcy mogą wykorzystać deepfake’a na wiele sposobów: do fałszywych połączeń od „szefa” żądającego natychmiastowego przelewu, do wysyłania wiadomości e-mail pozornie od współpracownika, czy do kradzieży tożsamości w mediach społecznościowych. Zagrożenie jest tym bardziej poważne, że technologia rozwija się szybciej niż świadomość użytkowników.

Polska wiedza o deepfake’ach – gdzie jest problem?

Mimo rosnącej skali zagrożenia, wiedza Polaków o deepfake’ach praktycznie nie rośnie. Aż 57% badanych pracowników nie wie, czym jest deepfake – niemal tyle samo co rok wcześniej (58%). To pokazuje fundamentalny problem: rozwój technologii sztucznej inteligencji wyprzedza wzrost świadomości o zagrożeniach, jakie ze sobą niesie.

Jeszcze bardziej niepokojące są wyniki dotyczące zdolności do rozpoznania fałszywych materiałów. Aż 70% respondentów nie jest przekonanych, że potrafiłoby odróżnić treść wygenerowaną przez AI od autentycznej. Jednocześnie 57% Polaków obawia się kradzieży tożsamości z wykorzystaniem sztucznej inteligencji – czyli pracownicy zdają sobie sprawę z zagrożenia, ale czują się bezradni wobec niego.

Jak rozpoznać deepfake?

Choć technologia staje się coraz bardziej zaawansowana, deepfake’i wciąż mogą mieć charakterystyczne ślady, które mogą je zdradzić:

• W materiałach wideo: nienaturalne ruchy oczu, migotanie powieki, nieregularne oświetlenie twarzy, artefakty na krawędziach twarzy, dziwne ruchy ust lub nienaturalna mimika
• W nagraniach audio: nienaturalne pauzy, monotonny ton głosu, błędy wymowy, dziwne akcenty lub niezgodności z typową mową danej osoby
• W ogólnych materiałach: brak logiki scenariusza, dziwne detale w tle, niezgodności czasowe

Jednak eksperci ostrzegają, że poleganie wyłącznie na wizualnej lub słuchowej analizie to ryzykowna strategia. Technologia AI rozwija się tak szybko, że coraz trudniej jest wychwycić fałszerstwa.

Praktyczne zasady obrony przed deepfake’ami

Najskuteczniejszą bronią jest weryfikacja u źródła. Jak podkreśla Dawid Koziorowski, Offensive Cybersecurity Team Leader w DAGMA Bezpieczeństwo IT: „Zbliżamy się do momentu, gdy głos rozmówcy po drugiej stronie telefonu może być cyfrowym klonem. Niezależnie od poziomu zaawansowania technologii zasada pozostaje ta sama: każde działanie mające wpływ na bezpieczeństwo danych należy potwierdzić u źródła.”

Praktyczne kroki ochrony:

1. Zadzwoń bezpośrednio – jeśli otrzymasz wiadomość od szefa, współpracownika lub instytucji żądającą poufnych danych lub pieniędzy, zadzwoń do tej osoby na znany Ci numer telefonu
2. Pytaj o szczegóły – deepfake’i mogą nie znać specyficznych informacji dostępnych tylko dla autentycznej osoby
3. Zwracaj uwagę na nietypowe wzorce komunikacji – jeśli osoba pisze inaczej niż zwykle lub prosi o coś niezwykłego, to może być ostrzeżenie
4. Nie udostępniaj podejrzanych materiałów – jeśli widzisz deepfake, nie dziel się nim w mediach społecznościowych, bo to rozprzestrzenia oszustwo
5. Zgłaszaj do platform – każdy portal mediów społecznościowych ma funkcję zgłaszania fałszywych materiałów

Skalę problemu pokazują niedawne wydarzenia

Niedawny incydent z Google Earth ilustruje skalę problemu. Firma zintegrowała generator obrazów Nano Banana 2, umożliwiający tworzenie fikcyjnych obrazów na podstawie prawdziwych zdjęć satelitarnych i modeli 3D. Jednak gdy użytkownicy zaczęli publikować wygenerowane materiały przedstawiające nieistniejące zdarzenia – w tym zawaloną wieżę Eiffla – Google w ciągu niespełna 48 godzin wycofała funkcję i zapowiedziała wdrożenie silniejszych zabezpieczeń. To pokazuje, jak szybko technologia może wymknąć się spod kontroli, jeśli nie będzie odpowiednio zabezpieczona.

Statystyka	Wartość	Znaczenie
Polacy doświadczający deepfake’ów	23%	Co czwarty pracownik przy komputerze
Pracownicy nieznający terminu deepfake	57%	Prawie połowa nie wie, co to jest
Osoby niepewne rozpoznania deepfake’a	70%	Większość czuje się bezradna
Obawy o kradzież tożsamości przez AI	57%	Pracownicy wiedzą o zagrożeniu
Pracownicy zetknięci z oszustwem głosem/wizerunkiem	~10%	Prawie co dziesiąty

Nowe przepisy – czy to wystarczy?

Od 2 sierpnia 2024 roku obowiązują przepisy unijnego AI Act, które nakładają obowiązek oznaczania treści generowanych przez sztuczną inteligencję oraz zwiększają wymagania dotyczące transparentności systemów tworzących deepfake’i. Polska, jako członek Unii Europejskiej, musi dostosować się do tych regulacji.

Jednak eksperci ESET i DAGMA są sceptyczni co do skuteczności samych regulacji. Przepisy mogą zwiększyć świadomość użytkowników i przyzwyczaić ich do weryfikowania pochodzenia treści, ale nie powstrzymają zdeterminowanych cyberprzestępców. Jak podsumowuje Juraj Jánošík, ESET VP of Artificial Intelligence: „Do krajobrazu zagrożeń, który nieustannie się zmienia, dochodzi fakt, że phishing generowany przez AI i deepfaki przestały być scenariuszami hipotetycznymi. Dlatego właściwe podejście to połączenie lepszej detekcji, uważności na nietypowe wzorce komunikacji i, a być może przede wszystkim, zadbania o to, żeby pracownicy wiedzieli, na co zwracać uwagę. Czynnik ludzki nadal ma ogromne znaczenie.”

Co to oznacza dla Ciebie

Deepfake’i to zagrożenie, które może dotknąć każdego – zarówno pracowników biurowych, jak i osób pracujących zdalnie. Jeśli pracujesz w Polsce i masz dostęp do danych firmowych, jesteś potencjalnym celem dla cyberprzestępców. Oszuści mogą spróbować:

• Wyłudzić od Ciebie dostęp do systemów firmowych, podając się za szefa
• Skłonić Cię do przelewu pieniędzy, twierdząc że to pilna sprawa
• Skompromitować Cię w oczach kolegów, rozpowszechniając fałszywe materiały
• Ukraść Twoją tożsamość do celów oszustw wobec innych

Dlatego edukacja jest kluczowa. Musisz wiedzieć, że każda wiadomość wymagająca działania w kwestii bezpieczeństwa danych powinna być zweryfikowana bezpośrednio u źródła. To nie jest paranoja – to elementarna ostrożność w czasach, gdy technologia pozwala na coraz bardziej realistyczne fałszerstwa.

Pracodawcy powinni regularnie szkolić pracowników z zagrożeń związanych z deepfake’ami i phishingiem generowanym przez AI. Pracownicy powinni wiedzieć, jak zgłaszać podejrzane materiały. A wszyscy powinniśmy pamiętać o złotej regule: jeśli coś wydaje się podejrzane, zadzwoń i zweryfikuj u źródła.