Wiadomość przychodzi z konta wyglądającego wiarygodnie, a rozmówca zna nazwiska, stanowiska i bieżące wydarzenia. Powołuje się na ważną sprawę państwową, prosi o dyskrecję i sugeruje, że czasu jest niewiele. Ministerstwo Cyfryzacji ostrzega, że właśnie taki scenariusz jest wykorzystywany w nowej kampanii wymierzonej w członków zarządów oraz osoby zajmujące wysokie stanowiska w firmach.
Przestępcy podszywają się pod rozpoznawalnych polityków lub osoby z ich otoczenia. Wykorzystują komunikatory, wiadomości tekstowe i połączenia telefoniczne, a dostępne publicznie materiały pozwalają im odtworzyć sposób wypowiedzi, sieć kontaktów i tematy, które mogą zainteresować konkretną organizację. Im lepiej przygotowany profil ofiary, tym mniej przypadkowo wygląda pierwszy kontakt.
Co już wiadomo
Atak nie zawsze zaczyna się od prośby o pieniądze. Oszust może pytać o strukturę firmy, aktualne negocjacje, osoby odpowiedzialne za płatności albo planowane spotkania. Takie informacje pomagają przygotować kolejny etap, już skierowany do księgowości, działu prawnego lub partnera biznesowego. Pozornie niewinna rozmowa staje się rozpoznaniem przed właściwą operacją.
Najsilniejszą bronią napastnika jest autorytet połączony z presją czasu. Pracownik może obawiać się zakwestionowania polecenia osoby wpływowej albo ujawnienia rzekomo poufnej sprawy. Dlatego prośba o zachowanie tajemnicy nie powinna być traktowana jako dowód wiarygodności. W atakach socjotechnicznych jest często sposobem odcięcia ofiary od współpracowników, którzy mogliby zauważyć niespójności.
Nowe narzędzia sztucznej inteligencji obniżają koszt przygotowania takiej kampanii. Model językowy może poprawić styl wiadomości i dopasować ją do stanowiska odbiorcy, a syntetyczny głos lub obraz utrudnia ocenę rozmowy na podstawie samego brzmienia. Nie oznacza to, że każdy atak wykorzystuje deepfake. Często wystarcza dobrze napisana wiadomość i przejęte zdjęcie profilowe.
Co to zmienia
Najważniejsza zasada obrony jest prosta: ważne polecenie trzeba potwierdzić drugim, niezależnym kanałem. Nie należy oddzwaniać na numer podany w podejrzanej wiadomości ani korzystać z przesłanego linku. Kontakt powinien nastąpić przez znany wcześniej numer, oficjalny sekretariat lub osobę odpowiedzialną w organizacji za relacje z administracją publiczną.
Firmy powinny także ustalić procedury dla nietypowych próśb składanych osobom z zarządu i pracownikom finansowym. Przelew, udostępnienie poufnego dokumentu albo zmiana rachunku kontrahenta nie mogą zależeć od decyzji jednej osoby, nawet gdy polecenie wygląda na pilne. Podwójna autoryzacja nie jest brakiem zaufania, lecz ochroną osoby podejmującej decyzję pod presją.
Znaczenie ma również ograniczenie ilości danych publikowanych o strukturze firmy. Nazwiska zarządu są zwykle jawne, ale kalendarze spotkań, bezpośrednie numery telefonów, wzory podpisów i szczegóły wewnętrznych projektów nie muszą być łatwo dostępne. Każdy taki element może zwiększyć wiarygodność fałszywej historii.
Podejrzany kontakt warto zabezpieczyć, zapisując numer, nazwę konta, treść wiadomości, godzinę rozmowy i adres przesłanego linku bez jego otwierania. Incydent należy zgłosić osobie odpowiedzialnej za bezpieczeństwo w organizacji oraz do CERT Polska. Szybkie zgłoszenie może pomóc ostrzec inne firmy, zanim kampania dotrze do kolejnych odbiorców.
O skuteczności tej metody decyduje nie technologiczna perfekcja, ale moment zawahania ofiary. Jeżeli procedura wymaga spokojnej weryfikacji, nazwisko polityka, profesjonalne zdjęcie i pilny ton tracą część siły. Najlepszą odpowiedzią firmy nie jest więc oczekiwanie, że każdy pracownik rozpozna fałszywy głos, lecz takie zorganizowanie decyzji, aby pojedyncze oszustwo nie wystarczyło.