Dar prieš kelerius metus atpažinti sukčiavimo laišką buvo gana paprasta – kreivi vertimai, keista gramatika, absurdiškos nuorodos ar el. pašto adresas, kuris akivaizdžiai neturi nieko bendra su banku ar kurjerių tarnyba. Šiandien situacija pasikeitė iš esmės. Dirbtinis intelektas įgalino sukčius kurti tekstus, balsus ir net vaizdo įrašus, kurie atrodo taip natūraliai, kad net technologijas išmanantis žmogus gali suklysti. Phishing nebe tas pats, koks buvo prieš dešimtmetį – ir apie tai verta pasikalbėti rimtai.
Kodėl AI pakeitė žaidimo taisykles
Anksčiau sukčiavimo kampanijos buvo gana lengvai atpažįstamos dėl kalbos klaidų. Daugelis phishing laiškų buvo verčiami automatiniais vertėjais, todėl sakiniai skambėjo nenatūraliai, o kartais tiesiog juokingai. Su didelės kalbos modeliais (LLM) tokiais kaip ChatGPT, Claude ar kiti panašūs įrankiai, ta problema praktiškai išnyko. Sukčius gali paprašyti sugeneruoti idealiai natūralų lietuvišką tekstą, imituojantį konkrečios organizacijos komunikacijos stilių, ir gaus rezultatą per kelias sekundes.
Be to, AI leidžia masiškai personalizuoti žinutes. Jei anksčiau vienas ir tas pats laiškas buvo siunčiamas tūkstančiams gavėjų, dabar algoritmas gali automatiškai įterpti gavėjo vardą, darbovietę, net paminėti neseniai vykusį įmonės renginį, jei ta informacija viešai prieinama LinkedIn ar kitur. Tai vadinama spear phishing – tikslinis sukčiavimas, kuris tampa daug efektyvesnis, kai personalizacija atliekama automatiškai, o ne rankiniu būdu.
Balso klonavimas – kai skambina „vadovas“
Vienas neramiausių pokyčių – balso klonavimo technologijos. Užtenka kelių sekundžių garso įrašo (pavyzdžiui, iš viešo interviu, podcast’o ar net socialinių tinklų video), kad AI sistema sugeneruotų balsą, kalbantį bet kokiu tekstu, kurį įvedi. Realūs atvejai jau fiksuoti visame pasaulyje – finansų skyriaus darbuotojai gauna skambutį, kuriame „generalinis direktorius“ prašo skubiai pervesti pinigus į naują sąskaitą. Balsas skamba autentiškai, intonacijos natūralios, net kvėpavimo pauzės atrodo tikros.
Lietuvoje panašių atvejų kol kas mažiau viešinama, tačiau tai nereiškia, kad jų nėra – dažnai įmonės tiesiog nenori viešinti tokių incidentų dėl reputacijos. Verslo el. pašto kompromitavimo (BEC – Business Email Compromise) atakos, sustiprintos balso klonavimu, tampa vis sunkiau atskiriamos nuo tikrų skambučių.
Deepfake vaizdo įrašai ir vaizdo skambučiai
Jei balso klonavimas jau kelia nerimą, deepfake video technologija eina dar toliau. Yra fiksuoti atvejai, kai sukčiai surengdavo visą Zoom ar Teams skambutį su keliais „darbuotojais“, kurių veidai ir balsai buvo sugeneruoti AI, tik tam, kad įtikintų vieną tikrą darbuotoją atlikti pavedimą. Vienas garsiausių pavyzdžių – Honkonge veikianti finansų įmonė, kurios darbuotojas pervedė apie 25 milijonus dolerių po vaizdo konferencijos su „kolegomis“, kurie iš tikrųjų buvo deepfake generuoti personažai.
Technologija tam reikalinga vis prieinamesnė – nereikia turėti superkompiuterio ar programavimo žinių. Yra debesijos paslaugos, kurios per kelias minutes sugeneruoja realistišką vaizdo turinį, jei tik turi pakankamai šaltinio medžiagos apie tikslinį asmenį.
Automatizuoti phishing puslapiai ir chatbot’ai
AI naudojamas ne tik tekstams ar balsams generuoti, bet ir visai phishing infrastruktūrai kurti. Yra atvejų, kai kenkėjiški įrankiai (pavyzdžiui, tam tikri underground forumuose parduodami „WormGPT“ ar panašūs produktai, sukurti specialiai apeiti etikos apribojimus) leidžia sukčiams generuoti:
- Netikrus prisijungimo puslapius, kurie vizualiai identiški tikriems (banko, Microsoft 365, Google paskyros)
- Automatinius pokalbių robotus, kurie „bendrauja“ su auka realiu laiku, atsakinėdami natūraliai ir įtikinamai
- SMS ir el. pašto tekstus, pritaikytus konkrečiai kalbai ir kultūrinėms nuorodoms
- QR kodus, vedančius į kenkėjiškus puslapius (vadinamasis „quishing“)
Tai reiškia, kad net technologiškai mažiau raštingi sukčiai dabar gali paleisti gana sofistikuotas kampanijas, nes AI atlieka didžiąją dalį sudėtingo darbo.
Kaip atpažinti AI generuotą sukčiavimą
Gera žinia – nors AI pagerino sukčiavimo kokybę, tam tikri požymiai vis dar išlieka. Reikia tiesiog keisti, į ką kreipiame dėmesį.
Skubos jausmas ir emocinis spaudimas. Nesvarbu, kokia technologija naudojama, sukčiai vis dar remiasi psichologija. Jei laiškas ar skambutis reikalauja skubiai veikti, grasina pasekmėmis arba žada didelę naudą per trumpą laiką – tai raudona vėliavėlė, nepriklausomai nuo to, kaip įtikinamai tai skamba.
Neįprasti prašymai keisti mokėjimo detales. Jei gaunate prašymą pakeisti banko sąskaitos numerį, net jeigu laiškas ar skambutis atrodo visiškai autentiškas, visada patikrinkite antruoju kanalu – paskambinkite žinomu, iš anksto turimu numeriu, ne tuo, kuris nurodytas įtartiname pranešime.
Techninės detalės. Patikrinkite siuntėjo el. pašto adresą (ne tik rodomą vardą), pele užvedę pažiūrėkite, kur veda nuorodos, atkreipkite dėmesį į domeno pavadinimą – ar jis tikrai priklauso organizacijai, ar tik panašus (pvz., „paypa1.com“ vietoj „paypal.com“).
Vaizdo ir garso artefaktai. Deepfake technologija dar nėra tobula. Ieškokite nenatūralaus mirksėjimo, keistų šešėlių, lūpos judesio neatitikimo su garsu, metalinio ar robotiško garso tembro, ypač emocionaliuose momentuose.
Ką daryti organizacijos lygmeniu
Individualus budrumas svarbus, bet realiai efektyviausia apsauga kuriama sistemiškai. Įmonėms verta įdiegti kelis konkrečius procesus:
Pirma, patvirtinimo procedūros didelėms finansinėms operacijoms turėtų reikalauti kelių žmonių pritarimo ir patvirtinimo per skirtingus kanalus, ne tik el. paštu ar vienu skambučiu. Antra, darbuotojų mokymai turėtų būti atnaujinami reguliariai, įtraukiant realius pavyzdžius, kaip atrodo modernios AI generuotos atakos – ne tik senos mokyklos phishing pavyzdžius. Trečia, verta apsvarstyti technines priemones – el. pašto filtravimo sistemas su AI aptikimo galimybėmis, kurios analizuoja rašymo stilių ir gali aptikti anomalijas net idealiai suformuluotuose tekstuose.
Taip pat naudinga įvesti „kodinį žodį“ šeimoje ar komandoje – paprastą frazę, kurią žino tik artimieji ar patikimi kolegos, ir kurią galima paklausti, jei kyla įtarimų dėl skambučio autentiškumo. Skamba senamadiškai, bet veikia stebėtinai gerai prieš balso klonavimo atakas.
Ar AI gali padėti ir gynybai
Įdomu tai, kad ta pati technologija, kuri stiprina sukčių arsenalą, naudojama ir gynybai. Šiuolaikinės el. pašto saugumo platformos (pvz., Microsoft Defender, Proofpoint, Mimecast) naudoja mašininio mokymosi algoritmus, kad analizuotų ne tik nuorodas ar priedus, bet ir elgsenos modelius – ar konkretus siuntėjas rašo kitokiu stiliumi nei įprastai, ar prašymas neatitinka istorinio bendravimo modelio. Kai kurios sistemos jau geba aptikti deepfake balso ar vaizdo požymius realiu laiku, analizuodamos mikroskopinius artefaktus, kurių žmogaus akis ar ausis nepastebi.
Tai tampa savotišku ginklų lenktynių ciklu – kiekvieną kartą, kai gynybos technologija patobulėja, sukčiavimo įrankiai irgi evoliucionuoja, kad apeitų naujus aptikimo mechanizmus. Realistiškas požiūris – jokia technologija nesuteiks 100% apsaugos, todėl žmogiškasis faktorius (budrumas, kritinis mąstymas, procedūrų laikymasis) išlieka svarbiausia gynybos linija.
Vietoj išvados: kaip gyventi pasaulyje, kur negalima pasitikėti nei akimis, nei ausimis
Skamba dramatiškai, bet realybė tokia – šiandien nebegalima aklai pasitikėti tuo, ką matai vaizdo skambutyje ar girdi telefonu. Tai nereiškia, kad reikia gyventi paranojoje, tačiau tam tikras sveikas skepticizmas tapo būtina gyvenimo dalimi, ypač dirbant su finansais ar jautria informacija.
Praktinis patarimas kasdienai: jei kažkas prašo skubių veiksmų, susijusių su pinigais ar slapta informacija – sustok, atsikvėpk, patikrink kitu kanalu. Tas papildomas dviejų minučių žingsnis gali išgelbėti nuo didelių nuostolių. Nesvarbu, kiek įtikinamai skamba balsas telefone ar kiek natūraliai atrodo veidas ekrane – patikrinimas per nepriklausomą, iš anksto žinomą kontaktinį kanalą visada bus geriausia apsauga.
Įmonėms verta investuoti ne tik į technologijas, bet ir į kultūrą, kurioje darbuotojai nebijo paklausti dar kartą ar sustabdyti procesą, jei kažkas atrodo neįprasta – net jei tai reiškia, kad reikia „pertraukti“ vadovą ar sulėtinti skubų projektą. Geriau nepatogus klausimas nei prarasti pinigai ar duomenys.
Ir galiausiai – sekite naujienas apie tai, kaip AI naudojamas sukčiavimui. Ši sritis keičiasi greičiau nei bet kada anksčiau, ir tai, kas šiandien atrodo fantastika, rytoj gali tapti kasdiene realybe jūsų pašto dėžutėje ar telefono skambutyje. Informuotumas šiuo atveju yra pigiausia ir efektyviausia apsaugos priemonė, kokią galite turėti.
