Tekoälydeepfake-pomohuijaukset kiihdyttävät digipetoksia – 40 prosentin kasvu ja miksi pankkisi ei pysty pysäyttämään niitä

Teollinen automaatio. Petokset siirtyvät yksittäisistä suurista iskuista automatisoituihin, volyymiin perustuviin hyökkäyksiin . Esiintymishuijaukset kasvoivat yli 1 400 % vuonna 2025 . Muutos on niin voimakas, että uhrien määrä nousee, vaikka kokonaistappiot pysyisivätkin ennallaan – tämä on teollistuneen, tekoälyautomatisoidun petoksen tunnusmerkki, joka on optimoitu volyymille .

Synteettinen identiteettipetos. Tämä maksoi maailmanlaajuiselle finanssialalle arviolta 22 miljardia dollaria vuonna 2024, 31 miljardia dollaria vuonna 2025, ja sen arvioidaan ylittävän 40 miljardia dollaria vuonna 2026 – deepfake-teknologian ollessa pääasiallinen ajuri . Kehittyneet petokset tekoälyllä luotuja identiteettejä käyttäen lisääntyivät 180 % vuodesta toiseen .

Deepfakejen osuus kaikesta maailmanlaajuisesta petostoiminnasta on nyt 11 % Vectra AI:n keräämän datan mukaan . Deepfake-identiteettipetosten määrän ennustetaan kasvavan 495 % vuonna 2026 verrattuna vuoteen 2025 . Pelkästään finanssialalla deepfake-petosyritykset ovat kasvaneet 2 137 % vuodesta 2022 .

Miten 'pomohuijaukset' käyttävät tekoälyn äänikloonausta ja synteettistä videota

Pomohuijauksessa tekijät matkivat ylintä johtoa – toimitusjohtajaa, hallituksen puheenjohtajaa tai talousjohtajaa – saadakseen talousosaston työntekijät hyväksymään kiireellisiä tilisiirtoja. Tekniikat voidaan jakaa muutamaan tyyppiin:

Tekoälyn äänikloonaus. Rikolliset käyttävät lyhyttä ääninäytettä (usein otettuna julkisista tulosjulkaisuista, tallennetuista kokouksista tai sosiaalisen median leikkeistä) luodakseen vakuuttavan äänen . Kloonattua ääntä käytetään puheluissa tai vastaajaviesteissä, joissa alainen määrätään siirtämään varoja. Tammikuussa 2026 sveitsiläinen yrittäjä menetti useita miljoonia Sveitsin frangeja puheluiden jälkeen, joissa tekoälyllä kloonattu ääni matki luotettua liikekumppania .

Deepfake-videopuhelut. Arupin tapaus on tunnetuin esimerkki, mutta se ei ole ainutlaatuinen. Maaliskuussa 2025 singaporelainen talousjohtaja hyväksyi noin 42 miljoonan dollarin tilisiirrot saatuaan ohjeita videopuhelussa, jossa puhuja näytti ja kuulosti yhtiön talousjohtajalta . Hyökkääjät käyttivät tekoälyllä luotuja video- ja äänikopioita talousjohtajasta ja muista johtajista .

Perheen hätätilanteena esiintyminen. Rinnakkaisessa muunnelmassa käytetään äänikloonausta matkimaan sukulaista – usein lasta tai lastenlasta – joka väittää joutuneensa auto-onnettomuuteen, pidätetyksi, siepatuksi tai tarvitsevansa kiireellistä hoitoa ja vaatii välittömiä maksuja . Dokumentoituja tappioita perheen hätätilanteen deepfake-huijauksista on yli 5 miljoonaa dollaria .

Monikanavaiset taktiikat. Huijarit käyttävät Whatsappia, sähköpostia, Microsoft Teamsia ja puheluita luodakseen auktoriteetin ja kiireen tuntua. He usein tutkivat julkisesti saatavilla olevaa tietoa tehdäkseen esiintymisestä vakuuttavampaa ja painostavat uhreja tekaistulla kiireellisyydellä ja luottamuksellisuudella . Heinäkuussa 2026 Yhdysvaltain liittovaltion syyttäjät nostivat syytteet 14 henkilöä vastaan 47 miljoonan dollarin deepfake-petosjärjestelystä, joka kohdistui yli 1 200 ikääntyneeseen aikuiseen matkimalla pankkivirkailijoita ja perheenjäseniä .

Miksi pankkien henkilöllisyyden varmistusjärjestelmät pettävät

Pankit ja fintech-yritykset ovat viime vuosikymmenen aikana rakentaneet etähenkilöllisyyden varmistuksen yksinkertaisen kaavan ympärille: näytä henkilöllisyystodistus, ota selfie, tee ehkä lyhyt elävyystarkistus. Vuonna 2026 tämä kaava pettää mitattavissa olevilla tavoilla.

Asiakirja + selfie -KYC voitetaan. Perustason asiakirja- ja selfie-varmistus ohitetaan kasvojenvaihto- ja kamerainjektiotyökaluilla. Injektiohyökkäykset – joissa tekijät syöttävät ennalta tallennetun deepfake-videon suoraan live-kamerasyötteeseen – kasvoivat 783 % vuonna 2024 . Deepfake-kasvonvaihdot ohittavat perustason elävyystarkistukset 58 %:ssa tapauksista .

Synteettiset identiteetit ohittavat asiakkaaksiottovaiheen. Tekijät muuttavat kuvia kadonneista tai varastetuista henkilökorteista ja käyttävät deepfakeja päästäkseen läpi etävarmistuksesta. He avaavat tilejä, joita käytetään lainoihin, luottokorttipetoksiin ja rahanpesuun . Joka sadas varmistusyritys sisältää nykyään jonkinlaisen deepfaken .

Injektio- ja toistohyökkäykset ovat teollistuneet. Hyökkääjät käyttävät työkaluja, kuten OBS Virtual Cameraa tai omia ajureita, ohjatakseen ennalta tallennetun tai tekoälyllä luodun videovirran varmistussessioon . Ohjelmistoja myydään nykyään hyödykkeinä .

Mittakaava on ylivoimainen. Deepfake-petosyritykset Yhdysvalloissa kasvoivat 1 100 % pelkästään vuoden 2025 ensimmäisellä neljänneksellä . Arviolta 85 % identiteettipetoksista käyttää nyt generatiivisen tekoälyn työkaluja . Entrustin vuoden 2026 identiteettipetosraportti paljastaa, että deepfakeja liittyy joka viidenteen biometriseen petosyritykseen ja että deepfake-selfieiden määrä kasvoi 58 % vuonna 2025 .

SEBI:n varoitukset pomohuijauksista (heinäkuu 2026)

Intian arvopaperimarkkinaviranomainen SEBI antoi 17. heinäkuuta 2026 muodollisen tiedotteen (tiedote nro 40/2026), jossa se varoitti kaikkia listayhtiöitä ja säänneltyjä yhteisöjä pomohuijauksesta . Tärkeimmät seikat tiedotteesta:

• SEBI totesi, että tekijät käyttävät deepfake-äänikloonausta ja tekoälyllä luotuja videopuheluita matkiakseen ylintä johtoa ja saadakseen talousosastot siirtämään varoja .
• Tiedotteen taustalla olivat Intian kyberrikosten koordinointikeskuksen (I4C) varoitukset .
• SEBI kehotti yrityksiä ottamaan käyttöön tiukempia varmistusmenettelyjä kaikille tilisiirroille, mukaan lukien erilliskanavan varmistus (esim. soita takaisin tunnettuun, itsenäisesti vahvistettuun numeroon) ja monen henkilön hyväksyntä tietyn rajan ylittäville maksuille .
• Viranomainen varoitti, että huijarit tutkivat julkisesti saatavilla olevaa tietoa tehdäkseen esiintymisestä vakuuttavan ja painostavat uhreja tekaistulla kiireellisyydellä ja luottamuksellisuudella .

SEBI:n tiedote on osa laajempaa trendiä. Vuoden 2025 viimeisellä neljänneksellä Yhdysvaltain FinCEN antoi tiedotteen varoittaen rahoituslaitoksia deepfakejen käytöstä identiteettipetoksissa . Euroopan parlamentti, INTERPOL ja monet kansalliset valvojat ovat antaneet samanlaisia varoituksia .

Mitä yritykset voivat tehdä nyt

Valvojat ja tietoturva-asiantuntijat suosittelevat johdonmukaisesti samaa kontrollipakettia:

• Erilliskanavan varmistus. Älä koskaan hyväksy tilisiirtoa pelkän puhelun, videopuhelun tai sähköpostin perusteella. Soita takaisin henkilölle tunnettuun, itsenäisesti vahvistettuun numeroon – älä siihen numeroon, josta sinulle soitettiin .
• Monen henkilön hyväksyntä. Vaadi vähintään kahden henkilön hyväksyntä tietyn rajan ylittäville maksuille .
• Transaktiorajat. Aseta päivä- tai transaktiorajat, jotka vaativat eskalointia .
• Henkilöstön koulutus. Talousosaston henkilöstön on ymmärrettävä, että tuttu ääni tai kasvot puhelussa eivät enää ole luotettava henkilöllisyyden todiste .
• Jatkuva KYC. Vanha 'varmista kerran asiakkaaksiottovaiheessa' -malli ei riitä. Identiteetin ja käyttäytymisen jatkuva seuranta on tulossa välttämättömäksi .

Kuten yksi alan tarkkailija asian ilmaisi: "Luottamusta aseistetaan digitaalisella aikakaudella. Äänikloonauksen, deepfake-teknologioiden ja petos-palveluna-alustojen tullessa helposti saataville tutkijat tarvitsevat integroituja forenssisia alustoja, reaaliaikaista tiedonvaihtoa ja uusia todistelukehyksiä" .

Johtopäätös on yksinkertainen mutta epämiellyttävä: aistinvaraiset viljeet, joihin olemme aina luottaneet tietääksemme, kenen kanssa puhumme – tuttu ääni, tunnistettavat kasvot – eivät enää ole luotettavia. Organisaatioiden on rakennettava varmistusprosesseja, jotka olettavat jokaisen viestintäkanavan olevan vaarantunut.