הונאות 'הבוס המזויף' מזנקות ב-40%: הבינה המלאכותית משכפלת מנהלים ובני משפחה — והבנקים לא מצליחים לעצור את זה

אוטומציה בהיקף תעשייתי. הונאות עוברות ממכות בודדות בעלות ערך גבוה למתקפות אוטומטיות בכמויות מסחריות . הונאות מתחזות (Impersonation) צמחו בלמעלה מ-1,400% ב-2025 בלבד . השינוי כה דרמטי שמספר הקורבנות עולה גם כשסך ההפסדים נשאר שטוח — חתימתה של הונאה תעשייתית אוטומטית שנועדה לנפח כמויות .

הונאת זהות סינתטית. הונאות אלו עלו לתעשיית השירותים הפיננסיים העולמית כ-22 מיליארד דולר ב-2024, 31 מיליארד ב-2025, וההערכה היא שתחצה את רף 40 מיליארד הדולר ב-2026 — כשטכנולוגיית Deepfake היא המניע העיקרי . הונאות מתוחכמות המשתמשות בזהויות שנוצרו על ידי AI עלו ב-180% לעומת השנה הקודמת .

Deepfakes מהווים כיום 11% מכלל הפעילות ההונאתית העולמית, לפי נתונים שקובצו על ידי Vectra AI . הונאת זהות ב-Deepfake נמצאת במסלול לעלייה של 495% ב-2026 לעומת 2025 . מגזר השירותים הפיננסיים לבדו ראה עלייה של 2,137% בניסיונות הונאת Deepfake מאז 2022 .

איך הונאות 'בוס' משתמשות בשכפול קול ובווידאו סינתטי?

בהונאת 'בוס', פושעים מתחזים לבכיר — מנכ"ל, סמנכ"ל כספים או בעל שליטה — כדי להערים על צוותי כספים לאשר העברות דחופות. הטכניקות נחלקות למספר קטגוריות:

שכפול קול באמצעות AI. פושעים משתמשים בדגימת שמע קצרה (הנלקחת לעתים משיחות ועידה פומביות, ראיונות או סרטונים ברשתות חברתיות) כדי לסנתז קול משכנע . הקול המשוכפל מופעל בשיחות טלפון או בהודעות קוליות המורות לכפוף להעביר כספים. בינואר 2026, יזם שוויצרי איבד כמה מיליוני פרנק שוויצרי לאחר סדרת שיחות טלפון שבהן נעשה שימוש בקול משוכפל שהתחזה לשותף עסקי מהימן .

שיחות וידאו Deepfake. פרשת Arup היא הדוגמה המפורסמת ביותר, אך אינה בודדת. במרץ 2025, מנהל כספים בסינגפור אישר העברות בסך כ-42 מיליון דולר לאחר שקיבל הוראות מה שחשב שהוא סמנכ"ל הכספים במהלך שיחת וידאו . התוקפים יצרו שכפולי וידאו ואודיו מזויפים של סמנכ"ל הכספים ובכירים נוספים .

התחזות לבני משפחה במצוקה. גרסה מקבילה משתמשת בשכפול קול כדי להתחזות לקרוב משפחה — לעתים קרובות ילד או נכד — הטוען לתאונת דרכים, מעצר, חטיפה או מקרה חירום רפואי כדי לדרוש תשלומים דחופים . הפסדים מתועדים מהונאות Deepfake מסוג 'בן משפחה במצוקה' עולים על 5 מיליון דולר .

טקטיקות רב-ערוציות. הרמאים משתמשים בוואטסאפ, באימייל, במיקרוסופט טימס ובשיחות טלפון כדי ליצור תחושת סמכות ודחיפות. לעתים קרובות הם חוקרים מידע זמין לציבור כדי להפוך את ההתחזות לאמינה יותר, ומפעילים לחץ על הקורבנות בדחיפות מזויפות ובסודיות . ביולי 2026, תובעים פדרליים בארה"ב הגישו כתב אישום נגד 14 נאשמים במזימת הונאת Deepfake של 47 מיליון דולר שכוונתה כלפי למעלה מ-1,200 קשישים, תוך התחזות לפקידי בנק ובני משפחה .

למה מערכות זיהוי הזהות של הבנקים נכשלות?

בנקים וחברות פינטק השקיעו את העשור האחרון בבניית אימות זהות מרחוק סביב דפוס פשוט: הצגת תעודה מזהה ממשלתית, צילום סלפי, ואולי בדיקת חיוניות קצרה. ב-2026, הדפוס הזה נכשל בדרכים מדידות.

אימות תעודה + סלפי מובס. אימות סטנדרטי מסוג 'תעודה + סלפי' מובס בעזרת כלים להחלפת פנים והזרקת מצלמה (Camera Injection). מתקפות הזרקה — שבהן תוקפים מזינים וידאו Deepfake מוקלט מראש ישירות לעדשת המצלמה — עלו ב-783% ב-2024 לבדה . החלפת פנים ב-Deepfake עוקפת בדיקות חיוניות סטנדרטיות ב-58% מהמקרים .

זהויות סינתטיות עוקפות את הרישום. פושעים מחליפים תמונות בתעודות זהות אבודות או גנובות ומשתמשים ב-Deepfake כדי לעבור בדיקות אימות מרחוק. לאחר מכן הם פותחים חשבונות המשמשים להלוואות, הונאות כרטיסי אשראי והלבנת הון . אחת מכל 100 בדיקות אימות כרוכה כיום בצורת כלשהי של Deepfake .

מתקפות הזרקה והשמעה חוזרת הפכו לסחורה. תוקפים משתמשים בכלים כמו OBS Virtual Camera או דרייברים מותאמים אישית כדי להזרים וידאו מוקלט מראש או שנוצר על ידי AI לתוך הפעלת האימות . תוכנות אלו נמכרות ככלים מסחריים .

ההיקף מכריע. ניסיונות הונאת Deepfake בארה"ב עלו ב-1,100% ברבעון הראשון של 2025 בלבד . ההערכה היא ש-85% ממקרי הונאת הזהות משתמשים כעת בכלי בינה מלאכותית יוצרת . דוח הונאת הזהות של Entrust לשנת 2026 מצא ש-Deepfake קשור לאחד מכל חמישה ניסיונות הונאה ביומטריים, ושסלפי Deepfake עלו ב-58% ב-2025 .

אזהרת SEBI בנוגע להונאות 'בוס' (יולי 2026)

רשות ניירות הערך של הודו (SEBI) פרסמה אזהרה רשמית ב-17 ביולי 2026 (הודעה לעיתונות מס' 40/2026) והזהירה את כל החברות הציבוריות והישויות המפוקחות מפני הונאת 'הבוס' . נקודות עיקריות מהאזהרה:

• SEBI הצהירה שהרמאים פורסים שכפול קול Deepfake ושיחות וידאו שנוצרו על ידי AI כדי להתחזות לבכירים ולהונות מחלקות כספים .
• האזהרה ניתנה בעקבות התראות ממרכז התיאום לפשעי סייבר ההודי (I4C) .
• SEBI קראה לחברות ליישם תהליכי אימות מחמירים יותר לכל העברת כספים, כולל אישור מחוץ לערוץ (Out-of-Band) — כלומר, התקשרות חוזרת למספר ידוע ומאומת — ואישור דו-שלבי לתשלומים מעל סף מסוים .
• הרגולטור הזהיר שהרמאים חוקרים מידע זמין לציבור כדי ליצור התחזות משכנעת, ולעתים קרובות מפעילים לחץ על קורבנות בדחיפות מזויפת ובסודיות .

האזהרה של SEBI היא חלק ממגמה רחבה יותר. ברבעון הרביעי של 2025, הרשת לאכיפת פשיעה פיננסית בארה"ב (FinCEN) פרסמה אזהרה דומה . גם הפרלמנט האירופי, האינטרפול ורגולטורים לאומיים רבים פרסמו אזהרות דומות .

מה חברות יכולות לעשות עכשיו?

רגולטורים ומומחי אבטחה ממליצים באופן עקבי על אותה מערכת בקרות:

• אימות מחוץ לערוץ. לעולם אל תאשר העברה בנקאית על סמך שיחת טלפון, שיחת וידאו או אימייל בלבד. התקשר חזרה לאדם במספר ידוע ומאומת — לא המספר שממנו התקשרו אליך .
• אישור דו-שלבי. דרוש לפחות שני אנשים לאשר תשלומים מעל סף מסוים .
• הגבלות על עסקאות. קבע מגבלות יומיות או לעסקה בודדת שיחייבו הרמה .
• הדרכת עובדים. צוותי כספים צריכים לדעת שקול או פנים מוכרים בשיחה אינם עוד הוכחה אמינה לזהות .
• KYC מתמשך. המודל הישן של 'אימות חד פעמי בעת ההרשמה' אינו מספיק. ניטור רציף של זהות והתנהגות הופך להכרחי .

כפי שניסח זאת משקיף אחד בתעשייה, "האמון הופך לנשק בעידן הדיגיטלי. עם שכפול קול, טכנולוגיות Deepfake ופלטפורמות הונאה כשירות (Fraud-as-a-Service) שהופכות לנגישות בקלות, חוקרים זקוקים לפלטפורמות פורנזיות משולבות, שיתוף מודיעין בזמן אמת ומסגרות ראייתיות חדשות" .

המסקנה פשוטה אך לא נוחה: הרמזים החושיים שתמיד סמכנו עליהם כדי לדעת עם מי אנחנו מדברים — קול מוכר, פנים מוכרות — אינם אמינים עוד. ארגונים צריכים לבנות תהליכי אימות שמניחים שכל ערוץ תקשורת עלול להיות פגוע.