Oszustwa „Boss Scam” z AI napędzają 40-procentowy wzrost oszustw cyfrowych – a Twój bank nie jest w stanie ich powstrzymać

Oszustwa cyfrowe nie tylko stają się coraz powszechniejsze – stają się fundamentalnie trudniejsze do wykrycia. Roczny wzrost o 40% jest napędzany niemal w całości przez narzędzia generatywnej AI, które pozwalają przestępcom klonować głosy, tworzyć syntetyczne filmy i budować fałszywe tożsamości za około 80 złotych i 30 minut pracy .

To nie jest abstrakcja. W 2024 roku pracownik finansowy firmy Arup wziął udział w wideokonferencji z kimś, kto wyglądał i brzmiał jak dyrektor finansowy firmy oraz kilku innych współpracowników. Każda osoba na tym ekranie była deepfake’em wygenerowanym przez AI. Firma autoryzowała przelewy na kwotę około 100 milionów złotych .

Te „Boss Scamy” – w których oszuści podszywają się pod prezesów, dyrektorów zarządzających lub członków rodzin – stanowią obecnie najszybciej rosnącą kategorię oszustw w sektorze usług finansowych. Wykorzystują one krytyczną słabość: systemy weryfikacji tożsamości, na których banki i firmy polegały przez ostatnią dekadę, nie są już wystarczające.

Co napędza 40-procentowy roczny wzrost oszustw cyfrowych?

Przyspieszenie ma trzy główne przyczyny:

Skomercjalizowana generatywna AI. Narzędzia do tworzenia fotorealistycznych filmów, klonowania głosu i generowania syntetycznych dokumentów są obecnie dostępne komercyjnie i dostępne dla osób z bardzo małymi umiejętnościami technicznymi . Zestawy do omijania KYC za pomocą deepfake kosztują około 80 złotych i wymagają 30 minut na wdrożenie . Klonowanie głosu wymaga zaledwie trzech sekund audio – często pobranego z mediów społecznościowych, rozmów o wynikach finansowych lub nagranych spotkań – aby uzyskać replikę o 85% dokładności .

Automatyzacja na skalę przemysłową. Oszustwa przesuwają się od pojedynczych, wysokowartościowych uderzeń do zautomatyzowanych ataków wolumenowych . Oszustwa polegające na podszywaniu się wzrosły o ponad 1400% tylko w 2025 roku . Ta zmiana jest tak wyraźna, że liczba ofiar rośnie nawet tam, gdzie całkowite straty pozostają stabilne – to sygnatura zindustrializowanych, zautomatyzowanych przez AI oszustw zoptymalizowanych pod kątem wolumenu .

Syntetyczne oszustwa tożsamościowe. Kosztowały one globalny sektor usług finansowych szacunkowo 22 miliardy dolarów w 2024 roku, 31 miliardów dolarów w 2025 roku, a prognozy na 2026 rok przekraczają 40 miliardów dolarów – a technologia deepfake jest głównym motorem tego wzrostu . Zaawansowane oszustwa wykorzystujące tożsamości wygenerowane przez AI wzrosły o 180% rok do roku .

Deepfake’i stanowią obecnie 11% całej globalnej działalności oszukańczej, według danych zebranych przez Vectra AI . Oszustwa tożsamościowe z użyciem deepfake są na dobrej drodze do wzrostu o 495% w 2026 roku w porównaniu z 2025 rokiem . Tylko sektor usług finansowych odnotował wzrost prób oszustw z użyciem deepfake o 2137% od 2022 roku .

Jak „Boss Scamy” wykorzystują klonowanie głosu AI i syntetyczne wideo

W „Boss Scamie” oszuści podszywają się pod wysokiego rangą menedżera – CEO, dyrektora zarządzającego lub CFO – aby nakłonić zespoły finansowe do zatwierdzenia pilnych przelewów. Techniki mieszczą się w kilku kategoriach:

Klonowanie głosu AI. Przestępcy używają krótkiej próbki audio (często pobranej z publicznych rozmów o wynikach, nagranych spotkań lub klipów z mediów społecznościowych) do zsyntetyzowania przekonującego głosu . Sklonowany głos jest używany w rozmowach telefonicznych lub wiadomościach głosowych nakazujących podwładnemu przelanie środków. W styczniu 2026 roku szwajcarski przedsiębiorca stracił kilka milionów franków szwajcarskich po serii rozmów telefonicznych z użyciem sklonowanego przez AI głosu podszywającego się pod zaufanego partnera biznesowego .

Deepfake’owe rozmowy wideo. Sprawa Arup jest najbardziej znanym przykładem, ale nie jest odosobniona. W marcu 2025 roku dyrektor finansowy w Singapurze autoryzował przelewy na około 170 milionów złotych po otrzymaniu instrukcji od kogoś, kto podczas rozmowy wideo wydawał się być CFO firmy . Atakujący użyli wygenerowanych przez AI replik wideo i audio CFO oraz innych menedżerów .

Podszywanie się pod członka rodziny w nagłej sytuacji. Równoległy wariant wykorzystuje klonowanie głosu do podszywania się pod krewnego – często dziecko lub wnuka – twierdząc, że doszło do wypadku samochodowego, aresztowania, porwania lub nagłego przypadku medycznego, aby wyłudzić pilne płatności . Udokumentowane straty z tytułu oszustw typu „emergency family” z użyciem deepfake przekraczają 20 milionów złotych .

Taktyka wielokanałowa. Oszuści używają WhatsApp, e-maila, Microsoft Teams i rozmów telefonicznych, aby stworzyć wrażenie autorytetu i pilności. Często badają publicznie dostępne informacje, aby uprawdopodobnić podszycie, i wywierają presję na ofiary, powołując się na fałszywą pilność i poufność . W lipcu 2026 roku prokuratorzy federalni w USA postawili zarzuty 14 osobom w ramach schematu oszustw z użyciem deepfake o wartości prawie 200 milionów złotych, który był skierowany przeciwko ponad 1200 osobom starszym – oszuści podszywali się pod pracowników banków i członków rodzin .

Dlaczego systemy weryfikacji tożsamości banków zawodzą

Banki i firmy fintech spędziły ostatnią dekadę na budowaniu zdalnej weryfikacji tożsamości w oparciu o prosty schemat: pokaż dowód tożsamości, zrób selfie, ewentualnie krótki test żywotności. W 2026 roku ten schemat zawodzi w wymierny sposób.

Weryfikacja KYC „dokument + selfie” jest pokonywana. Standardowa weryfikacja dokumentem i selfie jest pokonywana przez narzędzia do zamiany twarzy i wstrzykiwania obrazu z kamery. Ataki typu „injection” – w których atakujący podają wcześniej nagrany film deepfake bezpośrednio do strumienia z kamery na żywo – wzrosły o 783% tylko w 2024 roku . Deepfake’owe zamiany twarzy omijają standardowe testy żywotności w 58% przypadków .

Syntetyczne tożsamości omijają proces weryfikacji przy zakładaniu konta. Oszuści modyfikują zdjęcia na zgubionych lub skradzionych dowodach tożsamości i używają deepfake, aby przejść zdalną weryfikację. Następnie zakładają konta wykorzystywane do wyłudzania kredytów, oszustw kartami kredytowymi i prania pieniędzy . Co setna próba weryfikacji wiąże się obecnie z jakąś formą deepfake’a .

Ataki typu „injection” i „replay” są skomercjalizowane. Atakujący używają narzędzi takich jak OBS Virtual Camera lub niestandardowych sterowników, aby skierować wcześniej nagrany lub wygenerowany przez AI strumień wideo do sesji weryfikacyjnej . Oprogramowanie to jest obecnie sprzedawane jako towary powszechnego użytku .

Skala jest przytłaczająca. Próby oszustw z użyciem deepfake w USA wzrosły o 1100% tylko w pierwszym kwartale 2025 roku . Szacuje się, że 85% przypadków oszustw tożsamościowych wykorzystuje obecnie narzędzia generatywnej AI . Raport Entrust 2026 Identity Fraud Report wykazał, że deepfake’i są powiązane z co piątą próbą oszustwa biometrycznego, a liczba sfałszowanych selfie wzrosła o 58% w 2025 roku .

Ostrzeżenia SEBI w sprawie „Boss Scamów” (lipiec 2026)

Indyjski regulator rynku papierów wartościowych, SEBI (Securities and Exchange Board of India), wydał 17 lipca 2026 roku oficjalne zalecenie (komunikat prasowy nr 40/2026) ostrzegające wszystkie spółki giełdowe i podmioty regulowane przed oszustwem „Boss Scam” . Kluczowe punkty zalecenia:

• SEBI stwierdził, że oszuści wykorzystują deepfake’owe klonowanie głosu i wygenerowane przez AI rozmowy wideo, aby podszywać się pod wysokich rangą menedżerów i nakłaniać działy finansowe do przelewania środków .
• Zalecenie zostało wydane w następstwie ostrzeżeń ze strony Indyjskiego Centrum Koordynacji Cyberprzestępczości (I4C) .
• SEBI wezwał firmy do wdrożenia bardziej rygorystycznych procesów weryfikacji wszystkich przelewów, w tym potwierdzania poza pierwotnym kanałem komunikacji (np. oddzwonienie na znany, niezależnie zweryfikowany numer) oraz zatwierdzania przez wiele osób płatności powyżej określonych progów .
• Regulator ostrzegł, że oszuści badają publicznie dostępne informacje, aby stworzyć wiarygodne podszycie, i często wywierają presję na ofiary, powołując się na fałszywą pilność i poufność .

Zalecenie SEBI jest częścią szerszego trendu. W czwartym kwartale 2025 roku amerykańska sieć ds. egzekwowania przepisów finansowych (FinCEN) wydała zalecenie ostrzegające instytucje finansowe przed wykorzystywaniem deepfake w oszustwach tożsamościowych . Podobne ostrzeżenia wydały Parlament Europejski, INTERPOL i wiele krajowych regulatorów .

Co firmy mogą zrobić teraz

Regulatorzy i eksperci ds. bezpieczeństwa konsekwentnie zalecają ten sam zestaw zabezpieczeń:

• Weryfikacja poza kanałem komunikacji. Nigdy nie zatwierdzaj przelewu wyłącznie na podstawie rozmowy telefonicznej, wideo lub e-maila. Oddzwoń do osoby na znany, niezależnie zweryfikowany numer – nie na numer, z którego do ciebie dzwoniono .
• Zatwierdzanie przez wiele osób. Wymagaj co najmniej dwóch osób do zatwierdzania płatności powyżej określonego progu .
• Limity transakcyjne. Ustal dzienne lub transakcyjne limity wymagające eskalacji .
• Szkolenie personelu. Zespoły finansowe muszą wiedzieć, że znajomy głos lub twarz na połączeniu nie są już wiarygodnym dowodem tożsamości .
• Ciągła weryfikacja KYC. Stary model „zweryfikuj raz przy zakładaniu konta” nie jest wystarczający. Konieczne staje się ciągłe monitorowanie tożsamości i zachowania .

Jak ujął to jeden z obserwatorów branży: „Zaufanie jest uzbrajane w erze cyfrowej. Wraz z łatwym dostępem do klonowania głosu, technologii deepfake i platform fraud-as-a-service, śledczy potrzebują zintegrowanych platform kryminalistycznych, wymiany informacji w czasie rzeczywistym i nowych ram dowodowych” .

Wniosek jest prosty, ale niewygodny: sygnały sensoryczne, na których zawsze polegaliśmy, aby wiedzieć, z kim rozmawiamy – znajomy głos, rozpoznawalna twarz – nie są już godne zaufania. Organizacje muszą budować procesy weryfikacji, które zakładają, że każdy kanał komunikacji może być zagrożony.