Босс-скам 2026: дипфейки взломали банковскую защиту

Автоматизация промышленного масштаба. Мошенничество переходит от единичных крупных атак к автоматизированным, массовым . Только за 2025 год количество скамов с выдаванием себя за других выросло более чем на 1 400% . Этот сдвиг настолько очевиден, что число жертв растёт даже там, где общие потери остаются на прежнем уровне — это признак индустриализированного, автоматизированного ИИ-мошенничества, оптимизированного на объём .

Мошенничество с синтетическими личностями. В 2024 году оно обошлось мировой индустрии финансовых услуг примерно в 22 миллиарда долларов, в 2025 году — в 31 миллиард, а к 2026 году, по прогнозам, превысит 40 миллиардов долларов — и главным драйвером является технология дипфейков . Количество сложных мошенничеств с использованием ИИ-личностей выросло на 180% в годовом исчислении .

Дипфейки сейчас составляют 11% всей глобальной мошеннической активности, по данным Vectra AI . Мошенничество с дипфейками для кражи личности находится на пути к росту на 495% в 2026 году по сравнению с 2025 годом . Только в финансовом секторе количество попыток дипфейк-мошенничества выросло на 2 137% с 2022 года .

Как «босс-скамы» используют ИИ-клонирование голоса и синтетическое видео

В схеме «босс-скам» мошенники выдают себя за топ-менеджера (CEO, управляющего директора или CFO), чтобы обманом заставить финансовые отделы одобрить срочные переводы. Методы делятся на несколько категорий:

ИИ-клонирование голоса. Преступники используют короткий аудиообразец (часто с публичных звонков инвесторам, записанных совещаний или клипов из соцсетей), чтобы синтезировать убедительный голос . Клонированный голос используется в телефонных звонках или голосовых сообщениях, где даётся указание подчинённому перевести деньги. В январе 2026 года швейцарский предприниматель потерял несколько миллионов швейцарских франков после серии телефонных звонков с ИИ-клонированным голосом, имитировавшим доверенного делового партнёра .

Дипфейк-видеозвонки. Дело Arup — самый известный пример, но он не единственный. В марте 2025 года финансовый директор в Сингапуре одобрил перевод около 42 миллионов долларов после получения указаний от человека, который казался их CFO во время видеозвонка . Злоумышленники использовали сгенерированные ИИ видео- и аудиокопии CFO и других руководителей .

Имитация чрезвычайной ситуации с семьёй. Параллельная разновидность использует клонирование голоса, чтобы выдать себя за родственника (часто ребёнка или внука), сообщая о ДТП, аресте, похищении или медицинской экстренной ситуации с требованием срочных выплат . Задокументированные потери от таких схем превышают 5 миллионов долларов .

Многоканальная тактика. Мошенники используют WhatsApp, электронную почту, Microsoft Teams и телефонные звонки, чтобы создать ощущение авторитетности и срочности. Они часто изучают публично доступную информацию, чтобы сделать подделку более убедительной, и давят на жертв ложной срочностью и требованием конфиденциальности . В июле 2026 года федеральные прокуроры США предъявили обвинения 14 фигурантам в деле о мошенничестве с дипфейками на 47 миллионов долларов, которое было нацелено на более чем 1 200 пожилых людей: преступники выдавали себя за банковских служащих и членов семьи .

Почему банковские системы верификации не работают

Банки и финтех-компании последние десять лет строили удалённую верификацию личности по простой схеме: показать удостоверение личности, сделать селфи, возможно, краткая проверка живости. В 2026 году эта схема даёт сбои, причём измеримые.

Схема «документ + селфи» проигрывает. Стандартная верификация разбивается инструментами подмены лица и инъекции в камеру. Атаки типа injection — когда злоумышленник подаёт предварительно записанное дипфейк-видео напрямую в видеопоток — выросли на 783% только за 2024 год . Дипфейк-подмена лица обходит стандартные проверки живости в 58% случаев .

Синтетические личности проходят онбординг. Мошенники изменяют фотографии на утерянных или украденных удостоверениях и с помощью дипфейков проходят удалённую проверку. Затем они открывают счета для получения кредитов, мошенничества с кредитками и отмывания денег . Каждая сотая попытка верификации теперь включает ту или иную форму дипфейка .

Атаки injection и replay стали товаром. Злоумышленники используют такие инструменты, как OBS Virtual Camera или собственные драйверы, чтобы направить предварительно записанный или сгенерированный ИИ видеопоток в сессию верификации . Это ПО продаётся как ширпотреб .

Масштаб ошеломляет. Попытки дипфейк-мошенничества в США выросли на 1 100% только в первом квартале 2025 года . По оценкам, 85% случаев кражи личности сейчас используют инструменты генеративного ИИ . Отчёт Entrust об идентификационном мошенничестве за 2026 год показал, что дипфейки связаны с каждой пятой попыткой биометрического мошенничества, а количество дипфейк-селфи выросло на 58% в 2025 году .

Предупреждения SEBI о «босс-скамах» (июль 2026)

Индийский регулятор рынка ценных бумаг SEBI выпустил официальное предостережение 17 июля 2026 года (пресс-релиз № 40/2026), адресованное всем публичным компаниям и регулируемым организациям, с предупреждением о «босс-скаме» . Основные пункты:

• SEBI заявил, что мошенники используют дипфейк-клонирование голоса и сгенерированные ИИ видеозвонки, чтобы выдавать себя за топ-менеджеров и обманом заставлять финансовые отделы переводить средства .
• Предупреждение было вызвано сигналами от Индийского центра координации киберпреступности (I4C) .
• SEBI призвал компании внедрить более строгие процессы верификации для всех переводов средств, включая подтверждение по альтернативному каналу (например, перезвонить на известный, независимо проверенный номер) и многоступенчатое одобрение для платежей выше определённых лимитов .
• Регулятор предупредил, что мошенники изучают публично доступную информацию, чтобы сделать подделку убедительной, и часто давят на жертв ложной срочностью и конфиденциальностью .

Предупреждение SEBI — часть более широкой тенденции. В четвёртом квартале 2025 года Сеть по борьбе с финансовыми преступлениями США (FinCEN) выпустила предупреждение для финансовых институтов об использовании дипфейков в мошенничестве с личными данными . Европейский парламент, Интерпол и множество национальных регуляторов также выпустили аналогичные предупреждения .

Что могут сделать компании прямо сейчас

Регуляторы и эксперты по безопасности единодушно рекомендуют один и тот же набор мер контроля:

• Верификация по дополнительному каналу. Никогда не одобряйте денежный перевод, основываясь только на телефонном звонке, видеозвонке или электронном письме. Перезвоните человеку по известному, независимо проверенному номеру — а не по тому, с которого вам позвонили .
• Многоступенчатое одобрение. Требуйте одобрения от как минимум двух человек для платежей выше определённого порога .
• Лимиты на транзакции. Установите дневные или однотранзакционные лимиты, требующие эскалации .
• Обучение персонала. Финансовые отделы должны знать, что знакомый голос или лицо на звонке больше не являются надёжным доказательством личности .
• Непрерывный KYC. Старая модель «проверить один раз при онбординге» больше не работает. Становится необходимым непрерывный мониторинг личности и поведения .

Как отметил один из отраслевых наблюдателей: «Доверие превращается в оружие в цифровую эпоху. С клонированием голоса, технологиями дипфейков и платформами мошенничества как услуги, которые стали легкодоступны, следователям нужны интегрированные криминалистические платформы, обмен информацией в реальном времени и новые доказательные рамки» .

Вывод прост, но неутешителен: сенсорные сигналы, на которые мы всегда полагались, чтобы понять, с кем мы разговариваем — знакомый голос, узнаваемое лицо — больше не заслуживают доверия. Организациям необходимо строить процессы верификации в предположении, что любой канал связи может быть скомпрометирован.