Дипфейки и мошенники: как защитить компанию от поддельных голосов и видео руководителя

Что такое дипфейк и почему это стало проблемой для бизнеса

Дипфейк — изображение, видео или голос, созданные или изменённые нейросетью так, чтобы выглядеть как реальный человек. Ещё несколько лет назад для убедительной подделки нужны были часы записей и мощное оборудование. Сейчас голос можно склонировать по короткому фрагменту, а лицо на видеозвонке подменять в реальном времени.

Масштаб уже заметен. По словам заместителя начальника следственного департамента МВД Данила Филиппова на Петербургском международном юридическом форуме, за первые пять месяцев 2026 года от мошенников с дипфейками пострадали около 4 тысяч человек, ущерб оценили в 21 млрд рублей (материал по сообщению РИА Новости). Он выделил «дипфейк-аватар» — подмену голоса и лица во время звонка — как самый опасный тип. Летом 2026 года стало известно, что МВД тестирует собственную нейросеть для выявления дипфейков (Ведомости).

Самый известный корпоративный случай произошёл в 2024 году в Гонконге: сотрудник финансового отдела международной компании перевёл около 25 млн долларов после видеоконференции, на которой «финансовый директор» и «коллеги» оказались подделкой (CNN).

Малый бизнес уязвим даже больше крупного. Там нет службы безопасности, бухгалтер часто один, а директор действительно может написать в выходной «срочно оплати».

Как устроены атаки с поддельным голосом и видео руководителя

Почти всегда атака начинается с подготовки. Мошенники изучают компанию: кто директор, кто бухгалтер, как они общаются, какие поставщики. Источники — сайт, соцсети, отзывы, публичные выступления, утёкшие базы. Затем создают аккаунт в мессенджере с фото и именем руководителя и пишут сотруднику. Голосовое или видео — финальный аргумент, когда сотрудник засомневался.

Признаки, что вам звонит или пишет не директор

Полагаться только на «услышу подделку» нельзя: качество генерации растёт быстрее, чем навык людей её замечать. Но есть поведенческие признаки, которые не зависят от качества подделки.

1. Срочность. «Нужно прямо сейчас», «до конца часа», «пока банк не закрылся».
2. Секретность. «Никому не говори», «это конфиденциальная сделка», «главбуху пока не сообщай».
3. Новый канал или номер. «Пишу с другого номера, старый сломался», новый аккаунт в мессенджере.
4. Обход порядка. Без счёта, без договора, без согласования, на счёт физлица или незнакомой компании.
5. Давление авторитетом. Упоминание силовых структур, проверок, угрозы увольнения.
6. Странности в разговоре. Директор не отвечает на простые личные вопросы, уходит от видео, звонок короткий и обрывается, речь ровная без привычных словечек.
7. Нестыковки с реальностью. «Директор» звонит, хотя вы знаете, что он сейчас в самолёте или на встрече.

Любые два признака вместе — повод остановиться и проверить.

Регламент проверки платежей: правило второго канала

Это главное, что стоит внедрить. Регламент работает, даже если подделка идеальна, потому что не требует её распознавать.

1. Правило второго канала. Любая просьба о переводе денег, смене реквизитов или передаче доступов подтверждается по другому каналу, контакт для которого известен заранее. Пришло голосовое в мессенджере — перезвоните директору на номер из своей записной книжки, а не на тот, с которого пришло сообщение.
2. Кодовое слово. Договоритесь с руководителем о слове или вопросе, которые знают только вы. Не храните его в переписке.
3. Двойное подтверждение. Платежи выше порога и любые новые получатели согласуются двумя людьми или проходят через банк-клиент с подтверждением руководителя.
4. Смена реквизитов — только письменно и с проверкой. Новые реквизиты поставщика подтверждаются звонком на известный номер поставщика и сверкой по выписке ЕГРЮЛ.
5. Запрет на «срочно и секретно». Директор заранее и публично говорит сотрудникам: «Я никогда не попрошу перевести деньги срочно и в обход порядка. Если такое случилось — это не я».
6. Пауза перед необычным платежом. Если платёж не по договору, на нового получателя или на физлицо, — минимум час на проверку, даже если «горит».
7. Доступы и коды не передаются никому. Ни директору, ни «банку», ни «полиции».

Сформулируйте это на одной странице и дайте подписать всем, кто имеет доступ к деньгам. Регламент, который знает только директор, не работает.

Если вы видите, что в вашей компании платёж может уйти по одному голосовому, это стоит исправить до первой атаки. Заодно полезно посмотреть, какие ещё процессы можно безопасно автоматизировать нейросетями, а какие нельзя. Обзор задач, которые закрывают ИИ-агенты, есть в статье AI-агент для бизнеса.

Как защитить голос и лицо руководителя

Полностью убрать голос и лицо директора из интернета нельзя, да и не нужно: публичность помогает продажам. Но можно усложнить жизнь мошенникам.

• Сократите лишнее в открытом доступе. Личные голосовые, семейные видео, телефон и личные мессенджеры руководителя на сайте — это материал для атаки.
• Отделите рабочие каналы от личных. Рабочий номер и аккаунт компании, о которых знают сотрудники.
• Настройте защиту аккаунтов. Двухфакторная аутентификация в мессенджерах, почте, банке. Скрытие номера телефона в настройках приватности.
• Следите за двойниками. Раз в месяц ищите в мессенджерах и соцсетях аккаунты с именем и фото руководителя и компании.
• Защитите сайт и почту компании. Взломанная почта или сайт дают мошенникам переписку с поставщиками и образцы документов. Что делать, если взлом уже случился, — в статье взломали сайт.
• Предупредите клиентов. Если вы ведёте публичный блог или канал, напишите, по каким каналам компания связывается с клиентами и чего никогда не просит.

Отдельный вопрос — законное использование цифровых копий голоса и лица руководителя, например для видео на сайт. Это рабочий инструмент, но тогда особенно важно, чтобы клиенты и сотрудники понимали, где официальный канал. Как делать такие ролики, мы разбирали в статье цифровой аватар.

Обучение сотрудников: план на один час

Атака направлена на человека, поэтому обучение — вторая половина защиты.

Повторяйте раз в полгода и при каждом новом сотруднике, который работает с деньгами. Полезно иногда проводить учебную проверку: коллега пишет «от имени директора» с просьбой и смотрит, сработает ли регламент. Важно, чтобы за правильную остановку хвалили, а не ругали: «я проверил и задержал платёж на час» — правильное поведение.

Условный пример: как регламент останавливает атаку

Пример условный, не кейс студии. Оптовая компания, 15 сотрудников, бухгалтер Ольга. В пятницу в 17:40 ей в мессенджере пишет аккаунт с фото директора: «Ольга, срочно нужно оплатить аванс новому поставщику, 480 000, счёт пришлю. Я на переговорах, говорить не могу». Через минуту приходит голосовое: узнаваемый голос, привычная интонация.

Без регламента: Ольга видит фото, слышит голос, понимает, что банк скоро закроет день, и платит.

С регламентом:

1. Новый получатель и сумма выше порога — нужен второй подписант.
2. Ольга звонит директору на номер из своей записной книжки. Он не отвечает — на переговорах.
3. Она пишет ему в рабочий канал компании и звонит заместителю.
4. Заместитель говорит, что никакого нового поставщика нет.
5. Платёж не уходит. Аккаунт-двойник сохраняют скриншотами и сообщают о нём в мессенджер и полицию.

Регламент стоил компании часа задержки. Отсутствие регламента стоило бы 480 000 ₽, которые почти невозможно вернуть.

Что делать, если атака случилась

Если деньги уже ушли, действуйте быстро.

1. Сразу позвоните в свой банк. Сообщите о мошенническом переводе, попросите заблокировать операцию или отозвать платёж. Чем быстрее, тем больше шансов.
2. Сохраните всё. Скриншоты переписки, голосовые и видео, номера, аккаунты, время, реквизиты получателя. Ничего не удаляйте.
3. Подайте заявление в полицию. Приложите сохранённые материалы и выписку по платежу.
4. Смените пароли и проверьте доступы. Если передавались коды или пароли — немедленно, во всех связанных сервисах.
5. Предупредите сотрудников, партнёров и клиентов. Мошенники часто идут по цепочке: если удалось с вашей компанией, попробуют с вашими поставщиками от вашего имени.
6. Пожалуйтесь на аккаунт-двойник в мессенджере или соцсети.
7. Разберите, где сломался процесс. Не ищите виноватого, ищите дыру в регламенте.

О деталях взаимодействия с банком и полицией в конкретной ситуации лучше проконсультироваться с юристом: здесь мы описываем общий порядок.

Что говорит закон о дипфейках

Отдельного определения дипфейка в российском законодательстве на момент публикации нет. Обман с помощью поддельного голоса квалифицируется по общим нормам о мошенничестве. Представители МВД публично выступали за законодательное закрепление понятия «дипфейк» и маркировку синтетического контента. Изображение и голос человека при этом уже защищены: использование изображения гражданина без согласия ограничено Гражданским кодексом, а голос и лицо в ряде случаев — биометрические персональные данные. Поэтому записи голоса сотрудников и руководителя не стоит бездумно загружать в сторонние сервисы: что можно отдавать нейросетям, а что нет, разобрали в статье нейросети и персональные данные.

Регулирование нейросетей в России быстро меняется. Что уже действует и что обсуждается — в статье закон об ИИ в России.

Мы в студии внедряем нейросети в процессы малого бизнеса и знаем, где они экономят время, а где создают риски. Если хотите вместе пройтись по процессам компании и понять, где нужен регламент, а где можно спокойно доверить работу ИИ, оставьте контакты.