Как провести учения против дипфейк-звонков в компании
Дипфейк-голоса и синтетические видеозвонки уже используют для платёжного мошенничества, сброса MFA и запросов на изменение прав доступа. В опросе Gartner 2025 года 62% из 302 руководителей по кибербезопасности заявили, что их организации за предыдущие 12 месяцев столкнулись хотя бы с одной дипфейк-атакой; 43% отметили поддельные аудиозвонки, 37% — видеофейки.
Практическая проверка готовности позволяет увидеть, где ломается процедура верификации, до реального инцидента. Сценарий может выглядеть правдоподобно: «финансовый директор» просит срочно провести платёж, «вице-президент» требует перенести MFA на новый телефон, а «ИТ-директор» предлагает выдать привилегии для аудита.
Почему нельзя полагаться только на слух
Распознавать синтетический голос на слух становится всё сложнее. ФБР в предупреждении от мая 2025 года о сообщениях, сгенерированных ИИ от имени высокопоставленных чиновников США, указало: клоны могут звучать почти неотличимо от реального человека. Бюро рекомендует подтверждать личность звонком на номер, полученный из независимого источника.
По исследованию Osterman Research, проведённому в январе 2026 года по заказу IRONSCALES среди 128 американских руководителей в сфере ИБ и ИТ, 60% респондентов не уверены в способности противостоять дипфейк-атакам даже при наличии обучения. Поэтому защита должна опираться прежде всего на повторяемый процесс, а не на способность сотрудника заметить дефект в голосе или видео.
Что включить в учебную проверку
Сначала стоит составить две группы. В первую входят люди, которых выгодно имитировать: руководители, согласующие платежи, директора финансовых, ИТ- и HR-подразделений, а также внешние контакты поставщиков и сервисных партнёров. Во вторую — сотрудники, которым могут позвонить: бухгалтерия, казначейство, расчёт зарплаты, HR, помощники руководителей, сервис-деск и администраторы платформы управления идентификацией.
Для каждой рискованной операции нужны заранее зафиксированные правила. Запросы на перевод денег, смену банковских реквизитов, передачу учётных данных, сброс MFA и изменение доступа следует подтверждать обратным звонком по номеру из корпоративного справочника или карточки поставщика. Номер, названный в самом запросе, не должен служить средством проверки.
Полезны и дополнительные ограничения: два согласования для новых получателей платежей, изменённых реквизитов и привилегированных учётных записей, чёткие пороги обязательной проверки и возможность без последствий остановить операцию. Руководителям важно письменно подтвердить командам, что пауза и обратный звонок не станут поводом для претензий.
Как провести симуляцию безопасно
Атака часто развивается по нескольким каналам: письмо или сообщение в корпоративном мессенджере создаёт контекст, а затем звонок усиливает давление. До учений необходимо получить согласие юридической службы, HR и руководителей, чьи личности будут задействованы. Вместо несанкционированного клонирования голоса можно использовать голос согласившегося руководителя, помеченную синтетическую имитацию или актёра со сценарием.
Начать можно с настольного упражнения: участники пошагово разбирают сценарий и определяют, куда звонить и кому эскалировать запрос. Затем допустима небольшая живая симуляция. Для неё нужны тестовый получатель платежа, заявка, которая останавливается на согласовании, и группа без реальных привилегий. Контрольная группа должна знать о тренировке, а при стрессе участника или вмешательстве в реальные процессы сценарий следует остановить и сразу обсудить.
Результат не стоит сводить к одному баллу «прошёл» или «не прошёл». Важнее доля сотрудников, применивших обратный звонок или контрольную фразу, время до сообщения в службу безопасности, маршрут эскалации и точка сбоя. Отдельно полезно проверить пакетные запросы: в сценарии с ревизией прав злоумышленник может добавить одну привилегированную учётную запись среди нескольких безопасных изменений.
Роль технологий и вывод для бизнеса
Технологии могут помочь на этапе письма или сообщения, которое предваряет звонок, а также при проверке личности в видеовстрече. Но инструменты обнаружения артефактов генерации могут устаревать по мере развития моделей. Базовой защитой остаётся правило: необычные действия с деньгами, учётными данными и правами доступа подтверждаются по независимому каналу.
Бизнесу стоит провести первое упражнение уже с коротким списком рисковых ролей, одной страницей правил, несколькими сценариями и быстрым разбором результатов. Регулярное повторение, обновление справочников и устранение конкретных точек сбоя помогут превратить проверку из формальной политики в рабочую процедуру.