Kako organizovati vežbu otpornosti na deepfake pozive
Deepfake vežba pomaže kompaniji da proveri kako zaposleni reaguju na lažni glasovni ili video zahtev za plaćanje, promenu bankovnih podataka, reset MFA ili dodelu privilegovanog pristupa. Gartnerovo istraživanje iz 2025, u kojem su učestvovala 302 rukovodioca za sajber-bezbednost, pokazalo je da je 62% organizacija doživelo najmanje jedan deepfake napad u prethodnih 12 meseci; 43% prijavilo je incident sa audio-pozivom, a 37% deepfake na video-pozivu.
Rizik nije ograničen na prevarnu uplatu. Glas koji zvuči kao finansijski direktor može da podstakne hitan transfer, dok imitacija rukovodioca prodaje može da navede službu podrške da prebaci MFA token na novi telefon. Zahtev za novim administratorskim nalogom ili izmenom privilegija može ostati neprimećen mnogo duže od pogrešno izvršenog plaćanja.
Odbrana se zasniva na postupku, ne na slušanju
FBI je u upozorenju iz maja 2025. naveo da klonirani glasovi mogu zvučati gotovo isto kao stvarni i preporučio potvrdu identiteta pozivom na nezavisno pribavljen broj. Osterman Research je u studiji iz januara 2026, naručenoj od kompanije IRONSCALES i sprovedenoj među 128 američkih rukovodilaca za bezbednost i IT, zabeležio da 60% ispitanika nema dovoljno poverenja u sposobnost odbrane od deepfake napada uprkos postojećim obukama.
Zato pravila moraju biti unapred zapisana. Svaki zahtev za novac, bankovne podatke, akreditive, MFA ili prava pristupa treba potvrditi pozivom na broj iz internog imenika ili evidencije dobavljača, a ne na broj dostavljen u samom zahtevu. Nove primaoce uplata, izmene bankarskih podataka i privilegovane naloge treba da odobre dve osobe. Jednako je važno da rukovodioci izričito dozvole zaposlenima da prekinu poziv i provere zahtev bez straha od posledica.
Kako postaviti bezbednu simulaciju
Prvi korak su dve kratke liste: osobe čiji bi identitet napadači mogli da oponašaju i zaposleni koji mogu izvršiti finansijsku ili pristupnu radnju. Pored direktora treba obuhvatiti rukovodioce finansija, IT-a i HR-a, kao i spoljne kontakte sa uticajem na novac ili pristup. Posebnu pažnju zahtevaju služba podrške i administratori identiteta, jer reset MFA može otvoriti put preuzimanju naloga.
Scenario treba da prati stvarni obrazac napada: poruka e-pošte ili čet može pripremiti kontekst, a poziv ili video-sastanak zatim stvara pritisak. Korisni primeri su hitna uplata u ime finansijskog direktora, promena računa dobavljača, zahtev za MFA resetom ili navodno sređivanje dozvola u kojem se među legitimne izmene ubacuje privilegovani nalog. Pre korišćenja bilo čijeg glasa ili identiteta neophodna je saglasnost; alternativa su sintetički, jasno označen glas ili glumac sa scenarijom.
Vežbu je razumno početi stolnom simulacijom, a zatim je sprovesti u maloj grupi uz obaveštenu kontrolnu grupu. Testni primalac, zahtev koji se zaustavlja na odobravanju i sandbox grupa bez stvarnih privilegija sprečavaju posledice. Potrebni su i jasni uslovi za prekid ako učesnik pokaže uznemirenost ili scenario počne da utiče na stvaran rad.
Merite mesta prekida i unapredite proces
Najkorisniji pokazatelji nisu samo prolaz ili pad, već stopa korišćenja propisanog povratnog poziva, vreme do prijave bezbednosnom timu, put kojim je prijava stigla i tačan korak na kojem je procedura zakazala. Važno je utvrditi i da li je neko prepoznao sumnjivi dodatak u paketu inače ispravnih zahteva, kao i da li je poverenje zasnovao na uverljivom glasu ili prethodnoj poruci.
Nakon vežbe treba brzo i bez okrivljavanja objasniti šta je bilo simulirano, ažurirati imenike za povratni poziv i pooštriti nejasne pragove. FinCEN kao upozoravajući signal navodi promenu kanala komunikacije uz izgovor tehničkih problema. Praktičan zaključak je da redovno ponavljanje vežbe, najmanje dva puta godišnje i pri promeni izloženih rukovodilaca ili procesa, pretvara proveru identiteta u operativnu naviku umesto oslanjanja na to koliko je uverljiv nečiji glas.