Ingineria socială și atacurile Deepfake: ghid de protecție a angajaților în era AI

Securitatea cibernetică s-a schimbat radical. Dacă până recent instruirea angajaților se concentra pe identificarea e-mailurilor de tip phishing traduse stângaci sau pe adrese de trimitere suspecte, astăzi atacatorii folosesc instrumente de Inteligență Artificială Generativă pentru a crea capcane imposibil de detectat la o primă vedere.

Factorul uman rămâne cea mai vulnerabilă componentă din lanțul de securitate al unei companii, iar infractorii cibernetici speculează acest lucru folosind ingineria socială alimentată de AI și tehnologia Deepfake.

Scenariul de care se teme orice departament financiar

Imaginează-ți următorul caz: un angajat din departamentul de contabilitate primește un apel video scurt sau un mesaj vocal pe un canal intern de la Directorul General. Vocea este identică, tonalitatea este specifică, iar figura care apare pe ecran poartă trăsăturile recognoscibile ale managerului. Cerința este urgentă: aprobarea unui transfer bancar către un furnizor nou pentru a bloca un contract strategic.

Angajatul execută ordinul, convins că a ajutat compania. Câteva ore mai târziu, se descoperă că banii au ajuns într-un cont controlat de cibercriminatologi, iar Directorul General nu a inițiat niciodată acel apel.

Acest scenariu nu mai este din domeniul științifico-fantastic, ci reprezintă o tactică documentată tot mai frecvent în mediul de business internațional și local.

Cum arată noile tactici de inginerie socială bazate pe AI

Atacatorii nu mai încearcă doar să spargă parole; ei încearcă să manipuleze oamenii să le predea benevol accesul sau resursele. Cu ajutorul algoritmilor moderni, ingineria socială a atins un nivel de personalizare fără precedent:

• Deepfake Audio (clonarea vocii): sunt suficiente doar 3 până la 5 secunde dintr-o înregistrare publică a unui executiv (un interviu video, o prezentare la o conferință sau un clip pe Social Media) pentru ca un soft bazat pe AI să-i cloneze vocea cu o precizie uimitoare.
• Deepfake video în timp real: folosind filtre avansate, atacatorii pot suprapune chipul unei persoane peste cel al altcuiva în timpul unui apel video de scurtă durată, mimând expresiile faciale și mișcările buzelor.
• Spear phishing hiper-personalizat: modelele de limbaj (LLM) permit redactarea unor e-mailuri de phishing în limba română absolut impecabilă, adaptate perfect pe jargonul, proiectele și jargonul intern al companiei țintă, colectate în prealabil din surse deschise (OSINT).

De ce soluțiile tehnice clasice nu mai sunt suficiente?

Un firewall performant și o soluție antivirus actualizată sunt fundamentale, însă ele au o limitare majoră: nu pot opri un angajat să autorizeze o plată sau să divulge un cod de acces dacă acesta este convins că vorbește cu propriul manager sau cu un coleg de încredere.

Sistemele tradiționale de protecție controlează traficul de date și fișierele suspecte, dar nu pot filtra comunicarea psihologică persuasivă. Când un atac trece de filtrele tehnice direct în căsuța de e-mail sau pe telefonul angajatului, singura linie de apărare rămasă este capacitatea acelei persoane de a analiza critic situația.

Plan în 5 pași: cum îți protejezi echipa și compania

Securizarea organizației în era AI necesită o combinație de protocoale stricte, măsuri tehnice avansate și un program continuu de instruire.

1. Implementează protocoale de verificare „Out-of-Band”

Setați o regulă internă de neîncălcat: orice solicitare neobișnuită, modificare de cont bancar sau transfer financiar urgent trebuie confirmată printr-un canal secundar prestabilit. Dacă cererea vine pe e-mail sau WhatsApp, confirmarea se face obligatoriu prin apel direct pe numărul mobil oficial al persoanei sau prin verificare fizică.

2. Stabiliți fraze de siguranță (Passphrases) interne

Pentru situații critice sau decizii cu impact financiar mare, conducerea și persoanele cu drept de semnătură pot conveni asupra unor coduri sau cuvinte cheie care nu sunt scrise niciodată în mediul digital (e-mail, chat), ci doar memorate.

3. Treci la programe moderne de Security Awareness

Trainingurile anuale generice nu mai funcționează. Angajații au nevoie de simulări periodice de phishing și de sesiuni practice în care să învețe semnele specifice ale atacurilor generate de AI:

• Artefacte vizuale pe marginea feței sau la mișcările rapide ale capului în apelurile video.
• Tonul vocii nefiresc de monoton sau latențe ciudate în conversație.
• Urgența nejustificată și presiunea emoțională exercitată pentru a ocoli procedurile standard.

4. Securizează autentificarea la nivel de identitate

Renunțați la autentificarea în doi pași bazată pe SMS-uri, care pot fi interceptate sau redirecționate. Treceți la aplicații de autentificare dedicate (MFA) sau la chei fizice de securitate (token-uri hardware), care elimină riscul ca angajatul să predea neintenționat accesul în cont.

5. Redu amprenta digitală executivă

Revizuiți informațiile disponibile public despre structura organizațională, proiectele în derulare și detaliile de contact ale echipei. Limitați expunerea materialelor audio/video de înaltă rezoluție cu persoanele de decizie, pentru a reduce resursele pe care un atacator le poate folosi la antrenarea modelelor Deepfake.

Într-o era în care nu mai poți crede întotdeauna tot ce vezi sau auzi pe un ecran, securitatea companiei tale depinde de rigoarea proceselor interne și de pregătirea oamenilor din echipă.