Wideokonferencja, w której rozmówcy są wygenerowani przez sztuczną inteligencję. Przelew na wielomilionową kwotę wykonany w dobrej wierze i reputacja firmy zachwiana w kilka minut. To nie futurystyczny scenariusz, lecz rzeczywistość 2025 r. Treści deepfake i spersonalizowany phishing napędzany generatywną AI wyrastają na najgroźniejszy trend cyberzagrożeń dla polskiego biznesu, wywołując reakcję regulatorów, ubezpieczycieli i banków.
W skrócie
Jeszcze trzy lata temu treści deepfake kojarzyły się głównie z memami i polityczną dezinformacją. Dziś mamy ponad 95 tys. publicznie dostępnych klipów tego typu. To wzrost o 550% od 2019 r., a 46% organizacji na świecie zgłasza, że w 2024 r. mierzyło się z atakiem wykorzystującym syntetyczny obraz lub głos.
Przełomowym sygnałem alarmowym dla menedżerów finansów była afera w inżynieryjnym gigancie Arup. Pracownik, przekonany, że rozmawia z grupą przełożonych na wideocalla, przelał oszustom 25 mln dolarów. Każdy z „uczestników” spotkania był perfekcyjnie wygenerowaną kopią prawdziwych menedżerów — atakom tego typu nadano już nazwę: video-whaling.
Sprawdź też: Cyberbezpieczeństwo 2025. Od kosztu operacyjnego do przewagi konkurencyjnej polskich firm
Polski biznes nie pozostaje w bezpiecznej bańce
CERT Polska notuje rekordową liczbę zgłoszeń oszustw z użyciem syntetycznego audio. Najczęściej podszywano się pod dziennikarzy, polityków i influencerów, a kampanie pojawiały się na Facebooku, TikToku i YouTubie.
NASK opublikował listę 121 znanych osób, których wizerunki wykorzystano w deepfake’ach już w pierwszych dziewięciu miesiącach 2024 r. Bank Pocztowy w swoim tegorocznym raporcie ostrzega, że coraz częściej ofiarami stają się średnie przedsiębiorstwa — przestępcy dzwonią z „podstawionym” głosem prezesa, prosząc o ekspresowy przelew.
W 2024 r. Unia Europejska uchwaliła Akt o Sztucznej Inteligencji. W praktyce oznacza to, że każda firma korzystająca z generatywnych modeli do tworzenia obrazu lub dźwięku musi oznaczać syntetyczne treści i mieć procedurę weryfikacji ich autentyczności. Za brak zgodności grożą kary do 7% globalnego obrotu.
Polskie Ministerstwo Cyfryzacji zapowiada, że jeszcze w tym roku wprowadzi do ustawy o KSC obowiązek raportowania incydentów deepfake w ciągu 12 godzin, jeśli miały wpływ na finanse lub ciągłość działania.
Rynek reaguje błyskawicznie. W raporcie Fidelis „Threats & Trends Q1 2025” deepfake-as-a-service trafia na trzecie miejsce listy najdroższych ryzyk cybernetycznych, a ubezpieczyciele podnoszą składki, jeśli firma nie wdroży wielokanałowego uwierzytelniania przelewów.
Dostawcy chmury wprowadzają natywne skanery syntetycznego audio, a twórcy oprogramowania konferencyjnego dodają detektory mikro-mikroruchów na twarzach rozmówców — włączone domyślnie w wersjach korporacyjnych od marca 2025.
Sprawdź też: Ukryte ogniwo ryzyka — atak na łańcuch dostaw oprogramowania jako wyzwanie dla polskich firm
Lista zadań dla zarządów
Na poziomie zarządczym trend oznacza konieczność redefinicji modelu zaufania. Procesy płatności muszą zakładać, że głos ani obraz nie są już dowodem tożsamości. Firmy wdrażają zasady „czterech oczu” dla transferów powyżej 100 tys. zł, a zespoły HR intensyfikują szkolenia, podczas których pracownicy ćwiczą rozpoznawanie artefaktów syntetycznego wideo.
Nowością jest też wykorzystywanie tej samej generatywnej AI do kontrataku. Algorytmy analizują ton głosu i ruchy warg, aby wykrywać anomalia w czasie rzeczywistym, co skraca czas reakcji SOC-ów do kilkunastu sekund.
Dla właścicieli i menedżerów kluczowa jest teraz decyzja, czy potraktują deepfake jako kolejny wydatek na IT, czy jako strategiczne ryzyko reputacyjne. W 2025 r. banki, kancelarie audytorskie i giełda coraz częściej wymagają potwierdzenia, że firma korzysta z narzędzi weryfikacji wideo i głosu.
To nie tylko obrona przed oszustwem, lecz także warunek uzyskania lepszych warunków kredytowych i wyższej wyceny przy pozyskiwaniu kapitału. W świecie, w którym sztuczna inteligencja może skopiować twarz i głos w kilka minut, prawdziwą przewagą konkurencyjną staje się umiejętność udowodnienia, że po drugiej stronie kamery naprawdę siedzi człowiek.
Czytaj też: Gdzie kończy się firewall. Niewidoczne ataki na dostawców oprogramowania już zagrażają polskim firmom