Артем Ляшанов о том, почему голосовая и видеоверификация больше не гарантируют безопасность платёжной авторизации
По оценкам отраслевых источников, убытки от deepfake-мошенничества в финансовом секторе выросли втрое всего за прошлый год, а сама технология синтеза голоса и видео за короткое время перешла из категории дорогих и сложных инструментов в категорию общедоступных.
Главная тема этого материала, которую аргументирует Артем Ляшанов, — изменение самой модели доверия в финансовой авторизации: почему голос и изображение собеседника больше нельзя считать доказательством его личности и какую архитектуру контроля бизнес должен выстроить взамен. Далее — конкретный кейс, анализ того, что сделало атаку возможной, и перечень практических механизмов защиты для казначейских и финансовых команд.
Кейс
Сотрудник казначейского подразделения международной компании в Гонконге получил письмо якобы от CFO группы в Великобритании. Речь шла о конфиденциальной M&A-транзакции, которую нужно провести вне стандартного цикла согласований. Классическая схема BEC (business email compromise) должна была бы остановиться на этом этапе — письмо и само по себе выглядело как типичный фишинг.
BEC (business email compromise) — вид мошенничества, при котором злоумышленник выдаёт себя в переписке за руководителя или партнёра компании, чтобы заставить сотрудника перевести деньги на его счёт.
Но затем сотрудника пригласили на видеоконференцию, где среди участников был сам CFO и несколько узнаваемых коллег из финансовой функции.
Голос, мимика, манера ведения совещания — всё соответствовало людям, с которыми сотрудник взаимодействовал на регулярных сверках. По указанию, полученному в рамках этого звонка, он провёл 15 платежей на сумму около 25,6 млн долларов на пять счетов. Верификация постфактум — звонок в головной офис для уточнения деталей секретной транзакции — показала, что совещание никто не созывал.
Старший суперинтендант полиции Гонконга Барон Чан прокомментировал это так: «все, кого он видел на экране, оказались фейком».
Средства вернуть не удалось. Кейс стал референсным для индустрии именно потому, что обошёл не технический контроль, а процедуру человеческой авторизации — тот уровень, на который большинство финансовых организаций до сих пор полагается как на последнюю линию защиты.
Почему периметр верификации больше не держит
Основатель финтех-проектов Артем Ляшанов отмечает, что этот кейс стоит рассматривать как индикатор изменения модели угроз для платёжной инфраструктуры.
Несколько факторов, которые, по его мнению, сместили баланс в пользу атакующих:
- Голосовой клон строится из трёх секунд аудио, а публичный профиль CFO или казначея (инвесторские презентации, конференции) по определению является открытым источником training-данных;
- Разведывательная фаза атаки опирается на публично доступную информацию об организационной структуре;
- Социальная инженерия эксплуатирует само понятие конфиденциальности сделки и тем самым выводит транзакцию из-под стандартного maker-checker контроля;
- Мультимодальность атаки (одновременно голос, видео и групповое социальное давление со стороны коллег на звонке) снижает эффективность поведенческих индикаторов, на которые раньше полагались программы security awareness.
По его оценке, убытки от deepfake-мошенничества в финансовом секторе выросли втрое всего за год, а средний размер ущерба на один инцидент в корпоративном сегменте уже измеряется сотнями тысяч долларов.
Куда смещается контроль
Ключевой вывод для финансовых команд — в редизайне самой архитектуры платёжной авторизации так, чтобы она не зависела от достоверности коммуникационного канала, говорит Артем Ляшанов.
Несколько контрольных механизмов, которые должны стать базовым требованием, а не дополнительной опцией:
- Out-of-band верификация. Никакое изменение реквизитов или нестандартный платёж не подтверждается в рамках того же канала, по которому пришёл запрос, — только через заранее зафиксированный и независимый контакт;
- Callback исключительно на номер из внутренней системы компании, а не на контакт, указанный в письме, сообщении или предоставленный собеседником во время звонка;
- Жёсткий maker-checker с неразрывным разделением ролей для любой транзакции вне типичного диапазона сумм или получателей;
- Transaction risk scoring на уровне TMS/ERP, который автоматически эскалирует нетипичные по сумме, получателю или времени платежи.
Организации, чья модель доверия до сих пор строится на узнаваемости голоса или лица, а не на процедуре, остаются самым уязвимым звеном в этой цепи, резюмирует Артем Ляшанов.
Как мы проверяем информацию
По данным публичных рекомендаций NIST, ENISA и OWASP, а также материалов CISA, Microsoft Security Blog и Google Safety Center, ключевые подходы к защите от социальной инженерии сегодня сводятся к независимой верификации и разделению ролей. Мы сопоставляем факты с первоисточниками и сверяем практические выводы с требованиями ISO/IEC 27001.
Редакционный принцип прост: ни одна рекомендация не публикуется без проверяемого источника, а у любой цифры указаны контекст и дата.
Доверие в платежах должно опираться на процедуру, а не на голос или лицо. Проверка — это правило, которое работает независимо от того, кто выглядит убедительно. — Artem Lyashanov
