Что произошло
В январе 2024 года сотрудник офиса Arup в Гонконге получил сообщение якобы от финансового директора компании из Великобритании о конфиденциальной сделке. Сначала он отнёсся к письму с подозрением, но затем участвовал в видеоконференции, где видел и слышал знакомых коллег. Все они оказались подделками, созданными с помощью AI. После звонка сотрудник провёл 15 переводов на пять банковских счетов в Гонконге на общую сумму 200 млн гонконгских долларов. Компания сообщила в полицию в январе; в феврале полиция Гонконга рассказала о случае без названия компании, а в мае 2024 года Financial Times и CNN назвали жертву.
Где нарушилась защита
Граница доверия нарушилась в процессе утверждения платежей: визуальное и голосовое присутствие руководителя на видеозвонке было воспринято как достаточное подтверждение. Дипфейки, по данным СМИ, строились на общедоступных записях руководителей. Независимой проверки запроса по другому каналу и многоступенчатого согласования крупных переводов не сработало.
Последствия
- Прямой финансовый ущерб около 25 млн долларов США
- Один из крупнейших известных случаев мошенничества с дипфейками
- По заявлению Arup, финансовая устойчивость и операции компании не пострадали, внутренние системы не взломаны
Реакция
Arup уведомила полицию Гонконга, которая ведёт расследование. Компания подтвердила использование поддельных голосов и изображений, не раскрывая подробностей.
Уроки для бизнеса
- Видео и голос больше не доказывают личность собеседника
- Атака на бизнес-процесс не требует взлома ИТ-систем
- Срочность и конфиденциальность в запросе — признаки социальной инженерии, которые должны запускать проверку
- Публичные выступления руководителей становятся материалом для подделок
Меры, которые предотвратили бы инцидент
- Ввести обязательную проверку крупных платежей по независимому каналу связи
- Требовать согласования переводов двумя и более сотрудниками
- Установить кодовые фразы или процедуры подтверждения для срочных финансовых запросов
- Обучать финансовые службы распознаванию дипфейков и сценариев мошенничества