# Arup: дипфейк-видеоконференция привела к переводу 25 млн долларов

> Сотрудник гонконгского офиса Arup перевёл мошенникам 200 млн гонконгских долларов (около 25 млн долларов США) после видеоконференции, на которой финансовый директор и другие коллеги были дипфейками. Arup подтвердила использование поддельных голосов и изображений; внутренние системы не были взломаны.

- Канонический HTML: [/incidents/arup-deepfake-video-call-25m](https://ai-first.tech/incidents/arup-deepfake-video-call-25m)
- Язык: русский
- Редакционный принцип: защитный контекст без вредоносных полезных нагрузок и инструкций обхода.

- Дата: 2024-01
- Категория: Дипфейки и мошенничество
- Затронуто: Гонконгский офис британской инженерной компании Arup
- Критичность: Критический

## Что произошло

В январе 2024 года сотрудник офиса Arup в Гонконге получил сообщение якобы от финансового директора компании из Великобритании о конфиденциальной сделке. Сначала он отнёсся к письму с подозрением, но затем участвовал в видеоконференции, где видел и слышал знакомых коллег. Все они оказались подделками, созданными с помощью AI. После звонка сотрудник провёл 15 переводов на пять банковских счетов в Гонконге на общую сумму 200 млн гонконгских долларов. Компания сообщила в полицию в январе; в феврале полиция Гонконга рассказала о случае без названия компании, а в мае 2024 года Financial Times и CNN назвали жертву.

## Где нарушилась защита

Граница доверия нарушилась в процессе утверждения платежей: визуальное и голосовое присутствие руководителя на видеозвонке было воспринято как достаточное подтверждение. Дипфейки, по данным СМИ, строились на общедоступных записях руководителей. Независимой проверки запроса по другому каналу и многоступенчатого согласования крупных переводов не сработало.

## Последствия

- Прямой финансовый ущерб около 25 млн долларов США
- Один из крупнейших известных случаев мошенничества с дипфейками
- По заявлению Arup, финансовая устойчивость и операции компании не пострадали, внутренние системы не взломаны

## Реакция

Arup уведомила полицию Гонконга, которая ведёт расследование. Компания подтвердила использование поддельных голосов и изображений, не раскрывая подробностей.

## Уроки для бизнеса

- Видео и голос больше не доказывают личность собеседника
- Атака на бизнес-процесс не требует взлома ИТ-систем
- Срочность и конфиденциальность в запросе — признаки социальной инженерии, которые должны запускать проверку
- Публичные выступления руководителей становятся материалом для подделок

## Меры защиты

- Ввести обязательную проверку крупных платежей по независимому каналу связи
- Требовать согласования переводов двумя и более сотрудниками
- Установить кодовые фразы или процедуры подтверждения для срочных финансовых запросов
- Обучать финансовые службы распознаванию дипфейков и сценариев мошенничества

Связанные карточки угроз: A55, A56

## Первоисточники

- [Arup revealed as victim of deepfake scam](https://fortune.com/europe/2024/05/17/arup-deepfake-fraud-scam-victim-hong-kong-25-million-cfo) — Fortune
- [Scammers siphon $25M from engineering firm Arup via AI deepfake CFO](https://www.cfodive.com/news/scammers-siphon-25m-engineering-firm-arup-deepfake-cfo-ai/716501/) — CFO Dive