Twój szef prosi o pilny przelew – tylko że to nie on. Reklama na TikToku wygląda jak materiał znanej redakcji – ale prowadzi do fałszywego sklepu. Deepfake’i głosowe i kampanie reklamowe generowane przez AI to nowe ulubione narzędzia oszustów. Eksperci z CERT Polska i ESET biją na alarm.
Z TikToka korzysta ponad 1,7 mld ludzi na świecie, a przeciętny użytkownik spędza tam ok. 35 godzin miesięcznie. Oszuści publikują na platformie reklamy, które wyglądają identycznie jak zwykłe kampanie – z logotypami znanych mediów, rozpoznawalnymi twarzami i wypowiedziami, które nigdy nie padły. Część treści jest w całości generowana przez AI.
„Użytkownik widzi reklamę oznaczoną w normalny sposób, konto wygląda wiarygodnie. Automatycznie zakładamy, że wszystko jest bezpieczne. I właśnie na tym oszuści budują cały mechanizm” – tłumaczy Iwona Prószyńska z CERT Polska.
Kliknięcie to dopiero początek. Użytkownik trafia na fałszywe strony imitujące sklepy z aplikacjami lub platformy finansowe. Cel jest zawsze ten sam: wyłudzenie danych, pieniędzy albo instalacja złośliwego oprogramowania. Jak ostrzega Karol Bojke z CERT Polska, pobrana aplikacja może przejmować SMS-y, powiadomienia i dane logowania.
Szef dzwoni z poleceniem przelewu. Tylko że to deepfake
Z raportu „Cyberportret polskiego biznesu 2025” (ESET/DAGMA) wynika, że 58 proc. pracowników w Polsce nie zna nawet pojęcia „deepfake”, a co czwarty przyznaje, że uznał za wiarygodne nagranie stworzone przez AI. Schemat ataku jest prosty: przestępca pobiera kilka sekund głosu prezesa z wywiadu czy podcastu, generuje realistyczną kopię i dzwoni do pracownika z pilnym poleceniem.
Przez pewien czas chroniła nas polszczyzna, ale ten bufor topnieje. Najnowsze narzędzia dodają naturalne pauzy i zająknięcia, a część działa w czasie rzeczywistym. Przez telefon rozpoznanie podróbki jest ekstremalnie trudne. O skali zagrożenia świadczą konkretne przypadki – w 2020 r. pracownik firmy z Emiratów Arabskich przelał 35 mln dol., bo myślał, że rozmawia z dyrektorem. Od tamtego czasu technologia zrobiła gigantyczny skok do przodu.
Jak się bronić?
Zasada jest wspólna dla obu zagrożeń: nie ufaj, sprawdzaj, nie działaj pod presją. Zanim klikniesz reklamę – sprawdź, czy materiał istnieje na stronie źródłowej. Zweryfikuj konto i jego historię publikacji. Jeśli znana osoba nagle promuje kasyno albo w jednej reklamie pojawiają się logotypy konkurencyjnych mediów – to oszustwo. Po kliknięciu zawsze sprawdzaj domenę i nigdy nie instaluj aplikacji spoza oficjalnych sklepów. Podejrzane reklamy zgłaszaj do CERT Polska.
Gdy ktoś dzwoni z pilną prośbą – nawet jeśli głos brzmi znajomo – rozłącz się i oddzwoń samodzielnie. Zwracaj uwagę na mechaniczny rytm mowy i brak emocji w głosie. Nigdy nie wykonuj przelewów wyłącznie na podstawie telefonu.
AI w rękach przestępców to już nie science fiction, a codzienność. Oficjalna reklama na dużej platformie? Telefon od przełożonego? To już nie są gwarancje autentyczności. Najlepsza broń? Nawyk weryfikowania. Zanim klikniesz, zanim przelejesz pieniądze – zatrzymaj się i sprawdź. Bo w erze AI pozory mylą bardziej niż kiedykolwiek.
