Владелец Parimatch потерял деньги на ИИ-стартапе-пустышке: его развели дипфейком знакомого

Обычно истории про дипфейки в бизнесе рассказывают как страшилки про чужие компании. Теперь в такую ситуацию попал владелец букмекерской компании Parimatch Сергей Портнов. Его обманом заставили вложиться в ИИ-стартап, которого на самом деле не существовало. Убедил его не сам стартап, а дипфейк человека, которому он доверял.

Что известно

Подробностей мало. Портнов рассказал об этом в посте в LinkedIn и не назвал сумму, а только написал, что потерял «очень дорого». Кто именно был подделан и как проходило общение, в публичных данных нет. Поэтому разбирать здесь технику атаки нельзя, а вот его вывод заслуживает внимания.

По словам Портнова, мошенничество давно вышло за рамки звонков от «сотрудников банка». Теперь на связь может выйти друг или родственник: знакомый голос, знание личных подробностей, а на деле это не он. «Даже видеозвонок — больше не доказательство», — пишет он. Его рецепт: прежде чем переводить деньги, перезвоните собеседнику по номеру, который у вас уже был. Пять минут «паранойи», по его словам, обойдутся намного дешевле его потерь.

Это не первый случай

Такие истории накапливаются с 2024 года, и они показывают разные стороны одной проблемы.

В том же году сотрудник финансового отдела инженерной компании Arup в Гонконге вышел на видеосозвон с финансовым директором и коллегами. Все участники оказались дипфейками. Сотрудник провёл пятнадцать платежей на сумму 200 млн гонконгских долларов, около $25,6 млн. Звонок выглядел как обычная рабочая встреча, а подделкой был каждый его участник.

Другой пример совсем безобидный, но показателен. Пользователь X под ником facelessboy00 рассказывал, что помог другу пройти собеседование в технологическую компанию. Он сам опытный разработчик, поэтому приходил на созвон и демонстрировал навыки, а лицо в реальном времени подменял на лицо друга. Со второй попытки это дало оффер на $4 тыс. Если подмена работает на собеседовании, то она сработает и в разговоре о деньгах.

Что делать на практике

Главная мысль всех трёх историй: не стоит рассчитывать, что вы заметите подделку по картинке. Качество растёт, а внимательность людей в рабочей рутине ограничена. Защищать нужно процесс, а не глаза сотрудника.

Разработчикам и техническим руководителям:

• Не считайте видео и голос фактором аутентификации. Если в вашем продукте есть сценарии «подтвердить личность по звонку», пересмотрите их.
• При найме удалённых специалистов добавляйте проверку вне основного видеозвонка: документы, рекомендации, повторную встречу через независимый канал.

Продактам и основателям:

• Для переводов и инвестиций введите правило второго канала. Любую просьбу о деньгах, пришедшую через звонок или мессенджер, подтверждайте по заранее известному контакту.
• Для крупных сумм нужно двойное согласование, чтобы один убеждённый человек не мог провести платёж в одиночку. В истории с Arup платежей было пятнадцать, и их можно было остановить на любом шаге.
• Договоритесь с близкими и командой о кодовом слове для срочных финансовых просьб. Это дёшево и работает, пока подделка не знает вашего секрета.
• Отдельно проверяйте «горячие» инвестиционные предложения. Тема ИИ сейчас привлекает деньги, поэтому мошенники охотно пользуются ею как приманкой.

Ограничения

Вся история основана на личном посте пострадавшего, независимых подтверждений и технических деталей в материале нет. Мы не знаем, какие инструменты использовали злоумышленники, был ли это видеозвонок или только голос, и как именно стартап выглядел для инвестора. Поэтому конкретные выводы о технологии делать рано.

Но практический вывод не зависит от этих деталей. Если даже владелец крупного бизнеса ошибся, значит, дело не в наивности жертвы, а в устаревших привычках. Проверка по независимому каналу занимает минуты, а ошибка может стоить миллионов. Для любой компании, где кто-то имеет право переводить деньги, такое правило стоит записать в регламент уже сейчас.