לבעלי עסקים, מנהלים כספיים ומנהלות משרד: המאמר הזה מסביר איך הונאת Deepfake עובדת בפועל, מה עושים כדי לא ליפול בה, ואיך בונים תהליכים שמגנים עליכם גם כשהקול נשמע אמיתי לחלוטין.
מה זה הונאת Deepfake בעסקים, ואיך היא נראית בפועל?
הונאת Deepfake בעסקים היא הונאה שבה תוקפים משתמשים ב-AI כדי לחקות קול או פנים של מנהל, בשיחת טלפון, בהודעה קולית או בשיחת וידאו, וגורמים לעובד לבצע העברה כספית או למסור גישה. ה-FBI מזהיר שפושעים כבר משתמשים בסרטונים שנוצרו ב-AI לשיחות וידאו בזמן אמת עם מי שמוצגים כמנהלי חברה. ההגנה העיקרית היא תהליך אימות שלא תלוי בקול או בפנים.
ב-2024 עובד כספים במשרד של חברת ההנדסה הבריטית Arup בהונג קונג הצטרף לשיחת וידאו עם מי שנראו כסמנכ"ל הכספים ואנשי צוות נוספים. לפי משטרת הונג קונג, כולם היו שחזורי Deepfake, והוא העביר בסך הכול 200 מיליון דולר הונג קונגי, כ-25.6 מיליון דולר. Arup אישרה ל-CNN שנעשה שימוש בקולות ובתמונות מזויפים.
התחזות לעובדים או למנהלים מופיעה ברשימת האיומים בעמוד שירותי אבטחת מידע לעסקים, לצד סימולציות פישינג והדרכת עובדים שמכינות את הצוות לזהות אותה.
למה שכפול קול זמין היום לכל תוקף?
שכפול קול הפך למוצר מסחרי. ב-ElevenLabs, למשל, שכפול קול מיידי נבנה מהקלטה קצרה: החברה ממליצה על דקה עד שתיים של אודיו נקי, והתכונה כלולה בתוכנית Starter שעולה 6 דולר לחודש (אוקטובר 2026). תנאי השירות של החברה אוסרים שימוש לרעה, אבל ההקלטה עצמה קלה להשגה: ראיון, הרצאה או פודקאסט שבהם המנכ"ל מדבר. ה-FBI ממליץ לצמצם תוכן ציבורי עם הקול והתמונה שלכם, בדיוק מהסיבה הזו.
מה ההבדל בין הונאת BEC רגילה להונאה עם Deepfake?
הונאת BEC (Business Email Compromise) הקלאסית הסתמכה על מייל מזויף מהמנכ"ל שמבקש העברה דחופה. ה-FBI מגדיר היום BEC כהונאה שמכוונת לעסקים ולמי שמבצע העברות כספיות באופן קבוע, דרך פריצה למיילים, אבל גם דרך מספרי טלפון ואפליקציות לפגישות וידאו. BEC עם Deepfake מוסיף לזה:
- שיחת טלפון או ווטסאפ עם קול מזויף בזמן אמת
- ועידת ווידאו עם פנים מזויפות של מנהלים מוכרים
- לחץ פסיכולוגי מכוון ומחושב ("אל תספרו לאף אחד, בואו נסגור את זה עכשיו")
- שילוב עם חשבון מייל שנפרץ קודם לכן, להגדלת האמינות
ההבדל המהותי הוא שקול ופנים מוכרים נשמעים ונראים כמו אימות. כשגם הקול וגם הפנים מזויפים יחד בזמן אמת, קשה לזהות את הזיוף ברגע.
מה המספרים של ה-FBI אומרים?
הנתונים אמריקאיים: אלה התלונות שהוגשו ל-FBI, ולא נתון ישראלי.
| מדד | נתון | מקור |
|---|---|---|
| הפסדי BEC שדווחו ל-FBI ב-2024 | 2,770,151,146 דולר | IC3, דוח 2024 |
| הפסדי BEC שדווחו ל-FBI ב-2023 | 2,946,830,270 דולר | IC3, דוח 2024 |
| העברות שה-FBI ניסה להקפיא ב-2024 | 3,020 תלונות, ובהן ניסיונות גניבה (Attempted Theft) של 848.4 מיליון דולר | IC3, דוח 2024 |
| כסף שהוקפא באותן העברות | 469.1 מיליון דולר בארה"ב ו-92.5 מיליון דולר מחוצה לה, שיעור הצלחה של 66% | IC3, דוח 2024 |
| הסכום שהועבר במקרה Arup | 200 מיליון דולר הונג קונגי, כ-25.6 מיליון דולר | CNN |
מה הופך עסק קטן לפגיע להונאה כזו?
בדקו אם אחד מאלה נכון אצלכם:
- העברות כספיות מאושרות על סמך אמון אישי, בלי נוהל כתוב
- אין אישור של אדם נוסף להעברה מעל סכום מסוים
- העובדים לא תרגלו מה עושים כשמנהל מבקש בטלפון או בווידאו לחרוג מהנוהל
- אף אחד לא בודק חריגות בפעולות הכספיות
כל אחד מהם מאפשר לשיחה אחת משכנעת לעקוף את התהליך.
סימני אזהרה שכדאי להכיר
גם בזיוף מתוחכם יש סימנים שאפשר לשים לב אליהם. ה-FBI מונה בין השאר:
- פנים ותנועה לא טבעיים: עיניים או שיניים שלא נראות מציאותיות, פנים מטושטשות ותנועות לא טבעיות
- עיכוב וחוסר התאמה: השהיה בתמונה, או קול שלא תואם לגמרי את הדובר
- טון ובחירת מילים: ה-FBI ממליץ להקשיב לטון ולבחירת המילים כדי להבחין בין שיחה אמיתית לבין שכפול קול
ולצד הסימנים הטכניים, סימנים בהתנהגות:
- לחץ לפעולה מיידית: "עכשיו, לא בבוקר", "אל תספרו לאף אחד עדיין"
- בקשה לחריגה מתהליך: "הפעם בלי הטפסים הרגילים, נסגור את זה ישירות"
- מניעת אימות נוסף: "אל תתקשרו אלי שוב, אני בישיבה חשובה"
אל תסמכו רק על העין. ה-FBI עצמו כותב שקשה לזהות מתי תוכן נוצר ב-AI, ולכן ההגנה צריכה להיות תהליך.
שכבות הגנה שעובדות בפועל
אין פתרון טכני אחד שפותר את האיום הזה. ההגנה בנויה מכמה שכבות שעובדות יחד.
קוד אימות פנימי לדחיפות
קובעים מילת קוד פנימית שמי שמבקש פעולה חריגה חייב לומר. ה-FBI ממליץ על מילה או משפט סודיים כאלה כדי לאמת זהות של בני משפחה, ובעסק זה עובד באותו היגיון: תוקף שלא יודע את הקוד לא יכול לחקות אותו, גם אם הקול נשמע אמיתי. זו מדיניות שלא דורשת שום כלי.
חזרה למספר שאתם מכירים
ה-FBI ממליץ לנתק, לבדוק בעצמכם את המספר של מי שטוען שהוא מתקשר, ולחייג אליו ישירות. בעסק זה אומר: כל בקשה כספית שהגיעה בשיחה, בהודעה קולית או בווידאו מאומתת בשיחה חוזרת למספר שכבר שמור אצלכם.
אימות דואלי לעסקאות
כל העברה מעל סכום מוגדר מראש מחייבת אישור ממנהל נוסף, בלי קשר למי ביקש ואיך. תהליך, לא שיקול דעת ברגע הלחץ. ברגע שהתהליך קיים בכתב ועובדים מכירים אותו, הלחץ "אבל המנכ"ל ביקש" מאבד את עוצמתו.
הכשרה ממוקדת לאיום הספציפי
הכשרות כלליות על פישינג במייל לא מכינות עובדים לשיחת קול או ווידאו משכנעת. ההכשרה צריכה לכלול הדגמות של קול מזויף, תרגול "אני חייב לאמת לפני שאבצע", וכלל ברזל: שום פעולה כספית לא תבוצע מבקשה בשיחה בלבד, לא בטלפון ולא בווידאו.
ניטור חשבונות ומיילים
שירות MDR עם ניטור 24/7 מתמקד במחשבים, בשרתים ובחשבונות. הוא יכול לזהות התחברות חשודה או גישה לא שגרתית לתיבת מייל, שלעיתים מלוות הונאה כזו. את ההעברה עצמה עוצרים נוהל האישור בעסק והבנק.
הקשר לסיכוני סייבר רחבים יותר
שיחה מזויפת היא לא תמיד המטרה עצמה. ה-FBI תיאר במאי 2025 קמפיין שבו תוקפים התחזו לבכירים בממשל האמריקאי ופנו לאנשים שרבים מהם בכירים בממשל, בהווה או בעבר, ולאנשי הקשר שלהם. הם שלחו הודעות קוליות שנוצרו ב-AI, ואחר כך ביקשו לעבור לפלטפורמת הודעות אחרת ושלחו קישור זדוני כדי להשתלט על חשבונות. גישה לחשבון היא גם נקודת פתיחה למתקפות אחרות, כמו כופרה. ההונאה הזו היא חלק ממגמה רחבה של מתקפות סייבר מבוססות AI שכדאי להכיר לעומק. לתמונה כוללת של סיכוני סייבר לעסקים קטנים ובינוניים ראו את המדריך הייעודי.
אם הארגון שלכם מטפל בנתוני לקוחות, יש גם ממד של חוק הגנת הפרטיות: פריצה שמתחילה בהונאת Deepfake ומביאה לחשיפת מידע אישי עשויה להיחשב אירוע אבטחה חמור. החובה לדווח עליו לא באה מתיקון 13: במאגר ברמת אבטחה בינונית או גבוהה, תקנות אבטחת מידע מ-2017 מחייבות לדווח לרשות להגנת הפרטיות מיד (Pearl Cohen). אחראי על אבטחת המידע בעסק שלכם צריך להכיר את האיום הזה.
שאלות נפוצות
מה הכוונה בהונאת Deepfake בעסקים?
הונאת Deepfake בעסקים היא שיטת תקיפה שבה פושעי סייבר משתמשים ב-AI ליצירת קול ווידאו מזויפים של מנהלים בארגון ומוציאים בשמם הוראות כספיות או בקשות למידע רגיש. העובד שומע "את המנכ"ל" ומבצע את הבקשה מבלי לחשוד.האם עסקים קטנים ובינוניים בסכנה אמיתית?
כן. ה-FBI מגדיר BEC כהונאה שמכוונת לעסקים ולמי שמבצע העברות כספיות באופן קבוע, ובשנת 2024 דווחו לו הפסדי BEC של 2.77 מיליארד דולר. גודל העסק לא מופיע בהגדרה. מה שקובע הוא אם יש בעסק העברות כספיות ותהליך אישור שאפשר לעקוף בשיחה אחת.מה עושים אם קיבלנו שיחה חשודה שנראית כמו Deepfake?
עוצרים כל ביצוע כספי, מנתקים ומתקשרים בחזרה למספר המוכר של המבקש, לא למספר שממנו הגיעה השיחה, ומדווחים לממונה ולמחלקת IT. אם כסף כבר הועבר, פונים מיד לבנק שממנו יצאה ההעברה ומבקשים לעצור אותה.האם MFA מגן מפני הונאת Deepfake?
MFA מגן על חדירה לחשבונות, אבל לא על מניפולציה של עובד שמבצע פעולה מרצונו החופשי. ההגנה כאן היא תהליכית: אימות דואלי, קוד פנימי, והכשרה ממוקדת לאיום הזה ספציפית.כמה זמן לוקח לתוקף לייצר שכפול קול של מנהל?
לא הרבה. ב-ElevenLabs, למשל, שכפול קול מיידי נבנה מהקלטה קצרה, והחברה ממליצה על דקה עד שתיים של אודיו נקי. ההקלטה יכולה להגיע מראיון, הרצאה או פודקאסט שפורסמו. התכונה כלולה בתוכנית שעולה 6 דולר לחודש (אוקטובר 2026), אף שתנאי השירות של החברה אוסרים שימוש לרעה.האם ניתן לאחזר כסף שנגנב בהונאת Deepfake?
לפעמים, ובעיקר כשפועלים מהר. ב-2024 טיפל צוות של ה-FBI בהקפאת העברות ב-3,020 תלונות, עם ניסיונות גניבה (Attempted Theft) של 848.4 מיליון דולר, ודיווח על שיעור הצלחה של 66%. ה-FBI כותב שהגשת התלונה מהר ככל האפשר עוזרת לתהליך ההקפאה. לכן פונים לבנק מיד, ומניעה עדיין שווה יותר מכל ניסיון אחזור.קיבלתם שיחת ווידאו מהמנכ״ל שמבקש העברה דחופה, האם התהליכים שלכם עוצרים אותה?
המומחים שלנו ב-SouliTek ישמחו לבצע סקירה מקצועית ולהתאים עבורכם תוכנית פעולה.
יוצא עולם הסייבר ההתקפי עם למעלה מ-10 שנות ניסיון בשירותי IT לארגונים. מוביל את SouliTek במתן שירותי מחשוב מנוהלים ואבטחת מידע לעסקים קטנים ובינוניים בישראל.