הונאת קול ודיפ-פייק בעסקים: כשה-CEO מבקש העברה ולא ממש היה שם

מה זה הונאת קול מבוססת AI, ואיך היא עובדת?

הונאת קול מבוססת AI היא הונאה שבה תוקף משכפל בעזרת כלי AI את הקול של מנהל, שותף או ספק, ומבקש בשיחה או בהודעה קולית העברה דחופה או גישה למערכת. ה-FBI כותב בדוח 2025 ששיבוט קול יכול לשמש בהונאות BEC גם לבקשת העברה כספית. ההגנה העיקרית היא נוהל אימות שלא סומך על הקול, גם כשהוא נשמע מוכר.

שיחה כזו נעצרת, או עוברת, אצל העובד שעונה לה. לכן שירותי אבטחת מידע לעסקים כוללים מבחני פישינג מבוקרים לעובדים, עם דוחות והדרכה, שמטרתם להפוך את העובד מנקודת התורפה לקו ההגנה הראשון.

מה כלי שיבוט קול צריכים כדי לחקות מנהל?

כלי שיבוט קול צריכים בעיקר הקלטה נקייה של הקול של המנהל. בשירות שכפול הקול המיידי של ElevenLabs, למשל, ההמלצה היא דקה עד שתיים של אודיו בלי הד ורעשי רקע, ובהעלאה באפליקציה כל הדגימות יחד צריכות להגיע ל-10 שניות לפחות. החברה מוסיפה שראתה משתמשים שקיבלו תוצאות מצוינות גם מ-30 שניות. זה מוצר מדף: התכונה זמינה מתוכנית Starter, לא בתוכנית החינמית.

לפני השכפול ElevenLabs מבקשת לאשר שיש לכם זכות והסכמה לשכפל את הקול. לתוקף מספיקה ההקלטה, ומנכ"ל שהתראיין, הרצה או השתתף בפודקאסט עלול להשאיר אותה ברשת. לכן ה-FBI מציע, אם אפשר, להגביל תוכן ברשת שבו רואים או שומעים אתכם.

דיפ-פייק וידאו מוסיף שכבה: באותה התראה ה-FBI מזהיר שפושעים מייצרים סרטונים לשיחות וידאו חיות עם מי שמוצגים כבכירים בחברה. כך קרה ב-Arup, חברת הנדסה בריטית: ב-2024 עובד במחלקת הכספים של הסניף בהונג קונג השתתף בשיחת וידאו שבה, כך חשב, ישבו סמנכ"ל הכספים ועמיתים נוספים. משטרת הונג קונג מסרה שכל המשתתפים האלה נוצרו בדיפ-פייק, ושהעובד העביר 200 מיליון דולר הונג קונגי, כ-25.6 מיליון דולר (CNN).

כמה כסף עסקים מאבדים להונאות שנעזרות ב-AI?

עסקים דיווחו ל-FBI ב-2025 על הפסדים של יותר מ-30 מיליון דולר בהונאות BEC שמעורב בהן AI. בכל התלונות של אותה שנה שכללו מידע הקשור ל-AI, יותר מ-22,000 מכל הסוגים, ההפסדים המתואמים עולים על 893 מיליון דולר, ומתוכם יותר מ-632 מיליון דולר בהונאות השקעה. הנתונים מארה"ב בלבד, מתלונות ל-FBI; אין כאן נתון ישראלי.

ה-FBI מסייג בעצמו: יש כמה שיטות BEC, ולא כולן נעזרות ב-AI. הוא גם כותב שתוכן סינתטי שנוצר ב-AI נעשה קשה יותר לזיהוי וקל יותר לייצור.

למה עסק קטן חשוף להונאת קול?

עסקים גדולים בונים נהלי אישור מרובי שלבים, ולחלקם יש ועדות אשראי ואחראי אבטחת מידע ייעודי. בעסק שבו העברה מאושרת על סמך היכרות אישית, ואין נוהל כתוב למקרה שהמנכ"ל מתקשר ומבקש כסף דחוף, שיחה אחת משכנעת מספיקה כדי לעקוף את התהליך. בהגדרה של ה-FBI, BEC פוגעת בעסקים ובאנשים שעובדים מול ספקים או שמעבירים כספים דרך קבע, והתוקפים משתמשים לא רק במיילים אלא גם בטלפון ובאפליקציות לשיחות וידאו. אין בהגדרה הזו שום סף של גודל.

גם ההרגלים עוזרים לתוקף. כשבעל העסק והעובדים מתכתבים בווטסאפ ושולחים הודעות קוליות, בקשה בקולו של המנהל לא נראית חריגה. ההיכרות האישית, "אני מכיר את הקול שלו", הופכת מחוזק לנקודת תורפה. מאמרים קודמים שלנו על סיכוני סייבר לעסקים קטנים ועל מתקפות AI על ארגונים מתארים את התמונה הרחבה, ושיבוט קול הוא עוד שלב בה.

7 צעדים להגנה מעשית

ההגנה על עסקים מפני הונאת קול מבוססת AI נשענת יותר על נהלים מאשר על טכנולוגיה. הנה הצעדים לפי סדר עדיפות:

• קוד אימות פנימי: מילה או ביטוי שרק העובדים הרלוונטיים מכירים. ה-FBI מציע למשפחות לקבוע מילה או משפט סודיים כדי לוודא מי על הקו. בעסק ההיגיון זהה: את הקול אפשר לשכפל, את הקוד צריך לדעת.
• כלל שני ערוצים: כל אישור כספי מעל סכום שקבעתם מראש מחייב אישור בערוץ שני ונפרד, למשל הודעה במערכת הפנימית או שיחה חוזרת, ולא רק השיחה שבה הגיעה הבקשה.

• הרשאות העברה מוגבלות: אף אחד לא מעביר כסף לבד. כל העברה מחייבת חתימה של שניים, ודחיפות היא לא סיבה לחריגה.
• הדרכת עובדים: מסבירים לצוות הכספים שקול מוכר כבר אינו אימות, ומתרגלים מה עושים כשמנהל מבקש בטלפון לחרוג מהנוהל.

• שיחה חוזרת לפני ביצוע: כשמישהו מתקשר ומבקש משהו דחוף ויוצא דופן, מנתקים ומתקשרים בחזרה למספר שכבר שמור אצלכם, לא למספר שהתקשר. כך ממליץ גם ה-FBI: לנתק, לחפש בעצמכם את פרטי הקשר של הגוף שלכאורה מתקשר, ולחייג למספר הזה.
• מדיניות גלויה: כל הצוות יודע שמותר לשאול שאלת אימות גם את הבכיר ביותר. הנוהל מגן על כולם, כולל על הבכיר עצמו.

• שכבת זיהוי טכנולוגית: שירות MDR עוקב אחרי מחשבים, שרתים וחשבונות משתמשים. הוא יכול להתריע על כניסה חשודה לחשבון או על פעילות חריגה בתיבת המייל, שלפעמים מגיעות יחד עם הונאה כזו, אבל את השיחה המזויפת עצמה הוא לא שומע. מה שעוצר את ההעברה הוא הנוהל והבנק.

השוואת שיטות אישור תשלום

מה כל שיטה דורשת מהתוקף, ומה היא דורשת מכם:

הקשר לאימות מזהה: למה שכבת הגנה אחת לא מספיקה

שיבוט קול מגדיר מחדש את שאלת הזהות: מי מדבר איתי עכשיו. אימות חזק בפלטפורמות הדיגיטליות, כמו פאסקי ואימות ללא סיסמה, מגן על הכניסה למערכות, אבל לא על שיחת טלפון שמגיעה מחוץ לכל מערכת IT.

לכן שתי השכבות צריכות לעבוד יחד: טכנולוגיה לאבטחת הגישה הדיגיטלית, ונוהל אנושי לאבטחת השיחות. אם אתם לא בטוחים שהנוהל הנוכחי שלכם מכסה שיחה כזו, התחילו משתי שאלות: מי בעסק רשאי לאשר העברה, ומה הוא עושה כשהמנכ"ל מתקשר ומבקש לעקוף אותו.

שאלות נפוצות

מה זה שיבוט קול מבוסס AI ואיך הוא עובד?

זו טכנולוגיה שבה מודל AI לומד מהקלטה של אדם איך הוא נשמע, ואז מדבר בקולו משפטים שהאדם מעולם לא אמר. בשכפול המיידי של ElevenLabs, למשל, החברה ממליצה להעלות דקה עד שתיים של הקלטה נקייה. מקור ההקלטה יכול להיות כל סרטון, הרצאה או ראיון פומבי.

האם עסקים קטנים באמת בסיכון, הרי תוקפים מחפשים יעדים גדולים?

כן. בהגדרה של ה-FBI, BEC פוגעת בעסקים ובאנשים שעובדים מול ספקים או שמעבירים כספים דרך קבע, בלי שום סף של גודל. הסיכון נקבע לפי שתי שאלות: האם יוצאות מהעסק העברות כספיות, והאם אפשר לעקוף את האישור שלהן בשיחה אחת. ואם אותו אדם גם מאשר וגם מבצע את ההעברה, אף אחד לא יעצור אותה.

האם כלי AI יכולים לזהות שיבוט קול בזמן אמת?

יש כלים שמנסים, אבל אל תסמכו עליהם כשכבת הגנה יחידה. לפי ה-FBI, לא קל לזהות תוכן שנוצר ב-AI, ובדוח 2025 הוא מוסיף שתוכן סינתטי נעשה קשה יותר לזיהוי וקל יותר לייצור. קוד אימות פנימי ושיחה חוזרת למספר מוכר לא תלויים באיכות הזיוף, ולכן הם הבסיס.

מה ההבדל בין BEC לבין הונאת קול?

BEC (Business Email Compromise) התחילה כהונאה במייל מזויף שמתחזה לבכיר או לספק. ה-FBI מגדיר אותה היום רחב יותר, וכולל בה גם מספרי טלפון ואפליקציות לפגישות וידאו. הונאת קול היא הגרסה שבה הבקשה מגיעה בשיחה או בהודעה קולית, בקול משוכפל. בשתיהן התוקף מנצל סמכות ולחץ זמן, והקול המוכר מקשה על העובד לעצור ולבדוק.

מה הסכום המינימלי שצריך לדרוש אשרור כפול?

אין סכום אחיד. קבעו סף לפי גודל ההעברות הרגילות בעסק, כך שכל העברה מעליו תצטרך אישור שני. ויש שני מקרים שמחייבים אשרור כפול בלי קשר לסכום: תשלום לגורם חדש שלא ברשימת הספקים הקבועים, ושינוי פרטי חשבון הבנק של ספק קיים.

אם כבר נפלנו על הונאת קול, מה עושים?

התקשרו מיד לבנק שלכם ובקשו לעצור את ההעברה ולהחזיר את הכספים. ה-FBI כותב שכשמגלים העברה במרמה, הזמן קריטי. שמרו כל ראיה: מספר הטלפון, ההודעות הקוליות, המיילים ופרטי ההעברה, והגישו תלונה במשטרה. אחר כך החליפו סיסמאות ובדקו אם נפרץ גם חשבון מייל, כי לפעמים ההונאה מתחילה שם. אם מתברר שכן, אפשר לדווח על כך גם למערך הסייבר הלאומי.