Мошенничество с клонированием голоса: как остановить звонок фальшивого «начальника» с просьбой о платеже (руководство для малого бизнеса в Великобритании)

Пятница, без двадцати пять. У вашего бухгалтера звонит мобильный, и это вы: тот же голос, та же манера произносить её имя. Вы застряли на встрече, сделка сорвётся, если сегодня не уйдёт задаток, реквизиты придут в WhatsApp. И пока никому ни слова. Она сто раз платила поставщикам по вашей просьбе. С чего бы ей сомневаться в вашем голосе?

Потому что голоса теперь можно копировать. Report Fraud, национальная служба приёма сообщений о мошенничестве для Англии, Уэльса и Северной Ирландии, предупреждает, что мошенники «используют ИИ для создания поддельных аудиозаписей» голоса человека, которого вы знаете или которому доверяете, изображают срочную ситуацию и просят о платеже. Мошенничество с клонированием голоса превращает старую схему мошенничества от имени руководителя (CEO fraud), где раньше приходило письмо, в телефонный звонок голосом человека, которому вы доверяете. Надёжно распознать подделку на слух не получится. Защищают три скучных правила, которым всё равно, насколько убедителен голос: перезвонить по номеру, который у вас уже есть, спросить заранее согласованное кодовое слово и никогда не позволять одному человеку переводить деньги в одиночку. В этом руководстве объясняется, почему работает каждое правило, где оно даёт сбой и что говорят британские правила, если деньги уже ушли.

Что произошло в Fideuram

25 сентября 2026 г. агентство Reuters сообщило, со ссылкой на два источника, что мошенники, с помощью ИИ выдававшие себя за топ-менеджеров, увели €95 млн у Fideuram — подразделения частного банкинга Intesa Sanpaolo. В феврале тогдашний председатель банка получил сообщение в WhatsApp, которое выглядело как сообщение от генерального директора Intesa с просьбой срочно помочь с зарубежной сделкой. Затем последовал звонок, который выглядел как звонок старшего партнёра известной юридической фирмы, подтверждавшего это поручение. По данным источников Reuters, звонившие воссоздали голос юриста с помощью ИИ. Председатель поручил финансовому отделу отправить серию переводов, в основном на счета в Китае и Гонконге.

По словам источников, около €53 млн позже вернули, а примерно €36 млн до сих пор не найдены. Intesa Sanpaolo и Fideuram от комментариев отказались. Итальянское информационное агентство ANSA со ссылкой на постановление миланского суда оценивает недостающую сумму в €39,5 млн. Две детали из этого постановления важны для любого бизнеса. Первое сообщение пришло с номера, отличного от того, который знал председатель. А в тот же день с руководителем казначейства и платежей связался человек, выдававший себя за генерального директора Fideuram, и сказал, что председатель позвонит и распорядится о «срочных и конфиденциальных» переводах. Мошенники заранее подготовили не только того, кто отдавал распоряжение, но и того, кто должен был его исполнить.

Банк публично не описывал способ, так что «голос, клонированный ИИ», — это то, что сообщают источники и судебные документы, а не то, что подтвердил банк. Но на этой схеме всё равно полезно учиться: сообщение с незнакомого номера, знакомый голос для подтверждения, секретность, срочность и платёж за границу.

Насколько это распространено среди небольших компаний?

Большинство таких случаев — это мошенничество с перенаправлением платежей, в котором ИИ может участвовать, а может и не участвовать. Цифры показывают и масштаб проблемы, и пределы того, что о ней известно.

В отчёте ФБР об интернет-преступности за 2025 год говорится, что клонирование голоса «также может использоваться для запроса банковского перевода», но добавляется, что тактик BEC много и «не все из них используют ИИ». Потери от BEC, связанные с ИИ, составляют около 1% от общей суммы BEC. Это может быть занижено, потому что жертвы часто не могут понять, использовался ли ИИ. В отчёте за 2024 год приводится цифра $2,77 млрд за предыдущий год.

В Великобритании годовой отчёт UK Finance о мошенничестве за 2026 год показывает, что мошенничество от имени руководителя встречается редко — менее 1% случаев мошенничества с авторизованными платежами (APP), — но даёт самую высокую среднюю потерю среди всех восьми видов APP-мошенничества, которые отслеживает UK Finance. В 2025 году потери от него упали на 53%, с £11,9 млн до £5,6 млн, а число случаев стало самым низким за всё время наблюдений UK Finance. APP-мошенничество — это когда вас обманом заставляют самому отправить банковский перевод. UK Finance не выделяет случаи с голосами, созданными ИИ. Правительственная кампания Stop! Think Fraud предупреждает, что преступники выдают себя за топ-менеджеров, «иногда используя дипфейк-аудио или видео», чтобы вынудить сотрудников к срочным платежам.

Для малого бизнеса вывод простой. Средняя потеря от мошенничества от имени руководителя — более £28 000, это серьёзный удар для большинства небольших компаний, а проверки, которые останавливают версию с ИИ, останавливают и версии с письмами и сообщениями.

Почему вслушиваться внимательнее — не защита

В предупреждении ФБР от декабря 2024 г. о мошенничестве с генеративным ИИ людям советуют внимательно прислушиваться к тону и выбору слов, а в отчёте ФБР за 2025 год сказано, что созданный ИИ контент «всё труднее обнаружить». В деле Fideuram, по данным источников Reuters, клонированного голоса партнёра реальной известной юридической фирмы хватило, чтобы подтвердить поручение. Сотрудникам всё равно стоит сообщать обо всём, что звучит странно. Но процесс, который зависит от того, распознает ли кто-то поддельный голос, отказывает именно тогда, когда подделка хорошая.

Три правила ниже убирают голос из решения. Они проверяют просьбу через канал, который звонящий не контролирует.

Правило 1: положите трубку и перезвоните по номеру, который у вас уже есть

Когда звонок или сообщение просит денег, нового получателя или новые банковские реквизиты, завершите разговор и перезвоните человеку по номеру, который был у вас до этой просьбы: из контактов в телефоне, списка сотрудников, номера поставщика из прежнего договора. Stop! Think Fraud советует подтверждать и старые, и новые реквизиты, «используя известный номер телефона, а не тот, что указан в сообщении». ФБР даёт тот же совет для звонков якобы от банка или организации: положите трубку, сами найдите контакт и позвоните напрямую.

Именно это правило могло бы остановить первое сообщение в деле Fideuram, пришедшее с незнакомого номера. Оно работает, потому что клонирование голоса не даёт преступнику контроля над телефоном настоящего человека.

Где правило даёт сбой:

• Номер пришёл вместе с просьбой. Номер из подписи письма, профиля WhatsApp или «нового» счёта — не известный номер.
• Определитель номера показывает начальника. Report Fraud советует не доверять определителю номера, потому что он «не доказывает личность». Ofcom объясняет, что преступники могут менять отображаемый номер или имя — это называется подменой номера (спуфингом). Даже на входящий звонок с сохранённым именем нужно ответить обратным звонком. Ofcom также советует подождать не меньше пяти минут, прежде чем перезванивать, чтобы линия освободилась и вы не остались на связи с мошенником.
• Человек действительно недоступен. Тогда платёж ждёт. Настоящая сделка, которая не переживёт часовую задержку ради обратного звонка, — редкость, а срочность сама по себе тревожный сигнал.

Правило 2: договоритесь о кодовом слове для просьб о платеже

Report Fraud советует договориться о секретной фразе с близкими друзьями и семьёй, «чтобы проверить, что вы действительно говорите с ними», и ФБР даёт семьям похожий совет. Бизнес может использовать ту же идею: слово или короткую фразу, согласованную при личной встрече, которую должен назвать любой, кто просит о срочном или необычном платеже. Клонированный голос может скопировать, как вы говорите. Но он не может знать слово, которое никогда не записывали и не произносили по телефону.

Это страховка, а не замена правилу 1:

• Не храните его в почте, чатах и общих документах. Если оно записано во взломанном почтовом ящике, оно есть и у преступника.
• Меняйте его, когда уходит кто-то, кто его знает, или если его могли произнести во время ненастоящего звонка.
• Никогда не называйте его тому, кто его спрашивает. Слово называет тот, кто просит деньги. Тот, кто платит, никогда не произносит его первым.
• Правильное слово — не карт-бланш. Платёж всё равно проходит через правило 3.

Правило 3: каждого нового получателя и крупный платёж утверждают два человека

Stop! Think Fraud рекомендует процедуры согласования и периоды ожидания для изменений банковских и зарплатных реквизитов и отмечает, что некоторые компании ждут 14 или 30 дней, прежде чем утвердить новые реквизиты поставщика. Для малого бизнеса практичный вариант такой: один человек готовит платёж, второй его утверждает, а для любого нового или изменённого счёта действует период ожидания.

Дело Fideuram показывает, где ловушка. Мошенники связались и с руководителем казначейства, так что человека, который должен был провести платежи, заранее предупредили о звонке. Два человека защищают, только если второй проверяет независимо:

• Утверждающий сам перезванивает тому, кто просит, по известному номеру. Он не полагается на слова первого сотрудника: «всё настоящее, я с ним говорил».
• Просьба «держать это в секрете» от якобы старшего руководителя — повод притормозить, а не обойти второго утверждающего.
• Начальник — не исключение. Если платёж нужен управляющему директору, его всё равно утверждает кто-то другой. Stop! Think Fraud предлагает сообщить всем сотрудникам, если генеральный или финансовый директор никогда не просит их о срочных платежах, — тогда такая просьба сразу бросится в глаза.
• В бизнесе из двух человек второй проверкой может быть ваш бухгалтер или деловой партнёр. Банк также может позволить требовать второго подтверждения в интернет-банке — спросите, что он предлагает.

Если вы уже автоматизируете обработку счетов, шаг утверждения должен быть и в этом процессе. В нашем руководстве об обработке счетов с помощью ИИ рассказано, где должно остаться подтверждение человеком.

Разбор примера (гипотетический)

Допущения: дизайн-агентство в Лидсе, девять сотрудников, годовой оборот £900 000. Управляющий директор Сэм на отраслевой выставке. Платежами занимается Прия. Все детали придуманы для иллюстрации.

• 14:10. Прие приходит сообщение в WhatsApp с незнакомого номера с фотографией Сэма: «Новый телефон, старый сломался. Сделай одолжение, только пусть это останется между нами». Следом звонок. Голос в точности как у Сэма. Задаток £18 500 нужно сегодня же отправить новому поставщику.
• Правило 1. Прия говорит, что сейчас перезвонит, кладёт трубку и набирает номер Сэма из списка сотрудников. Включается автоответчик. Она оставляет сообщение и ничего не платит.
• Правило 2. Звонящий перезванивает и давит. Прия спрашивает кодовое слово. Звонящий отвечает, что «сейчас не до игр». Вопрос решён.
• Правило 3. Даже с правильным словом новому получателю нужно было бы одобрение Бена, руководителя операций, после обратного звонка Сэму по известному номеру.
• 16:30. Сэм перезванивает со своего обычного телефона между встречами. Он ни о чём не просил. Прия сообщает о номере и сохраняет сообщения.

Цена этих правил — небольшая задержка настоящего срочного платежа несколько раз в год. Без них агентство потеряло бы £18 500. Если бы Прия заплатила, могли бы помочь описанные ниже правила возмещения при APP-мошенничестве, но результат зависел бы от способа платежа и оценки банка.

Если деньги уже ушли

Важна скорость. Национальный центр кибербезопасности (NCSC) советует связаться с банком напрямую через его официальный сайт или номер телефона и как можно скорее сообщить о случившемся в ИТ-отдел или своему ИТ-специалисту. Report Fraud отмечает, что до своего банка можно дозвониться и по номеру 159. На правительственной странице о сообщениях о мошенничестве сказано, что о мошенничестве нужно сообщать в Report Fraud, национальный центр приёма сообщений, онлайн или по номеру 0300 123 2040. В Шотландии сообщайте в полицию Шотландии по номеру 101.

Вернут ли вам деньги, зависит от того, кто вы и как ушли деньги:

• Покрывается: по правилам Регулятора платёжных систем (PSR) о возмещении потерь от APP-мошенничества, физические лица, микропредприятия и благотворительные организации получают обязательное возмещение потерь от APP-мошенничества по британским переводам через Faster Payments и CHAPS, сделанным 7 октября 2024 г. или позже, — до £85 000 по одному заявлению. Банки могут применить франшизу до £100.
• Микропредприятие — это, согласно определению FCA, предприятие, в котором работает менее 10 человек, а оборот или годовой баланс не превышает €2 млн.
• Не покрывается: в сводном заявлении о политике PSR исключены международные платежи и платежи через другие системы. Банки могут отклонить заявления, поданные более чем через 13 месяцев после последнего платежа. Перевод в Гонконг, как в деле Fideuram, под эти правила не попадает.
• Исключения: возмещения нет, если вы были соучастником или проявили грубую небрежность. PSR подчёркивает, что грубая небрежность — это «высокая планка».
• Если банк отказал: по словам PSR, неурегулированную жалобу можно передать в Службу финансового омбудсмена (Financial Ombudsman Service), в том числе если потеряно больше £85 000 и эти деньги не возместили. Лимит компенсации у омбудсмена — £430 000.

Более крупные компании не входят в обязательную схему и зависят от условий своего банка и от того, удастся ли вернуть средства. Данные UK Finance показывают, как мало удаётся вернуть: в 2025 году жертвам вернули лишь 20% потерь от мошенничества от имени руководителя — за счёт возмещений банков или возвращённых средств.

Что стоит держать в поле зрения: в годовом отчёте PSR за 2025/26 год сказано, что законопроект, внесённый в парламент 19 мая 2026 г., предусматривает упразднение PSR и передачу его функций FCA. В ответе по итогам консультаций правительство сообщает, что требования режима возмещения при APP-мошенничестве будут переданы FCA.

Что решить на этой неделе

Запишите три правила на одной странице и сообщите их всем, кто может переводить деньги, включая директоров. Договоритесь о кодовом слове лично. Проверьте настройки утверждения платежей в своём банке и сохраните известные номера ключевых поставщиков и руководителей заранее, до того как они понадобятся. Для этого не нужно нового программного обеспечения, и это работает, придёт ли следующая просьба по почте, в SMS, в WhatsApp или клонированным голосом.

Если вы хотите встроить это в то, как ваш бизнес реально платит поставщикам, — с шагами утверждения в интернет-банке и процессе обработки счетов и коротким инструктажем для сотрудников, — Evoogen может описать ваш платёжный процесс и настроить его вместе с вами. Узнайте, как Evoogen работает с малым бизнесом.