Deepfake — це не лише підмінене обличчя у відео[1][4]
Для злочинців корисний цілий синтетичний набір: згенеровані аватари, фальшиві документи, клонований голос, real-time відео, переклади та персоналізовані повідомлення.
FBI/IC3 попереджає, що генеративний ШІ збільшує масштаб і переконливість уже існуючих фінансових схем. Профілі, сайти, документи й відео створюються швидше, а мовні помилки, які раніше видавали шахрая, зникають.
Тобто ШІ рідко вигадує новий злочин — він здешевлює старий і дозволяє запускати більше переконливих атак.
Типовий ланцюг атаки
Спочатку збирають дані: фото з соцмереж, зразки голосу, посади, родинні зв'язки, постачальників і внутрішні процеси. Потім створюють синтетичну персону або копію конкретної людини.
Далі будується контекст: клонований голос директора має говорити речі, які пасують до реалій компанії. Після цього йде тиск — терміновий переказ, новий рахунок, MFA-код, доступ до системи чи конфіденційний документ.
Особливо небезпечний deepfake як останнє «підтвердження» після кількох уже правдоподібних контактів.
FBI: AI вже видно в реальних категоріях збитків[2]
У звіті IC3 за 2025 рік є категорії з прямо заявленим AI nexus. Для employment scams з таким зв'язком повідомлено майже 13 млн доларів збитків, а для investment complaints — понад 632 млн доларів.
Це не загальний обсяг AI-шахрайства: багато жертв не знають, чи використовувався ШІ. Цифри показують лише видиму, позначену частину проблеми.
FBI згадує voice spoofing або потенційні voice deepfake на дистанційних співбесідах, а також згенеровані відео й голоси відомих людей і CEO у схемах інвестиційного шахрайства.
Головний ефект ШІ — вища переконливість і пропускна здатність уже прибуткових шахрайських схем.
Клонування голосу: слух — не автентифікація[3]
Знайомий голос люди сприймають як сильний доказ особистості. FTC описує випадки, коли синтетична мова імітує родича або керівника для виманювання грошей чи даних.
FTC також підкреслює відсутність єдиної магічної технології: watermark можна пошкодити, детекція має межі, а автентифікацію потрібно вбудовувати в процеси.
Надійніше не оцінювати, наскільки природно звучить голос, а завершити контакт і перевірити людину через відомий раніше канал.
Фото і відео часто потрібні для побудови довіри[1][5]
FBI згадує згенеровані фото профілю, документи та відео нібито публічних осіб чи керівників. Відеодзвінок може використовуватися як «доказ», що онлайн-контакт — справжня людина.
INTERPOL у 2026 році описує deepfake-as-a-service і пакети синтетичної ідентичності з відеоаватарами, клонованими голосами та біометрією. Технологія шахрайства стає послугою.
Тому потрібно перевіряти provenance, метадані, синтетичні сигнали й контекст, а не покладатися на відео чи один детектор.
Для компаній: як не погодити переказ через deepfake[1][3]
Безпечна процедура виходить з того, що e-mail, номер телефону, голос, аватар і відеозображення можуть бути підробленими.
- Зміну банківських реквізитів постачальника підтверджувати через раніше відомий канал.
- Великі платежі проводити з другим погодженням або незалежним фактором.
- Використовувати call-back на номер з довіреного корпоративного довідника.
- Не вважати відеодзвінок самодостатньою сильною автентифікацією.
- Зберігати підозрілі файли та заголовки листів.
- Навчати працівників розпізнавати терміновість, секретність і прохання обійти звичайну процедуру.
Для приватних осіб: родина, інвестиції та «термінова біда»[1][2]
FBI радить сімейне секретне слово чи фразу і незалежний зворотний дзвінок людині, якій нібито потрібна допомога. Зловмисник може мати запис голосу, але не знати спільного секрету.
В інвестиційному шахрайстві синтетичним може бути все середовище: експерт, відео, коментарі, чатбот і фальшивий dashboard. Перевіряти слід компанію, ліцензію, домен і рух коштів.
Deepfake-детекція має підтримувати рішення, а не бути бінарною брамою[3][4]
Високий ризик може запускати ручну перевірку, запит оригіналу, provenance-аналіз або незалежне підтвердження особистості. Це сильніше, ніж автоматичний вирок одного детектора.
Правильна реакція на deepfake — не «тепер не можна вірити нічому», а trust by verification: менше довіри одному сигналу, більше — повторюваному й документованому процесу.