Telefon od „prezesa”, który brzmi dokładnie jak prezes. Wideorozmowa z „dyrektorem finansowym”, który wygląda jak on. Pokazuję, jak działają oszustwa z użyciem AI, po czym je poznać i jaką prostą procedurę wprowadzić, żeby firma nie straciła pieniędzy.
| Co | Wynik |
|---|---|
| Pracownicy biurowi, którzy dali się nabrać na materiał sfałszowany przez AI | 23% — co czwarty |
| Spotkali próbę oszustwa ze sklonowanym głosem lub wizerunkiem współpracownika | niemal co dziesiąty |
| Nie wiedzą, czym jest deepfake | 57% |
| Nie są pewni, czy odróżnią treść AI od prawdziwej | 70% |
Źródło: raport „Cyberportret polskiego biznesu” ESET i DAGMA Bezpieczeństwo IT, badanie Polaków pracujących przy komputerze (za ITwiz, 7.08.2026).
Deepfake to nagranie głosu, film lub zdjęcie wygenerowane albo przerobione przez sztuczną inteligencję tak, by wyglądało na prawdziwe. Do sklonowania głosu często wystarczy krótkie nagranie z internetu — wywiad, film firmowy, głosówka. W firmach najczęściej spotyka się cztery scenariusze:
Nienaturalna mimika, brak synchronizacji ruchu ust z głosem, płaska intonacja, dziwne tło — to wskazówki, ale dobre narzędzia coraz lepiej je ukrywają. Pewniejsze są sygnały w samej prośbie:
Pamiętaj: numer na wyświetlaczu, nazwę nadawcy, a nawet prawdziwą skrzynkę pocztową można podrobić albo przejąć. Liczy się procedura, nie to, czy „głos się zgadzał”.
Każdą prośbę o pieniądze, dane albo dostęp potwierdzamy, rozłączając się i dzwoniąc na numer z firmowej książki adresowej — nigdy na numer podany w wiadomości.
Zarząd i księgowość ustalają słowo lub pytanie kontrolne, którego nie ma w żadnym mailu ani w internecie. Nie zna go — nie ma przelewu.
Przelewy powyżej ustalonego limitu i wszystkie nietypowe płatności zatwierdzają dwie osoby. Samo polecenie telefoniczne, głosówka czy wideorozmowa nie wystarczą.
Nowy numer konta kontrahenta wpisujemy dopiero po potwierdzeniu telefonicznym pod znany numer i sprawdzeniu na białej liście podatników VAT.
Nikt — ani „IT”, ani „bank”, ani „prezes” — nie dostaje kodu z SMS, kodu MFA ani hasła. Prawdziwy dział IT o to nie prosi.
Każdy pracownik może wstrzymać płatność, która budzi wątpliwości — bez konsekwencji, nawet jeśli „prezes” się zdenerwuje. Napisz to wprost w procedurze.
Raz w roku krótkie szkolenie i przećwiczenie scenariusza „pilny przelew od prezesa”. Ludzie, którzy raz usłyszeli, jak to brzmi, dużo rzadziej dają się nabrać.
Od 2 sierpnia 2026 r. obowiązuje art. 50 AI Act: chatboty i voiceboty mają od pierwszego kontaktu informować, że są sztuczną inteligencją, a podmioty publikujące deepfake'i — ujawniać, że treść jest sztuczna. To dobra zmiana, ale oszuści przepisów nie przestrzegają. Brak oznaczenia „AI” nie oznacza, że rozmawiasz z prawdziwym człowiekiem.
To nagranie głosu, film albo zdjęcie wygenerowane lub przerobione przez sztuczną inteligencję tak, by wyglądało na prawdziwe — np. głos prezesa w wiadomości głosowej albo jego twarz na wideorozmowie. Do sklonowania głosu oszustom często wystarczy kilkadziesiąt sekund nagrania z internetu.
Szczegóły techniczne (dziwna mimika, brak synchronizacji ust, płaski głos) to tylko wskazówki — dobre narzędzia je ukrywają. Pewniejsze są sygnały w treści: pośpiech, prośba o tajemnicę, pominięcie zwykłej procedury, nowy numer rachunku, kontakt z nowego numeru, prośba o kod lub hasło. Przy takiej prośbie zawsze rozłącz się i oddzwoń na numer, który znasz.
Od 2 sierpnia 2026 r. art. 50 AI Act wymaga m.in., żeby chatboty i voiceboty informowały, że są AI, a firmy publikujące deepfake'i — żeby je ujawniały. Oszuści tych przepisów nie przestrzegają, więc brak oznaczenia niczego nie gwarantuje. Ochroną jest procedura w firmie i przeszkoleni ludzie.
Natychmiast zadzwoń do banku pod oficjalny numer i poproś o wstrzymanie lub odwołanie przelewu. Zabezpiecz dowody (wiadomości, nagrania, numery rachunków, potwierdzenia), zgłoś incydent do CERT Polska przez incydent.cert.pl i zawiadom policję. Jeśli wyciekły dane osobowe, administrator ma co do zasady 72 godziny na zgłoszenie do UODO.
Nie ma przepisu, który nakazuje akurat szkolenie z deepfake'ów. Podmioty objęte ustawą o krajowym systemie cyberbezpieczeństwa muszą jednak zapewnić edukację personelu z cyberhigieny, a każdy pracodawca odpowiada za swoje pieniądze i dane. Krótkie szkolenie i jasna procedura płatności to najtańsza ochrona.
12 lekcji online dla pracowników biur, szkół, urzędów i małych firm — w tym cała lekcja o podszywaniu się z użyciem AI: SMS, telefon, komunikatory, podróbki głosu. Phishing, fałszywe faktury, hasła i MFA, „kliknąłem — i co teraz?”. Test i zaświadczenie. 99 zł netto za osobę — lekcja 1 za darmo.
Dla rodziców, dziadków i znajomych: kurs „Bezpieczny internet na co dzień” uczy rozpoznawać oszustwa „na wnuczka”, „na policjanta” i fałszywe inwestycje z deepfake'ami znanych osób — 49 zł netto. Pracownicy korzystają z czatów AI? Zobacz kurs „AI w pracy — bezpiecznie i skutecznie”.
Stan na 24 października 2026 r. Artykuł ma charakter informacyjny. Źródła: ITwiz — „Co czwarty pracownik dał się nabrać na deepfake” (raport ESET i DAGMA „Cyberportret polskiego biznesu”); Poradnik Przedsiębiorcy — deepfake i klonowanie głosu w firmie; Rzeczpospolita — AI Act od 2 sierpnia 2026.