AI-дипфейки 2026: как распознать и защититься бизнесу

В Q1 2026 в России зафиксировано 3 200+ инцидентов с дипфейками против бизнеса — рост на 280% к 2024 году. Самый дорогой случай: гонконгский филиал Arup потерял $25 млн ₽ из-за видео-звонка, в котором «фейковый CFO» убедил сотрудника переводить средства. В России — крупнейшая известная атака 2025 года: 14 млн ₽, переведённые «по просьбе генерального директора» одной госкорпорации. Этот гид — про реальные сценарии deepfake-атак, технические способы защиты и обязательные политики безопасности для среднего и крупного бизнеса.

Что такое дипфейк (без путаницы)

Дипфейк — синтезированный AI-контент, который имитирует реального человека: его голос, лицо, манеру речи. Бывает:

1. Аудио-дипфейк — синтезированный голос «директора», звонок с просьбой о переводе.
2. Видео-дипфейк — поддельное видео-обращение или звонок в Zoom/Teams.
3. Текстовый дипфейк — письмо «от директора» в стиле его реальной переписки.
4. Документный дипфейк — поддельные документы (паспорт, счёт, договор) с реалистичными подписями.

В 2026 для создания качественного дипфейка не нужны студии — достаточно ноутбука и 30 секунд аудио / 5 секунд видео жертвы.

Реальные сценарии атак на бизнес 2026

Сценарий 1: «Звонок от директора»

Самый частый. Финансовый директор в отпуске, бухгалтерия получает срочный звонок: «Нужно сейчас же перевести 3 млн ₽ контрагенту, я пришлю реквизиты в WhatsApp». Голос настоящий. После звонка приходит сообщение «от него» с реквизитами.

В 35–45% случаев деньги уходят. Возврат через банк — 5–15% случаев.

Сценарий 2: Фальшивый Zoom-звонок

В 2025 году появились случаи: «Я в командировке, давай в Zoom обсудим документы по сделке». Звонок от коллеги, видео работает, голос настоящий. Через 20 минут — просьба «прислать сканы паспортов сотрудников» или «перевести залог по сделке».

Особенно уязвимы B2B-сделки на крупные суммы.

Сценарий 3: «Срочно от учредителя»

Малый бизнес, единственный учредитель в отпуске. Сотрудник получает голосовое сообщение «от него» в Telegram: «Ты сейчас на месте? Нужно срочно». Дальше переписка с просьбой о действиях.

Сценарий 4: Дипфейк-сотрудник в публичном пространстве

Атака не на компанию, а через компанию: дипфейк генерального директора публикует «обращение» в соцсетях с дезинформацией, наносящей репутационный ущерб.

Сценарий 5: Голосовой обход AI-биометрии в банке

Дипфейк голоса клиента используется для прохождения голосовой авторизации в банковском приложении. К 2026 многие банки добавили liveness-detection, но не все.

Сценарий 6: Поддельные видео-доказательства в кадрах

Сотрудника шантажируют поддельным видео «компромата». Цель — выдать корпоративные данные или совершить мошеннические действия.

Сценарий 7: Дипфейк в найме

Кандидат проходит собеседование в Zoom от лица другого человека (с большим опытом). После найма — другой человек выходит на работу. Растёт в IT-найме на удалёнке.

Способы технической защиты

Уровень 1: Базовая гигиена (любой бизнес)

Политики:

• Любая просьба о переводе денег по телефону / голосовому — обратный звонок на известный номер для подтверждения.
• Двухфакторная авторизация на всех корпоративных счетах.
• Кодовые слова между ключевыми сотрудниками — фраза, которую знают только конкретные двое и не пишут в чат.
• Запрет переводов по «срочным» просьбам без письменного подтверждения с корпоративной почты.

Стоимость: 0 ₽, только дисциплина.

Уровень 2: Технические инструменты (средний бизнес)

Аудио-детекция дипфейков:

• AntiFake (российский) — анализирует звонок в реальном времени.
• Pindrop (международный, через прокси) — для крупных колл-центров.
• VoiceVerify (РФ) — встроенный модуль для контакт-центров.

Видео-детекция:

• Sensity AI — анализирует видео-звонки.
• DeepWare Scanner — для записанного видео.
• Reality Defender — enterprise.

Аутентификация:

• Видео-звонки с liveness-detection (просьба повернуть голову, моргнуть, показать определённый жест).
• Multi-factor для крупных транзакций.
• Hardware tokens (YubiKey) для критичных доступов.

Стоимость: от 30 000 ₽/мес для базовых инструментов.

Уровень 3: Расширенные меры (крупный бизнес)

• Регулярные «учения» — фейковые атаки от ИБ-команды для проверки готовности.
• DLP-системы с детекцией социальной инженерии.
• Behavioral biometrics — анализ паттернов клавиатуры, мыши, мобильных взаимодействий.
• Watermarking всех корпоративных видео-материалов (C2PA standard).
• Content authenticity provenance (Adobe Content Credentials).

Стоимость: от 500 000 ₽/мес плюс кадры специалистов.

Чек-лист политик безопасности

Для финансовой команды

• Никаких переводов «срочно по телефону» без обратного подтверждения.
• Двойное подтверждение для сумм выше N (определите свой порог).
• Кодовые слова с руководителем для нестандартных операций.
• Регулярная проверка контрагентов через Контур.Фокус, СПАРК.
• Все реквизиты получаем по защищённым каналам, не из мессенджеров.

Для HR

• При найме на удалёнку — обязательная видео-встреча с liveness-проверкой.
• Проверка документов через Госуслуги (с согласия).
• Тестовое задание с unique watermark.
• Периодические видео-проверки в течение испытательного.

Для коммуникаций

• Все официальные обращения от руководства — через корпоративные каналы (не WhatsApp).
• Watermarking официальных видео-обращений.
• Политика реагирования на ложные публикации (kill chain).

Для безопасности

• Регулярное обучение сотрудников распознаванию атак.
• Учения с симуляцией дипфейк-атак.
• План реагирования на инцидент (кто, что, в какой последовательности).
• Связь с правоохранительными органами и банками для быстрого отзыва переводов.

Как самому распознать дипфейк

В аудио-звонке:

• Странные паузы или «дрожь» в голосе.
• Несоответствие интонации содержанию (просьба о деньгах в нейтральном тоне).
• Эхо или фоновый шум, нехарактерный для собеседника.
• Просьба совершить действие «срочно», без возможности обратной связи.
• Отказ перейти в видео-режим или включить камеру.

В видео-звонке:

• Странности с губами при произношении (асинхрония 50–200 мс).
• Артефакты на границе лица (особенно вокруг волос, ушей).
• Неестественная мимика — мало моргают, мало мимики.
• Глаза «не следят» естественно за движением.
• Задний фон необычно стабильный или, наоборот, артефакты.

Если подозреваете дипфейк:

1. Не панику. Скажите «я перезвоню вам через 5 минут» и положите трубку.
2. Позвоните на известный вам номер (не тот, с которого звонили).
3. Спросите что-то, что мог знать только реальный человек (общая шутка, недавнее событие).
4. Если подтверждение не получили — сообщите в ИБ.

Регулирование в России 2026

Документ	Что регулирует
42-ФЗ «О применении технологий ИИ»	классификация AI, запрет дезинформирующих дипфейков
152-ФЗ	биометрия как ПДн, особые требования к её использованию
Уголовный кодекс ст. 159	мошенничество с использованием дипфейка — отягчающее обстоятельство
38-ФЗ «О рекламе»	запрет имитации лиц без согласия в коммерческой рекламе
Приказ ЦБ 6122-У	требования к банкам по защите от deepfake-фрода

С 2025 года в УК РФ введена отдельная статья за создание и распространение дипфейков с целью обмана / шантажа — до 7 лет лишения свободы.

Подробнее — в статье про регулирование ИИ в России и ЕС.

Что делать, если стали жертвой

1. Немедленно сообщить в банк. Если был перевод — 24-часовое окно для отзыва.
2. Заявление в полицию. По ст. 159.6 УК РФ (мошенничество в IT-сфере).
3. Заявление в Роскомнадзор. Если дипфейк опубликован — требование удалить.
4. Внутреннее расследование. Кто принял решение, какие политики не сработали, как закрыть.
5. Сообщить страховой. Многие полисы кибер-рисков покрывают дипфейк-мошенничество.

FAQ

Сколько стоит сделать качественный дипфейк сегодня? Аудио на 1 минуту — $5–50. Видео-звонок в реальном времени — несколько тысяч долларов на инфраструктуру + умения. Простые статичные видео — почти бесплатно.

Есть ли инструменты, которые на 100% защищают? Нет. Технические инструменты ловят 70–90% атак. Остальные 10–30% — поведенческие политики.

Можно ли защитить свой голос / лицо от использования в дипфейке? Полностью — нет. Можно усложнить: меньше публичных видео в интернете, watermarking, цифровые подписи.

Кто несёт ответственность за перевод по дипфейк-просьбе? Юридически — компания, которая совершила перевод. В рамках страховки кибер-рисков можно частично возместить.

Растёт ли скорость атак? Да. К 2027 ожидается рост в 5–10× по объёму, и дипфейки станут «фоном» в любой социальной инженерии.

Помогает ли биометрия? Помогает, но только продвинутая (3D-сканирование, liveness, поведенческая). Простой voice-print или 2D-фото — обходится.

Какой первый шаг для малого бизнеса? Обучить команду + ввести политику «обратного звонка» для финансовых операций. Бесплатно, эффект мгновенный.

Что делать прямо сейчас

1. Сегодня: введите политику «обратный звонок для любых переводов > 50 000 ₽».
2. Эту неделю: проведите беседу с командой о deepfake-сценариях. Покажите видео реальных атак.
3. Этот месяц: внедрите 2FA на все корпоративные счета и ввести кодовые слова для ключевых пар сотрудников.

Связанные материалы:

• Безопасность данных при работе с ИИ
• Этика и safety AI в 2026
• Регулирование ИИ в России и ЕС

Дипфейки в 2026 — это не «теоретическая угроза будущего». Это реальный векторов атак, который уже стоит российскому бизнесу миллиарды рублей в год. Защита — это не дорогая технология, а дисциплинированные политики плюс осведомлённая команда. Те компании, которые внедряют это сейчас, через 2–3 года будут существенно безопаснее тех, кто продолжает «доверять голосу директора».