کلون صدای مبتنی بر هوش مصنوعی، کلاهبرداری ایمیلی سازمانی را به یک مساله تلفنی تبدیل کرد
بر اساس گزارش Internet Crime Complaint Center افبی، کلاهبرداری ایمیلی تتتی ضایع تاییدی ۳.۰۵ میلیارد دلار به سازمان‌های امریکایی در ۲۰۲۵ کشید — بزرگ‌ترین دسته زیان گزارش‌شده از جرایم سایبری. به مدت یک دهه، شرکت‌ها دفاع خود را بر این فرض بنا کرده بودند که جعل کردن یک ایمیل ساده است، اما جعل کردن یک تماس تلفنی سخت‌تر است. این فرض دیگر تات نخواهد بود. ساختیی ثانیه یک صدای عمومی، کلاهبرداری ایمیلی را از یک مساله متنی به یک مساله تلفنی تبدیل کرده، در حالی که بیشتر رویه‌های تایید شرکتی هرگز برای این نوع تهدید طراحی نشده بودند.
دفاع قدیمی چگونه کار می‌کرد
تقلب کلاسیک ایمیلی به یک تماس یا حساب جعلی شده متکی است: حمله‌کننده خود را جای یک مدیرعامل یا تامین‌کننده جا می‌زند و از کارمندان مالی می‌خواهد پول را فوری جابه‌جا کند. تیم‌های امنیتی کارکنان را به تماس گرفتن با یک شماره شناخته‌شده برای تایید درخواست‌های فوری تربیت کردند، زیرا شبیه‌سازی یک صدای قابل قبول تا چندی سال پیش به ابزارهای گران‌قیمت و ساعت‌ها صدای منبع نیاز داشت.
چه تفاوتی کرد
ابزارهای شبیه‌سازی صدا در سطح مصرفه‌کننده اکنون می‌توانند از یک کلیپ کوچک عمومی — یک تماس درآمد، یک سخنرانی در کنفرانس، یا حتی یک ویدیوی لینکدین — نمونه‌ای قابل استفاده بسازند. مهاجمین این قابلیت را با بررسی‌های استخراجی از لینکدین، اسنادهای SEC و سایت‌های شرکتی ترکیب می‌کنند تا دقیقاً بفهمند چه کسی انتقال وجوه را تایید می‌کند.
این روش جدید نیست — پرونده مشهور سال ۲۰۱۹ تقلبی۱۹ که صدای مدیرعامل شرکت انرژی المانی در بریتانیا را کلون کردند و ۲۴۳ هزار دلار برداشتند، این را سال‌ها پیش از این نشان داده بود. اما از ۲۰۲۵، هزینه و سرعت تولید یک کلون قابل قبول به‌شدت کاهش یافته، و این تکنیک از حمله‌ای کمیاب به گزینه‌ای در دسترس کارکنان متنوعتری تبدیل شده است.
ارقام چه می‌گویند
گزارش جرم اینترنتی FBI در سال ۲۰۲۵ رقم کل خسارات گزارش‌شده پرداخت در امریکا را ۲۰.۸۷۷ میلیارد دلار اعلام کرده، که ۲۶ درصد نسبت به سال قبل افزایش داشته است. BEC با ۳.۰۵ میلیارد دلار، بزرگ‌ترین دسته زیان کسب‌وکار باقی ماند. این اداره همچنین بیش از ۲۲,۰۰۰ شکایت مرتبط به کلاهبرداری مبتنی بر هوش مصنوعی را ثبت کرده که در مجموع حدود ۸۹۳ میلیون دلار ضرر به همراه داشته است.
راه‌اندازهای عملی
تایید از راه دوم که به تشخیص صدای حسب نشود، تأیید دومرحله‌ای با استفاده از یک عبارت یا کد از قبل توافق‌شده که هرگز در ایمیل یا پیام‌گیر داده نمی‌شود؛ امضای دوگانه با حد‌نصاب مشخص برای هر انتقال بالاتر از حد معین که از دو سیستم مجزا عبور می‌کند؛ و حساسیت به فوریت به‌عنوان اصلی‌ترین علامت هشدار — نه یک برچسب روی ایمیل. همچنین مدیران ارشد مالی که صدایشان به‌راحتی در دسترس است باید این ریسک را در نظر بگیرند.
نتیجه
تماس تلفنی که برای یک دهه اساس دفاع بود به این فرض متکی بود که جعل کردن تلفن سخت‌تر از ایمیل است. این فرض از بین رفته. شرکت‌هایی که رویه‌های تایید خود را برای فرض تقلیدپذیری هر دو روش به‌روز نکرده‌اند، به کنترلی تکیه کرده‌اند که دیگر همان کارکردی را ندارد.