پیامی صوتی از مدیرتان می‌رسد: «یک پرداخت فوری دارم، در جلسه‌ام و نمی‌توانم حرف بزنم. این مبلغ را به این حساب بزن.» صدا خودش است، لحن هم. ولی مدیرتان هیچ‌وقت چنین پیامی نفرستاده است.
کلاهبرداری تازه نیست. تازه این است که هوش مصنوعی ساختن پیام بی‌غلط، صدای آشنا و حتی تصویر متحرک را ارزان کرده است. دیپفیک یعنی صدا، تصویر یا ویدیویی که با هوش مصنوعی ساخته شده تا شبیه یک آدم واقعی باشد. خبر خوب این است که دفاع در برابرش به تشخیص با چشم و گوش نیاز ندارد؛ به روال درست نیاز دارد.
هوش مصنوعی چه چیزی را در کلاهبرداری عوض کرده است؟#
هزینه و کیفیت. پیام شخصی و بی‌غلط، صدای آشنا و سایت تقلبی باورپذیر حالا در چند دقیقه ساخته میشود، و نشانه‌های قدیمی مثل غلط املایی دیگر قابلاتکا نیستند.
| قبلاً | حالا |
|---|---|
| ایمیل فیشینگ پر از غلط و ترجمه‌ی بد | متن روان، با لحن و امضای درست |
| یک پیام یکسان برای هزاران نفر | پیام شخصی با نام، سمت و پروژه‌ی واقعی شما |
| تقلید صدا کار آدم ماهر بود | صدای ساختگی از یک نمونهی کوتاه |
| عکس جعلی با ویرایش دستی | تصویر و ویدیوی ساختگی در چند دقیقه |
| سایت جعلی با ظاهر ضعیف | سایت و چت پشتیبانی تقلبی که درست جواب می‌دهد |
اطلاعات لازم برای شخصی‌سازی هم معمولاً عمومی است: صفحه‌ی «درباره‌ی ما»، پروفایل شبکههای اجتماعی، ویدیوی معرفی محصول.
رایج‌ترین شکل‌های کلاهبرداری با هوش مصنوعی کدام‌اند؟#
چهار شکل بیشتر دیده میشود: صدای آشنا، فیشینگ شخصی، تماس تصویری ساختگی، و ابزار یا پشتیبانی تقلبی.
صدای آشنا در تماس یا پیام صوتی#
فرزند، همکار یا مدیری که در وضعیت اضطراری پول می‌خواهد. پیام کوتاه است، کیفیت تماس «بد» است و فرصت سؤال کردن نمی‌دهد؛ این‌ها دقیقاً برای پنهان کردن ضعف صدای ساختگی است.
فیشینگ دقیق و شخصی#
ایمیلی از طرف «شرکت هاست» که با نام دامنه‌ی واقعی شما می‌گوید سرویس به‌خاطر فاکتور پرداخت‌نشده تعلیق میشود و لینکی به صفحه‌ی ورود جعلی دارد. یا پیامی از طرف یک تأمین‌کننده با فاکتور «اصلاح‌شده» و شماره‌حساب تازه.
تماس تصویری ساختگی#
کمیاب‌تر ولی ممکن: جلسه‌ی آنلاینی که یکی از شرکت‌کننده‌ها چهره و صدای یک مدیر را دارد. معمولاً دوربین مدام قطع میشود یا کیفیت پایین است.
ابزار و پشتیبانی تقلبی#
برنامه‌هایی که خود را نسخه‌ی رایگان یک سرویس معروف هوش مصنوعی معرفی می‌کنند، افزونه‌های مرورگر مشکوک، و چت‌های «پشتیبانی بانک» که کد یکبارمصرف می‌خواهند.
کدام نشانه‌ها هنوز قابل‌اعتمادند؟#
نشانه‌های رفتاری، نه کیفیت صدا یا متن. محتوا را میشود بی‌نقص ساخت، ولی کلاهبردار برای رسیدن به هدفش مجبور است چند کار مشخص بکند:
| نشانه | چرا مهم است |
|---|---|
| فوریت: «همین الان»، «تا یک ساعت دیگر» | وقت فکر کردن و پرسیدن را می‌گیرد |
| محرمانگی: «به کسی نگو» | جلوی تأیید از راه دوم را می‌گیرد |
| کانال تازه: شماره یا حساب کاربری جدید | از مسیر شناخته‌شده بیرونتان می‌کشد |
| تغییر روش پرداخت یا شماره‌حساب | رایج‌ترین نقطه‌ی کلاهبرداری از کسب‌وکارها |
| درخواست رمز یا کد یکبارمصرف | هیچ سازمان درستکاری این را نمی‌خواهد |
| فشار عاطفی: ترس، شرم، دلسوزی | قضاوت را کند میکند |
اگر دو تا از این نشانه‌ها با هم آمدند، بدون تأیید هیچ کاری نکنید، هر چقدر هم صدا آشنا باشد.
چطور یک درخواست مشکوک را تأیید کنیم؟#
تماس را قطع کنید و از راه دوم و مستقل تأیید بگیرید. راه مطمئن روال است، نه تشخیص:
- خودتان تماس بگیرید، با شمارهای که از قبل دارید، نه شمارهای که در همان پیام آمده.
- رمز خانوادگی یا تیمی بگذارید: کلمه یا پرسشی که فقط شما میدانید و هرگز در پیام نوشته نمیشود.
- قانون دو نفر برای پرداخت: هر پرداخت غیرعادی یا تغییر شماره‌حساب تأمین‌کننده، تأیید نفر دوم را بخواهد.
- کد یکبارمصرف را به هیچ‌کس نگویید، نه به «پشتیبانی بانک»، نه به «همکار».
- آدرس را خودتان تایپ کنید و برای ورود به پنل هاست، بانک یا درگاه پرداخت از لینک داخل پیام استفاده نکنید.
- برنامه را فقط از منبع رسمی نصب کنید. نسخه‌ی «رایگان و بدون محدودیت» یک سرویس معروف در سایت ناشناس، معمولاً دام است.
کلاهبردار روی عجله حساب میکند. یک دقیقه مکث و یک تماس برگشتی بیشتر حمله‌ها را بی‌اثر میکند.
صاحب سایت و کسب‌وکار چه کار باید بکند؟#
هم از خودش محافظت کند، هم از مشتری‌هایی که ممکن است به اسم او فریب داده شوند.
- ایمیل دامنه را امضا کنید. با SPF، DKIM و DMARC جعل ایمیل به اسم دامنه‌ی شما سخت‌تر میشود؛ راهنمایش در چرا ایمیل سایت به اسپم می‌رود.
- به مشتری بگویید چه چیزی را هرگز نمی‌خواهید: «ما هرگز رمز یا کد یکبارمصرف شما را نمی‌خواهیم.»
- کانال‌های رسمی را یک جا فهرست کنید: شماره، ایمیل و حساب‌های رسمی شبکههای اجتماعی.
- ورود دومرحله‌ای را برای پنل مدیریت و ایمیل کاری فعال کنید. بقیه‌ی موارد در چک‌لیست امنیت وردپرس.
- روال‌ها را برای تیم بنویسید، به‌خصوص برای کسی که فاکتور پرداخت میکند؛ جای مناسبش سیاست استفاده از هوش مصنوعی در تیم است.
هوش مصنوعی برای دفاع هم به کار میآید#
پیام مشکوک را، بعد از حذف نام و شماره و اطلاعات شخصی، به یک دستیار هوش مصنوعی بدهید و نظر دوم بخواهید:
این پیام را از نظر نشانه‌های کلاهبرداری بررسی کن.
فوریت، درخواست محرمانگی، تغییر کانال یا حساب، و درخواست رمز را جدا فهرست کن.
بگو برای تأیید درستی آن، چه کاری را از راه مستقل انجام دهم.جواب مدل جای روال تأیید را نمی‌گیرد، ولی کمک میکند در لحظه‌ی عجله نشانه‌ها را ببینید. چه چیزهایی را نباید به مدل داد، در چه چیزهایی را هرگز به هوش مصنوعی ندهیم آمده است.
اگر فریب خوردیم، اول چه کنیم؟#
اول بانک، بعد رمزها. زمان مهم‌ترین عامل است؛ خجالت را بگذارید برای بعد:
- با بانک تماس بگیرید و کارت یا حساب را مسدود کنید.
- رمز هر حسابی را که لو رفته عوض کنید و از همه‌ی دستگاه‌ها خارج شوید؛ اگر همان رمز جای دیگری هم هست، آن‌جا هم.
- دستگاه‌های ثبت‌شده در ورود دومرحله‌ای را بررسی کنید.
- مدارک را نگه دارید: پیام، شماره، اسکرین‌شات، رسید.
- به پلیس فتا گزارش دهید و اگر پای کسب‌وکار در میان است، به مشتری‌ها و همکاران هشدار دهید.
این موضوع به کجا می‌رود#
جعل صدا و تصویر ارزان‌تر و طبیعیتر میشود، پس تشخیص با چشم و گوش مرتب ارزش کمتری پیدا میکند. در مقابل، دو جهت روشن در دفاع دیده میشود: روش‌های ورودی که در برابر فیشینگ مقاوم‌اند، مثل کلید عبور (passkey) و کلید امنیتی، و استانداردهایی برای نشان‌دادن منشأ محتوا که مشخص می‌کنند یک فایل از کجا آمده است.
برای آمادگی:
- هر جا سرویسی ورود با کلید عبور یا ورود دومرحله‌ای دارد، همین حالا فعالش کنید.
- رمز خانوادگی و روال پرداخت تیم را امروز توافق کنید، نه وسط یک تماس فوری.
- عادت کنید اعتبار هر درخواست را از کانال آن بسنجید، نه از ظاهرش.
خلاصه#
- غلط املایی و صدای ناآشنا دیگر نشانه‌ی قابل‌اتکایی نیستند.
- به فوریت، محرمانگی، کانال تازه و درخواست رمز یا پول دقت کنید.
- قطع کنید و خودتان با شماره‌ی شناخته‌شده تماس بگیرید.
- رمز خانوادگی و قانون دو نفر برای پرداخت بگذارید.
- ایمیل دامنه را امضا کنید و به مشتری بگویید چه چیزی را هرگز نمی‌خواهید.
