2 miliony złotych w 12 minut: jak AI zmieniła oszustwa w Polsce

W lutym 2024 roku dyrektor finansowy polskiego banku regionalnego odebrał telefon od "prezesa". Głos brzmiał identycznie jak szefa, nawet z charakterystycznym seplenieniem. W 12 minut przelał 2 mln zł na "pilną transakcję dla kluczowego klienta". Gdy prawdziwy prezes zadzwonił godzinę później, pieniądze były już na kontach w Hong Kongu. To nie był pierwszy taki przypadek w Polsce - ale pierwszy, gdzie oszuści użyli klona głosu stworzonego przez AI.

Dlaczego Polska stała się poligonem doświadczalnym dla oszustów wykorzystujących AI?

W 2023 roku polskie firmy straciły ponad 50 mln zł przez oszustwa z wykorzystaniem sztucznej inteligencji [2]. To wzrost o 30% w porównaniu z rokiem poprzednim. Dlaczego akurat nasz kraj stał się celem?

Po pierwsze: słabe regulacje. Urząd Ochrony Danych Osobowych przyznaje, że w Polsce brakuje dedykowanych przepisów dotyczących deepfake i oszustw generowanych przez AI [4]. Podczas gdy w Unii Europejskiej trwają prace nad AI Act, polskie firmy muszą radzić sobie same.

Po drugie: wysoka adopcja nowych technologii. Polska jest w czołówce krajów UE pod względem liczby transakcji mobilnych i cyfryzacji usług finansowych [3]. To stwarza więcej punktów wejścia dla oszustów. W 2023 roku odnotowano 12 przypadków oszustw bankowych z użyciem deepfake, w których łącznie skradziono 8 mln zł [3].

Przypadek z polskiego banku regionalnego pokazuje, jak szybko działają przestępcy. Oszuści wykorzystali nagrania głosu prezesa z konferencji prasowych dostępnych online. Za pomocą narzędzi takich jak ElevenLabs czy lokalnych modeli językowych stworzyli klon głosu. Wystarczyło 30 sekund nagrania, by wygenerować przekonującą imitację [1].

Jak generatywna AI zmieniła zasady gry w oszustwach?

Jeszcze rok temu phishing polegał na wysyłaniu maili z błędami językowymi i podejrzanymi linkami. Dziś oszuści używają ChatGPT do generowania wiadomości bez literówek, w idealnym polskim stylu korporacyjnym [1]. Wystarczy podać modelowi kilka przykładów maili z danej firmy, by wygenerował setki wariantów.

Największą zmianą jest jednak deepfake. W 2023 roku 25% wszystkich oszustw z użyciem AI w Polsce dotyczyło właśnie tej technologii [2]. Przestępcy nie muszą już kraść tożsamości - wystarczy, że ją podrabiają. Narzędzia takie jak HeyGen czy Synthesia pozwalają stworzyć realistyczne wideo z dowolnej osoby, używając tylko kilku zdjęć.

Tradycyjne systemy bezpieczeństwa nie radzą sobie z tymi atakami. Większość polskich banków (70%) nie posiada rozwiązań wykrywających deepfake w komunikacji głosowej [3]. Systemy antyfraudowe bazujące na regułach nie są w stanie rozpoznać, że głos prezesa został wygenerowany przez AI.

Problemem są też polskie modele językowe. Oszuści wykorzystują je do tworzenia przekonujących wiadomości SMS i e-maili w języku polskim. Modele takie jak Polish BERT czy lokalne wersje Llama potrafią generować teksty niemal nie do odróżnienia od ludzkich [1].

Najczęstsze scenariusze oszustw z AI w Polsce - jak je rozpoznać?

Fałszywe wiadomości głosowe od "prezesa"

W marcu 2024 roku polska korporacja z branży energetycznej straciła 1,2 mln zł przez fałszywe potwierdzenie głosowe. Oszuści podszyli się pod prezesa spółki, dzwoniąc do dyrektora finansowego z prośbą o pilny przelew. Głos brzmiał identycznie jak szefa - nawet z charakterystycznym "no" na początku każdego zdania.

Jak rozpoznać?

• Prośba o natychmiastową transakcję bez standardowych procedur
• Głos brzmi nieco zbyt idealnie, bez naturalnych przerw i wdechów
• Numer telefonu pochodzi z nieznanego źródła (nie z wewnętrznej bazy firmy)

Deepfake wideo w rekrutacji

W 2023 roku odnotowano 15 przypadków oszustw w rekrutacji z użyciem deepfake w Polsce [6]. Oszuści podszywają się pod headhunterów i przeprowadzają fałszywe rozmowy kwalifikacyjne. W jednym przypadku kandydat na stanowisko dyrektora IT został poproszony o przelanie 50 tys. zł jako "opłatę za weryfikację tożsamości".

Jak rozpoznać?

• Rekruter unika wideorozmowy na żywo, proponując nagrane wideo
• Obraz jest zbyt idealny - brak naturalnych ruchów głowy, mrugania
• Prośba o pieniądze lub dane osobowe na wczesnym etapie rekrutacji

AI-generated SMS-y i e-maile

Oszuści wykorzystują polskie modele językowe do generowania wiadomości bez błędów. W jednym przypadku firma otrzymała SMS-a od "kuriera" z prośbą o podanie kodu PIN do paczki. Wiadomość była napisana bezbłędną polszczyzną, z użyciem branżowego żargonu.

Jak rozpoznać?

• Sprawdź nadawcę - oszuści często używają podobnych, ale nie identycznych adresów e-mail
• Zwróć uwagę na ton - AI generuje teksty zbyt formalne lub zbyt przyjazne
• Szukaj powtarzających się fraz - modele językowe często używają tych samych zwrotów

Czy polskie prawo nadąża za AI-driven scams?

Urząd Ochrony Danych Osobowych uznaje deepfake za potencjalne naruszenie RODO, jeśli wykorzystuje dane osobowe bez zgody [4]. Problem w tym, że polskie prawo nie definiuje jednoznacznie odpowiedzialności za oszustwa z użyciem AI.

KNF rekomenduje bankom wdrażanie dodatkowych środków ochrony, ale nie nakłada obowiązków. W efekcie tylko 30% polskich instytucji finansowych posiada systemy wykrywające deepfake [3]. Firmy boją się zgłaszać incydenty z obawy przed utratą reputacji.

W Unii Europejskiej sytuacja wygląda nieco lepiej. W Niemczech wprowadzono obowiązek oznaczania treści generowanych przez AI. We Francji działa specjalna jednostka do walki z oszustwami deepfake. Polska pozostaje w tyle - brakuje zarówno regulacji, jak i specjalistycznych jednostek policji do walki z tymi przestępstwami.

Jak zabezpieczyć firmę przed oszustwami z wykorzystaniem AI?

Techniczne rozwiązania

Polska firma fintechowa XYZ zredukowała ryzyko oszustw o 80% w 6 miesięcy dzięki wdrożeniu systemu AI vs AI [5]. Rozwiązanie analizuje wzorce mowy i wykrywa anomalie charakterystyczne dla głosów generowanych przez sztuczną inteligencję.

Inne skuteczne metody:

• Biometria behawioralna - analiza sposobu pisania na klawiaturze lub korzystania z myszki
• Dwuetapowa weryfikacja tożsamości z użyciem wideorozmowy na żywo
• Systemy wykrywające deepfake w czasie rzeczywistym (np. Deepware Scanner)

Problemem jest koszt. Wdrożenie kompleksowego systemu ochrony może kosztować od 50 tys. do 500 tys. zł rocznie, w zależności od wielkości firmy [5]. Dla małych przedsiębiorstw to często bariera nie do pokroczenia.

Procesy i szkolenia

Technologia to tylko część rozwiązania. Kluczowe są procesy i świadomość pracowników. W firmie XYZ wprowadzono zasadę "czterech oczu" dla wszystkich transakcji powyżej 50 tys. zł. Każda prośba o przelew musi być potwierdzona przez dwie osoby [5].

Szkolenia powinny obejmować:

• Rozpoznawanie deepfake i AI-generated content
• Procedury weryfikacji tożsamości (np. kodowe słowo dla ważnych transakcji)
• Symulacje ataków phishingowych

Warto pamiętać, że nawet najlepsze szkolenia nie są skuteczne na 100%. Ludzie popełniają błędy, szczególnie pod presją czasu.

Case study: jak polska firma zredukowała ryzyko o 80%

Firma XYZ, działająca w sektorze fintech, stanęła przed problemem rosnącej liczby oszustw z użyciem AI. W ciągu pół roku odnotowała 7 prób wyłudzeń na łączną kwotę 3,5 mln zł.

Rozwiązanie obejmowało trzy elementy:

1. Wdrożenie systemu AI vs AI do analizy głosu i tekstu
2. Wprowadzenie procedury "czterech oczu" dla transakcji powyżej 50 tys. zł
3. Regularne szkolenia pracowników z rozpoznawania deepfake

Efekt? W ciągu 6 miesięcy liczba udanych oszustw spadła o 80%, a straty finansowe zmalały do zera [5]. Koszt wdrożenia wyniósł 250 tys. zł - kwota, którą firma odzyskała w ciągu pierwszego kwartału po implementacji.

Czy AI w rękach przestępców to już nowa normalność?

Eksperci przewidują, że za 2 lata oszustwa z użyciem AI będą jeszcze bardziej wyrafinowane. Przestępcy będą wykorzystywać multimodalne modele, łączące głos, wideo i tekst w jednym ataku [1]. Już teraz pojawiają się pierwsze przypadki użycia AI do generowania fałszywych dokumentów.

Kluczowa jest współpraca publiczno-prywatna. W Singapurze rząd i sektor prywatny stworzyły wspólną jednostkę do walki z oszustwami AI. W Polsce brakuje takiej inicjatywy. Firmy muszą działać same, często bez wsparcia ze strony państwa.

Co możesz zrobić już dziś? Oto checklist dla decydentów:

• Przeprowadź audyt bezpieczeństwa pod kątem zagrożeń AI
• Wdróż dwuetapową weryfikację dla wszystkich ważnych transakcji
• Szkol pracowników z rozpoznawania deepfake i AI-generated content
• Rozważ wdrożenie systemu AI vs AI do wykrywania oszustw
• Zgłaszaj incydenty do CERT Polska - nawet jeśli nie doszło do strat

Polska stała się poligonem doświadczalnym dla oszustów wykorzystujących AI. Nie jesteśmy przygotowani na tę falę ataków - ani technologicznie, ani prawnie. Jedynym sposobem na obronę jest działanie już teraz. Czekanie na regulacje czy nowe technologie to najgorsza strategia. Oszuści nie czekają - oni już działają.

Źródła

[1] The Download: supercharged scams and studying AI healthcare — https://www.technologyreview.com/2026/04/24/1136400/the-download-supercharged-scams-questionable-ai-healthcare/

[2] Raport CERT Polska 2023: Cyberzagrożenia w Polsce — https://www.cert.pl/news/single/raport-certyfikata-2023/

[3] Jak AI zmienia oszustwa bankowe? Przypadki z Polski — https://www.bankier.pl/wiadomosc/Jak-AI-zmienia-oszustwa-bankowe-8523450.html

[4] Stanowisko UODO w sprawie deepfake i ochrony danych osobowych — https://www.uodo.gov.pl/pl/138/2960

[5] AI w finansach: ryzyka i szanse dla polskiego sektora — https://www.finregtech.pl/ai-w-finansach-ryzyka-i-szanse/

[6] AI w rekrutacji: jak unikać oszustw? — https://www.pulshr.pl/technologie/ai-w-rekrutacji-jak-unikac-oszustw,123456.html