Автор: Богдан Овсієнко, підприємець, засновник компаній у сфері AI-автоматизації
Шахраї вже підробляють голоси родичів, керівників і навіть міністрів. В Україні таких випадків поки небагато, тож є час перебудувати захист, який досі тримається на тому, що людина «впізнала голос».
Моя теза проста. Найслабше місце фінансової безпеки сьогодні — людина на іншому кінці дзвінка. Уже зараз 90% збитків від карткового шахрайства в Україні припадає на соціальну інженерію, коли людина сама диктує код або підтверджує переказ. Клонований голос робить таку маніпуляцію дешевшою і переконливішою. Тому жодне рішення про гроші не має спиратися лише на те, що співрозмовник «звучить як свій».
Я працюю з голосовими AI-системами для бізнесу і бачу, як швидко знижується поріг входу в цю технологію. Те, що кілька років тому вимагало студії та годин записів, сьогодні потребує короткого фрагмента аудіо.
Міністр, якого не було
У лютому 2025 року шахраї клонували голос міністра оборони Італії Гвідо Крозетто і телефонували відомим підприємцям. Серед них були Джорджо Армані та співзасновник Prada Патриціо Бертеллі. «Міністр» просив терміново допомогти грошима, щоб звільнити викрадених на Близькому Сході італійських журналістів, і пояснював, що уряд не може офіційно стояти за цими переказами. Колишній власник «Інтера» Массімо Моратті зробив два платежі на суму майже €1 млн. Поліція знайшла гроші на рахунку в Нідерландах і заморозила їх.
В Україні це вже не теорія. У ПриватБанку повідомили, що клієнти отримують у месенджерах згенеровані AI голосові повідомлення з проханням позичити чи переказати гроші. Кіберполіція підтверджує окремі випадки клонування голосу, хоча масовими їх поки не вважає. Для переконливої копії потрібно небагато: за опитуванням McAfee, трьох секунд запису достатньо для клону з 85-відсотковим збігом, а 70% людей не впевнені, що відрізнять підробку.
Тепер випадок без жодного дипфейку. У лютому в Харкові шахраї, назвавшись службою безпеки банку, виманили у військового SMS-код і списали з його картки близько 1 млн грн. Вони знали його ПІБ, номер бригади, залишок на рахунку і суму останньої виплати. Гроші вдалося повернути завдяки поліції та службі безпеки Ощадбанку. А тепер уявіть ту саму розмову голосом його командира.
Атак менше, кожна дорожча
За даними НБУ, у 2025 році в Україні зафіксували 256 тисяч шахрайських операцій з платіжними картками — на 5% менше, ніж роком раніше. Проте збитки зросли на 24%, до 1,4 млрд грн, а середня сума однієї операції збільшилася на 30%, до 5 536 грн. Частка соціальної інженерії у збитках за рік зросла з 84% до 90%.
Я читаю ці цифри так: шахраї атакують рідше, але точніше. Ставка робиться на підготовлену розмову з конкретною людиною, і саме таку розмову штучний інтелект посилює найкраще.
Що має змінити бізнес
Під удар потрапляють не лише платежі. У березні 2025 року на співбесіду в Sigma Software вийшов «кандидат» із дипфейком обличчя українського інженера Філіпа Шурпика, який на цю вакансію навіть не подавався. Рекрутерка розповіла, що підробка виглядала реалістично і вона не зрозуміла, що перед нею інша людина. Розмова тривала менше хвилини: на її думку, «кандидат» відключився, коли вона заговорила українською.
Розраховувати, що працівники розпізнають підробку на слух чи на око, не можна, бо синтез щороку стає природнішим. Навчати треба процедур:
- жоден платіж чи зміна реквізитів не виконується за самим лише дзвінком, голосовим повідомленням або відеозв’язком: спершу — зворотний дзвінок на номер із внутрішнього довідника;
- перекази понад визначений ліміт підтверджують дві людини;
- для термінових доручень керівника діє заздалегідь узгоджене кодове слово;
- особу кандидатів на віддалені посади перевіряють за документами і через другий канал ще до того, як вони отримають доступ до систем компанії;
- слова «терміново» і «нікому не кажи» стають сигналом зупинитися й перевірити.
Ці правила майже нічого не коштують і зупиняють більшість атак, бо ті тримаються на тиску й поспіху.
Що мають змінити банки
У липні 2025 року на конференції Федеральної резервної системи США CEO OpenAI Сем Альтман попередив банкірів про кризу голосового шахрайства. Він згадав установи, які досі приймають голосовий відбиток як підтвердження особи: «Досі так робити — божевілля. AI повністю переміг цей захист». Голосова біометрія може бути лише одним із сигналів і сама по собі не має відкривати доступ до грошей. Потрібні інші інструменти:
- Перевірка отримувача. Узгоджені наприкінці 2025 року правила ЄС зобов’язуватимуть банки перевіряти, чи збігається ім’я отримувача з номером рахунку, а в разі розбіжності відхиляти платіж і повідомляти платника.
- Пауза для ризикових переказів. Перший великий переказ новому отримувачу, особливо під час або одразу після вхідного дзвінка, може проходити із затримкою і додатковим підтвердженням.
- Розподіл відповідальності. За тими самими правилами банк повністю відшкодовуватиме кошти, якщо шахрай видавав себе за його працівника, а клієнт повідомив про це поліцію та банк. У Великій Британії з жовтня 2024 року діє обов’язкове відшкодування жертвам шахрайських переказів до £85 тисяч. За оцінкою, оприлюдненою в липні 2026 року, збитки в цьому сегменті зменшилися приблизно на 21%.
Коли банк ділить відповідальність, у нього з’являється фінансовий стимул вкладати в профілактику. В Україні навесні зареєстрували законопроєкт, який зобов’язав би банки негайно відшкодовувати кошти за неавторизовані операції, якщо клієнт без зволікань про них повідомив. Важливо, щоб такі норми захищали і в найпоширенішому сценарії, коли клієнт сам підтвердив переказ під тиском шахрая.
Що має змінити держава
- Довести до кінця боротьбу з дропами. 28 жовтня Верховна Рада 270 голосами ухвалила закон №16013. Він передбачає штраф 5 100–17 000 грн за передачу власної картки для шахрайських схем і до шести років ув’язнення за повторне порушення чи дії в організованій групі. Наступним кроком має стати законопроєкт №14161 про реєстр дропів. Держфінмоніторинг і НБУ вже внесли до такого реєстру понад 40 тисяч осіб, але без закону він не запрацює, а документ лежить у ВР із жовтня 2025 року.
- Зробити «Антифрод» постійним і цілодобовим. У межах пілоту, який із травня 2025 року з’єднує поліцію і банки, торік зареєстрували 4 539 випадків онлайн-шахрайства, а банки за результатами вжитих заходів заблокували 145 млн грн. Що швидше блокування, то більше грошей лишається в потерпілих.
- Підключити платформи. З жовтня 2025 року мобільні оператори можуть блокувати спам-номери і за перші три з половиною місяці заблокували 59 тисяч номерів. Але голосові дипфейки приходять через месенджери. У ЄС платформа, яка не видалила шахрайський контент після повідомлення, відповідатиме перед банком, що відшкодував збитки клієнту. Україні варто рухатися в тому ж напрямку.
- Маркувати синтетичний контент. З 2 серпня 2026 року в ЄС діють вимоги AI Act щодо прозорості: людину треба повідомляти, що вона спілкується з AI, а дипфейки позначати як згенеровані. Для України, яка гармонізує законодавство з європейським, це логічний наступний крок.
Голос як пароль більше не працює
Десятиліттями знайомий голос був безкоштовним і майже надійним способом підтвердити особу. Цей захист зникає. Заміна йому відома і недорога: другий канал перевірки, кодові слова, паузи для ризикових операцій і розподіл відповідальності. Що довше ми зволікаємо, то більше за це заплатять клієнти.
