Czy potrafimy jeszcze rozpoznać prawdę?

Wyobraź sobie zwykły telefon z banku. Głos brzmi jak konsultant, który obsługiwał cię ostatnio. Imię się zgadza. Akcent się zgadza. Tylko że… to wcale nie jest człowiek z banku. To model głosu wytrenowany na nagraniach twoich wcześniejszych rozmów. A pod spodem – skrypt, który zna twoje dane lepiej niż ty.

To już nie jest fantastyka. To jest ten moment, w którym eksperci od nadużyć przyznają: „Nie nadążamy”.

Nowe badanie SAS i ACFE (Stowarzyszenia Certyfikowanych Ekspertów ds. Oszustw) pokazuje, że mniej niż 1 na 10 specjalistów ds. zwalczania nadużyć czuje się dobrze przygotowana do walki z oszustwami napędzanymi przez AI. Mówiąc prościej: technologia od dawna przestała grać w jednej drużynie z „dobrymi”.

Deepfake wchodzi do banku

Fraud Awareness Week, globalna akcja uświadamiająca o oszustwach, brzmi jak coś, co dotyczy raczej nudnych regulacji niż prawdziwego życia. A jednak to tam padają liczby, które mają bardzo realne konsekwencje. 77% badanych ekspertów ds. nadużyć zauważyło w ostatnich dwóch latach wyraźne przyspieszenie rozwoju technik inżynierii społecznej opartych na deepfake’ach. 83% spodziewa się, że w kolejnych dwóch latach skala tych oszustw jeszcze wzrośnie – przy czym ponad połowa przewiduje wzrost znaczący, nie tylko umiarkowany.

Czyli: już jest źle, a większość ludzi, którzy zawodowo „łapią” oszustów, mówi wprost – będzie gorzej.

John Gill z ACFE nazywa sztuczną inteligencję jednocześnie „jednym z najpotężniejszych narzędzi biznesowych” i „jednym z największych zagrożeń”. To nie jest typowy PR-owy oksymoron. To jest uczciwe streszczenie dzisiejszej sytuacji: AI podnosi wydajność firm, jednocześnie podnosząc poprzeczkę przestępcom.

Mniej niż 1 na 10: wyznanie „łowców oszustów”

Najmocniejsze zdanie z raportu brzmi jak ostrzeżenie, które powinno wyjść daleko poza branżę finansową: mniej niż 1 na 10 specjalistów ds. zwalczania oszustw czuje się dobrze przygotowany na oszustwa oparte na AI.

To oznacza kilka niewygodnych rzeczy naraz. Po pierwsze, przestępcy szybciej adoptują AI niż instytucje, które mają ich powstrzymywać – bo są bardziej elastyczni, nie mają RODO, działów compliance ani wieloletnich procedur zakupowych. Po drugie, klasyczne kompetencje „fraudowe” przestają wystarczać. Znajomość schematów wyłudzeń i doświadczenie z tradycyjnymi oszustwami to za mało, gdy po drugiej stronie działa algorytm generujący perfekcyjnie dopracowany fake głos, obraz, dokument. Po trzecie, bez edukacji obywateli system będzie zawsze o krok za. Jeśli użytkownik wierzy w to, co widzi i słyszy, bo „przecież to wideo wygląda prawdziwie”, to żaden algorytm nie zbuduje za niego zdrowego sceptycyzmu.

Stąd ten mocny nacisk w wypowiedziach ekspertów: szkolenie specjalistów, wzmacnianie kompetencji instytucji publicznych i prywatnych, budowanie odporności zwykłych ludzi. AI nie zabija zaufania od razu – robi to po cichu, małymi wyłomami.

AI jako przestępca i strażnik: kto wygra?

Stu Bradley z SAS przypomina, że „AI zaciera granicę między prawdą a imitacją, a w grze są miliardy”. To nie jest figura retoryczna. To są przejęte konta bankowe, syntetyczne tożsamości składane z cudzych danych, wyłudzone świadczenia z programów publicznych, roszczenia ubezpieczeniowe generowane maszynowo.

I tu pojawia się paradoks: ta sama technologia, która ułatwia ataki, jest też dziś jedyną realną szansą, by je skutecznie powstrzymać.

Norweski przykład: BankID jako zapora, nie plaster

Norwegowie mają ciekawy nawyk: zamiast łatać, często przebudowują. BankID – narodowy dostawca tożsamości cyfrowej – obsługuje uwierzytelnianie i podpis cyfrowy ponad 4,6 mln obywateli, prawie miliard transakcji rocznie. To jest skala, przy której każdy promil błędu ma swoją cenę.

Zamiast traktować dane o tożsamości jak statyczny rejestr, BankID zaczyna używać ich jak żywego organizmu. Wzorce logowania, metadane urządzeń, zachowania przy podpisywaniu dokumentów – te sygnały łączy z systemami oceny ryzyka SAS działającymi w czasie rzeczywistym. Efekt? Zamiast reagować na oszustwa po fakcie, można wychwytywać anomalie wcześniej: nagłe zmiany zachowania, nietypowe logowania, „dziwne” podpisy.

David Sæle z BankID mówi wprost: „Przeszliśmy od reagowania na oszustwa do ich przewidywania”. W praktyce to oznacza dwie rzeczy, które interesują zarówno instytucje, jak i zwykłego użytkownika. Mniej fałszywych alarmów – system nie dzwoni za każdym razem, gdy tylko próbujesz zalogować się z innego miasta. I szybsze, pewniejsze decyzje – bo jeśli analityka behawioralna i modele AI „kłócą się” z deklarowaną tożsamością, transakcja może zostać wstrzymana, zanim pieniądze opuszczą konto.

To już nie jest „ochrona tożsamości” rozumiana jako hasło i SMS. To jest infrastruktura zaufania w skali kraju.

Banki: mniej alertów, więcej trafień

W sektorze finansowym walka toczy się o dwie rzeczy: pieniądze i cierpliwość klientów. Jeśli system antyfraudowy generuje tysiące fałszywych alertów, zespół się dusi, a klienci mają poczucie, że każde większe przelewy to mała batalia z systemem bezpieczeństwa.

Przykład z raportu SAS o bankowości pokazuje, że dzięki zaawansowanej analityce jeden z banków zredukował liczbę alertów o 40%, jednocześnie zwiększając wykrywalność nadużyć o 35%. To jest dokładnie ta kombinacja, której szuka dziś każdy bankowiec i każdy klient: mniej hałasu, więcej sensu.

W tle jest coś ważniejszego: odejście od prostych reguł („przelew powyżej X = podejrzany”) na rzecz dynamicznych modeli, które uczą się tego, jak naprawdę wygląda normalne życie klienta.

Państwo: programy publiczne pod ostrzałem

Sektor publiczny ma własny koszmar: oszustwa na programach rządowych. Są mniej spektakularne niż kradzież z konta, ale znacznie bardziej kosztowne w skali państwa.

Badanie Coleman Parkes i SAS o dojrzałości w zwalczaniu nadużyć w sektorze publicznym robi prostą rzecz: pozwala instytucjom zobaczyć, gdzie są na tle innych i gdzie mają realne luki. W świecie, gdzie formularze wypełnia AI, dokumenty podrabia AI, a schematy wyłudzeń projektuje AI, państwo nie może polegać na ręcznej kontroli i przeczuciu urzędnika. Potrzebuje tej samej klasy narzędzi, którymi posługują się przestępcy – tylko podłączonych do prawa, danych i odpowiedzialności.

I gdzie w tym wszystkim miejsce dla zwykłego człowieka?

Łatwo w tym wszystkim zgubić najważniejsze pytanie: co z tego wynika dla użytkownika, który nie ma działu bezpieczeństwa, tylko smartfon i kilka aplikacji?

Zaufanie zmienia definicję. Kiedyś pytanie brzmiało: „Czy to naprawdę mój bank?”. Dziś: „Czy to na pewno człowiek, za którego się podaje, i czy to wideo, głos, wiadomość w ogóle jest prawdziwa?”. „Pewność” będzie coraz częściej pochodzić z analityki, nie z intuicji. Zaufanie do systemu nie będzie oznaczać „wierzę tej osobie”, ale raczej „wierzę, że system odpowiednio sprawdził tę transakcję”.

Edukacja cyfrowa staje się bezpieczeństwem osobistym. Świadomość deepfake’ów, ostrożność wobec „nagłych próśb o pomoc”, sprawdzanie źródeł – to już nie jest cyfrowa ogłada. To jest odpowiednik zamknięcia drzwi na klucz.

Między wygodą a czujnością

Żyjemy w świecie, w którym deepfake potrafi idealnie naśladować głos bliskiej osoby, fałszywy urzędnik może znać nasze dane lepiej niż my sami, a mniej niż 10% specjalistów od oszustw deklaruje, że czuje się dobrze przygotowanych do walki z AI.

Jednocześnie analityka behawioralna pozwala przewidywać nadużycia, zanim się wydarzą, integracja danych o tożsamości z systemami AI zmniejsza fałszywe alarmy i przyspiesza decyzje, a banki i administracja publiczna uczą się używać tej samej broni, po którą sięgają przestępcy.

To napięcie między wygodą – szybki login, przelew w sekundę, podpis w aplikacji – a czujnością, świadomością, że ktoś może to wykorzystać, będzie z nami na długo.

Być może najrozsądniejsza postawa na te czasy brzmi tak: korzystać z technologii, które pomagają odróżnić prawdę od imitacji, ale nie oddawać im w całości własnego myślenia. Bo dopóki człowiek jest w stanie zadać proste pytanie: „Czy to na pewno ma sens?”, dopóty AI – po obu stronach barykady – nie przejmie wszystkiego.