В 2024 году сотрудник гонконгского офиса инженерной компании Arup перевел мошенникам $25,6 млн после видеозвонка, на котором финансовый директор и другие коллеги оказались дипфейками. Подобные схемы давно используют и против российских компаний, а закон пока не успевает за технологиями.

В 2025–2026 годах дипфейк-мошенничество против бизнеса в России выросло в 2,3 раза по сравнению с предыдущим периодом. Юлия Бондаренко, корпоративный юрист, объясняет, какие схемы встречаются чаще всего, кто отвечает за потерянные деньги и какие правила стоит ввести в компании, чтобы не стать следующей жертвой.

Какие схемы с дипфейками сегодня чаще всего используют против бизнеса

Видеозвонки от имени руководства (CEO Fraud)

Сотруднику поступает звонок в Zoom или мессенджере, где «генеральный директор» или «финансовый директор» (сгенерированный дипфейк) срочно требует провести крупный платеж. В ходе звонка могут присутствовать и другие «сотрудники», которые также являются дипфейками, чтобы все выглядело достоверно.

Клонирование голоса (Vishing)

Мошенники используют короткий образец голоса (например, из соцсетей или записанный во время звонка), чтобы создать его точную копию. Затем «руководитель» звонит сотруднику и голосом дает указание перевести деньги.

Взлом аккаунтов в мессенджерах

Злоумышленники получают доступ к аккаунту руководителя и рассылают от его имени сообщения с просьбой о переводе средств, дополняя их дипфейк-видео или голосовыми сообщениями.

Подделка личности контрагента

Мошенники могут выдавать себя за представителей партнеров, поставщиков или клиентов, чтобы изменить реквизиты для оплаты или получить конфиденциальную информацию.

Кто отвечает за убытки, если сотрудник перевел деньги по указанию «директора»-дипфейка

Источник фото здесь и далее: @magnific

Ответственность распределяется на несколько сторон в зависимости от обстоятельств.

Сотрудник

Привлечь сотрудника к полной материальной ответственности возможно только в случае грубого нарушения им своих должностных обязанностей или внутренних правил компании (например, игнорирование обязательной процедуры верификации платежа). В этом случае работодатель может взыскать с него прямой действительный ущерб (по статье 238 ТК РФ). 

Если сотрудник действовал добросовестно, но был обманут, он, как правило, не несет ответственности.

Компания

Как правило, именно компания несет финансовые потери, так как мошенничество было совершено против нее. Но представители компании могут подать иск к сотруднику, если смогут доказать его грубую небрежность.

Банк

Организация не несет ответственности за перевод, если он был санкционирован клиентом (сотрудником компании) и не было признаков технического сбоя или взлома. 

Исключение — если банк не выполнил свои обязательства по идентификации получателя или если перевод был оспорен как мошеннический, а банк вовремя не заблокировал его.

Страховые компании

Они могут отказать в выплате, сославшись на то, что не было «взлома» системы, а имел место обман. Страхование ответственности директоров (D&O) обычно покрывает только юридические расходы, но не похищенные средства.

Что сейчас меняется в российском законодательстве о дипфейках

Законодательство в этой сфере активно развивается, но пока остается фрагментарным.

Защита внешности

Статья 152.1 ГК РФ об охране изображений граждан защищает внешность. Но она была принята до наступления массовой цифровизации и не учитывает возможности нейросетей. 

Для доказательства использования образа в суде требуется проведение портретной экспертизы.

Защита голоса

Голос человека сегодня не охраняется законом так, как изображение. Это серьезный правовой пробел, потому что дипфейки голоса — один из самых распространенных инструментов мошенников.

Новые инициативы

В Госдуму внесен законопроект о дополнении ст. 63 УК РФ новым отягчающим обстоятельством — совершение преступления с использованием дипфейков. Но пока его не приняли.

Однако уже принят закон, запрещающий использование дипфейков в предвыборной агитации. Нельзя использовать ИИ-копии голоса и внешности людей (в том числе умерших или вымышленных). Обсуждается введение обязательной маркировки контента, созданного ИИ.

Можно ли оспорить сделку, заключенную под влиянием дипфейка

Да, хотя этот процесс сложный. Но правовые основания все же есть.

• Статья 179 ГК РФ (обман). Сделку, совершенную под влиянием обмана, можно признать недействительной. Это самый прямой путь — нужно доказать, что воля лица была искажена мошенническими действиями.

• Отсутствие волеизъявления. Если сделку заключил не сам человек, а нейросеть, сгенерировавшая его образ и действия, можно утверждать, что лицо вообще не выражало свою волю на ее совершение. В этом случае сделка может быть признана недействительной как противоречащая основам правопорядка или нравственности (ст. 169 ГК РФ).

Как доказать в суде, что видео или аудиозапись поддельные

Основной инструмент — судебные экспертизы. 

• Компьютерно-техническая — в процессе анализируются метаданные файла (дата, устройство, ПО) и следы редактирования.

• Фоноскопическая — выявляет артефакты синтеза речи: неестественные паузы, цифровые шумы и аномалии в спектрограмме.

• Видеотехническая — ищет визуальные признаки подделки: размытые границы, несовершенную мимику, артефакты освещения и тени.

Сложность в том, что единой утвержденной методики выявления дипфейков пока не существует. Экспертиза проводится в рамках существующих видов исследований, и результаты не всегда однозначные. Суды  могут отказать в исследовании, если эксперт не может дать категоричный ответ.

Какие внутренние правила и документы стоит ввести компании, чтобы снизить риски

Разработать политику в отношении ИИ и дипфейков

Четко определить, что создание и использование дипфейков на ресурсах компании строго запрещено, за исключением случаев, когда это необходимо для расследований.

Ввести обязательные процедуры верификации

Самое главное правило — «нулевое доверие». Любое указание о переводе средств, даже полученное от «руководителя» по видео или телефону, должно быть подтверждено через второй, независимый канал связи (например, звонок по известному внутреннему номеру или личная встреча).

Установить четкий регламент для финансовых операций

Все крупные платежи должны проводиться только после письменного подтверждения, например, с использованием электронной подписи, и, желательно, с участием двух сотрудников.

Проводить регулярное обучение

Стоит информировать сотрудников о существующих схемах мошенничества и правилах кибергигиены. Проводите учебные тревоги, например имитацию дипфейк-звонка, чтобы отработать действия сотрудников в стрессовой ситуации.

Назначить ответственных

Определите, кто в компании отвечает за мониторинг угроз дипфейков, реагирование на инциденты и взаимодействие с правоохранительными органами.

Что делать в первые часы, если вы стали жертвой дипфейк-мошенничества 

1. Немедленно свяжитесь с банком. Если вы перевели деньги, срочно позвоните в банк и попросите отменить операцию. Чем быстрее вы это сделаете, тем выше шанс остановить перевод.

2. Подайте заявление в полицию. Это обязательный шаг: заявление следует подать по факту мошенничества (ст. 159 УК РФ). Без возбужденного уголовного дела дальнейшие гражданско-правовые действия будут затруднены.

3. Сохраните все доказательства. Сделайте скриншоты переписки, сохраните номер и время звонка, чек о переводе, а также сам файл (видео или аудио), если он у вас есть.

Что делать, если ваш образ использовали без согласия

• Зафиксируйте нарушение.

• Сохраните ссылки на публикации, сделайте скриншоты. 

• Направьте досудебную претензию. 

• Потребуйте удалить контент и прекратить его распространение. Это можно сделать как самостоятельно, так и через юриста. 

• Обратитесь в суд. 

Если контент не удалили, вы можете обратиться в суд с иском о защите чести, достоинства и деловой репутации, а также о взыскании компенсации морального вреда по статье 152 ГК РФ.

Если мошеннический звонок был совершен с номера телефона, сообщите об этом вашему оператору связи.

Смените пароли и включите двухфакторную аутентификацию. Если в ходе разговора вы могли назвать какие-либо конфиденциальные данные, немедленно смените пароли ко всем важным сервисам и включите двухфакторную защиту.