深度伪造技术让骗子冒充企业专业人士变得容易得多。如今，骗子可以开启摄像头加入通话，并以另一个人的身份实时应答问题，令人信以为真。

这是继电子邮件和语音之后，AI 冒充的第三种渠道，也是企业最缺乏防备的一种：视频通话中的面孔看上去完全是真人，似乎不可能伪造。

我们此前介绍过 AI 网络钓鱼攻击的发起速度更快、门槛更低，以及语音克隆如何推高语音钓鱼的发生率。在本文中，我们将探讨当一个人的身份被深度伪造视频盗用后会发生什么，以及如何防止团队成员落入深度伪造诈骗的圈套。

深度伪造视频欺诈有何不同

电子邮件欺骗依靠文字细节：恰当的语气、贴合的语境，以及听起来合理却紧迫的请求。语音克隆依靠听觉：一个熟悉的声音说出足以打消片刻疑虑的紧急事项。深度伪造视频欺诈则更进一步，攻破了大多数人从未想过要质疑的验证直觉：在一场看起来与日历上其他视频会议毫无二致的通话中，实时看到对方的脸、听到对方说话。

员工接受的培训是警惕电子邮件、核实意外来电，却几乎没有人被教导要质疑面对面的视频通话，因为视频一直被视为与线下会面同样可信。

这种新型欺诈手段要求我们重新审视工作中什么值得信任，以及流程多么容易被紧急情况所左右。

深度伪造诈骗在实际中如何运作

深度伪造视频欺诈有几种不同的形式。最简单的一种是在实时通话中播放预先录制的深度伪造视频，攻击者有时会关闭自己的摄像头，并以连接问题为由，解释“高管”为何无法自然地回应追问。

更复杂的攻击会在真实的实时通话中使用实时换脸工具，让攻击者当场回应、点头并做出反应，这种手法要难检测得多。

第三种模式新近出现，专门利用入职和合规会议。一个以审计员、新员工或 HR 联系人身份出现的合成视频形象可以全程参与整场会议，其目的在于套取系统访问权限、安全问题的答案或凭证——恰恰因为这些会议建立在“与真人视频通话本身即值得信任”的假设之上。

真实世界的深度伪造欺诈案例

2024 年，总部位于英国的工程公司 Arup（新窗口） 香港办事处的一名财务员工参加了一场视频通话，通话中的与会者似乎是公司首席财务官和几位同事。但通话中的每一个人都是 AI 生成的深度伪造形象，其素材来自公开流传的真实高管影像。

由于相信请求是真实的，该员工在欺诈被发现之前授权了 15 笔转账，总额约 2500 万美元。而欺诈之所以败露，仅仅是因为他碰巧就刚完成的“机密交易”向公司真正的总部进行了核实。

Arup 案件至今仍是这类攻击大规模发生时最清晰的例证，但它并非孤例。UK Finance 2026 年欺诈报告（新窗口）发现，2025 年支付欺诈总损失达 12.8 亿英镑，并特别指出有组织的犯罪集团正越来越多地利用深度伪造、克隆语音和合成身份来冒充可信人士，绕过身份验证。

Sumsub（新窗口） 的独立行业研究记录到英国深度伪造攻击尝试同比上升 94%，而Gartner 面向安全负责人的调查（新窗口）发现，62% 的组织在过去 12 个月中遭遇过某种形式的深度伪造攻击。任何仍将此视为未来问题的企业，都已经落后于数据所反映的现实。

Arup 事件尤其能启发我们应当警惕什么。该员工的最初直觉是正确的：他将最初的电子邮件视为可能的网络钓鱼尝试，并特意要求通过视频通话加以确认——这正是大多数安全培训都会推荐的验证步骤。

失误发生在下一步：视频通话本身被当作了充分的证明，因为没有人告诉过他，屏幕上一张令人信服的面孔已不再可靠。在那一刻，酿成失误的是企业培训的不足，而非员工本人。

深度伪造欺诈可能有哪些场景？

上述手法会表现为几种反复出现的场景，每一种都瞄准企业内部不同的要害。它们共享同一个底层伎俩：通话中令人信服的面孔和声音，看起来一切正常，但目标和收益可能各不相同。

用一张首席财务官的脸授权电汇

一位资深财务高管的深度伪造形象出现在通话中，指示下属处理一笔紧急的机密付款。一张熟悉且看似实时的面孔，足以打消仅凭电子邮件就会引发的疑虑。

假审计员套取系统凭证

一个伪装成外部审计员或合规审查员的合成形象，以例行审查为名，对 IT 或财务人员进行视频访谈，并提出专门设计用来套取系统访问详细信息、安全问题答案或登录信息的问题。

合成的人力资源经理为新员工办理入职

深度伪造的人力资源联系人主持一场与新员工的入职通话，或以政策更新为名联系现有员工，并利用这次会话套取内部系统、访问权限或凭证恢复信息等详细内容。

冒充董事会成员对财务负责人行骗

深度伪造的董事会成员或资深非执行董事与财务负责人通话，以授权交易或索取敏感财务信息，倚仗的是一个财务团队在惯性上从不质疑的角色权威。

为什么深度伪造欺诈更难察觉

大多数防网络钓鱼和防语音钓鱼培训的核心，是教人们给试图蒙混过关的流程设置阻碍：电子邮件可以转发给 IT 部门二次核实，电话可以挂断后再核实来电号码。

视频通话却得不到同样出于本能的审视，因为多年来视频通话一直是最接近“与他人共处一室”的数字化替代方式。很少有人被提醒要对同事的面孔保持怀疑，因为视频会议背后潜藏的文化假设是它完全可靠。

深度伪造视频欺诈正是利用了这一假设。攻击者无需攻克员工对请求本身的怀疑，只需提供一样过去总能终结怀疑的东西：一张在实时对话中自然回应的熟悉面孔。

这对员工来说是一个高得多的门槛，因此这一渠道的验证协议必须是程序化的，而不能寄希望于有人恰好察觉不对劲。

还有一种社会心理需要被打破。质疑书面请求似乎只是寻常的谨慎，质疑电话也显得合情合理，因为冒充声音多年以来已是众所周知的风险。

但质疑视频通话中的面孔——尤其是资深同事的面孔——更像是当面指控，这正是员工即便隐约觉得互动有异也犹豫不决的原因。消除这种社交成本，让提问变得习以为常、理所应当而非令人尴尬，与任何技术防护一样，都是防范深度伪造和整体防御的重要组成部分。

专门针对视频的验证协议

创建暗号

提前通过另一个渠道约定好的暗语或手势，是深度伪造真正无法复制的少数东西之一，因为它们不存在于攻击者可用以训练模型的任何公开影像中。

一句简单、可更换的短语或一个物理信号，由高管和财务团队定期确认更新，能给员工一个具体的验证依据，而不必依赖“这通电话感觉不对”的主观判断。

将授权规则定为铁律

任何财务授权或凭证披露都绝不应仅凭一通视频通话完成。这必须是一项明确的策略，而不是留给通话当时在场者自行判断的事情：任何此类请求，无论请求者看起来是谁，都必须通过真正独立的渠道进行二次确认，使用档案中已有的联系人详情，而不是通话过程中提供的任何信息。

员工需要获得明确且反复强调的许可，才能在任何通话中询问“这真的是您吗？”，无论屏幕上出现的是谁。他们还应能安心地要求对方通过另一个渠道证明自己确实是所声称的那个人。

让人们不敢质疑高层的那种本能，正是这类攻击所依赖的；只有当领导层明确表态这种提问永远可以接受时，这种本能才会消失。

保留记录

对敏感视频会议进行录制和日志记录——尤其是涉及财务授权、凭证访问或入职的会议——让企业能够在事后审查，以防某个请求最终被证实为欺诈；而与会者知道会议已被记录，本身对喜欢不留痕迹作案的攻击者也是一种温和的威慑。

像对待电子邮件一样对待视频通话

深度伪造视频欺诈之所以得逞，是因为它利用了企业从未训练员工去质疑的那一个渠道。电子邮件欺骗已由网络钓鱼意识培训覆盖，语音欺骗则由回拨验证以及我们围绕更广泛的社会工程所撰写的培训内容来应对。

了解深度伪造视频通话并不要求员工成为能逐帧识别合成视频的取证分析师，而是要求企业接受：一张令人信服的面孔和声音，本身已不再能证明任何东西；并建立不依赖于有人在当下起疑心的验证习惯。

在我们关于构建稳固的工作场所安全文化指南所涵盖的更广泛实践之外强化这种文化，能让团队对视频形成同样的警觉本能——正如良好的培训已经让员工对电子邮件和电话具备了这种本能。

凭证连接：限制验证失败后可能波及的范围

无论深度伪造视频攻击采取何种形式——冒充首席财务官行骗、假审计员，还是虚构的 HR 联系人——其最终目标都不外乎两种：一笔金融交易，或一组凭证。视频只是传递请求的载体，一旦请求得逞，攻击者要么直接转走资金，要么获得登录权限，从而按自己的意图肆意破坏。

正因如此，凭证卫生至关重要，即使攻击本身起初与窃取密码毫无关系。如果一段深度伪造通话诱骗某人交出凭证，唯一的密码和多因素身份验证就能限制该凭证实际能触及的范围。

我们在讨论商业电子邮件泄露时提到过的同一遏制原则，在这里同样适用：目标不是让每位员工都能单枪匹马地抵御复杂攻击，而是确保验证一旦失败，损害仍能被控制在一定范围内。

像 Proton Pass for Business 这样的企业密码管理器让遏制措施切实可行：它免去了在各帐户间重复使用熟悉密码的压力，也让员工更容易遵守您的密码策略。再搭配一个安全的视频会议平台，以及一种将暂停核实视为常态而非可疑之举的职场文化，这样的组合才能真正在视频通话不再完全可信时限制损害。

使用企业密码管理器，降低您的团队遭遇冒充诈骗的风险。