פרק 100: Deepfake וזיוף וידאו — כשהעיניים משקרות

במשך אלפי שנים, האנושות נשענה על חוש הראייה כעוגן הסופי של האמת. "טוב מראה עיניים ממשמע אוזניים", אומר הפתגם העתיק, ומשקף את הביטחון המוחלט שלנו בכך שאם ראינו משהו במו עינינו, הוא בהכרח התרחש. בבתי המשפט, עדות ראייה נחשבה מאז ומעולם ל"מלכת הראיות", ובחיי היום-יום, היכולת לזהות פנים, לקלוט הבעה או להבחין בנימת קול בווידאו הייתה המחסום האחרון בפני הונאה. אבל בעידן של בינה מלאכותית יוצרת (Generative AI), המחסום הזה לא סתם נסדק — הוא התנפץ לרסיסים. אנחנו נכנסים לעידן שבו העיניים שלנו הופכות לכלי הנשק שמופנה נגדנו.

לאורך השנים, ובמהלך שנות עבודתו המקצועית של עורך דין המלווה קורבנות של עוקצים דיגיטליים, ניתן לראות כיצד הטכנולוגיה מתפתחת בקצב מסמרר. אם בעפור הנוכלים היו צריכים להסתפק במיילים מנוסחים בעילגות או בשיחות טלפון עם מבטא חשוד, הרי שהיום הם מסוגלים לייצר מציאות אלטרנטיבית. ה-Deepfake (זיוף עמוק) הוא לא עוד "שכלול" של הונאה; זוהי קפיצה קוונטית. זהו המקום שבו אלגוריתמים של למידת מכונה ממפים פנים, תנועות שפתיים וניואנסים אנושיים כדי ליצור וידאו של אדם — לעיתים אדם שמוכר לסביבתו, או מעסיק בעבודה — שאומר ועושה דברים שמעולם לא קרו. הפרק הזה נועד לסייע בהכנה לרגע שבו המציאות עלולה להתעוות מול העיניים.

התרחיש הבא הוא דוגמה לימודית המבוססת על דפוסי הונאה נפוצים. הדמויות והאירועים נועדו להמחשה בלבד.

יום ראשון בבוקר, השעה 08:30. רונן, סמנכ"ל כספים בחברה, התיישב מול המחשב עם כוס הקפה הראשונה של היום. לוח השנה שלו היה עמוס, אך הודעת "דחוף" שהופיעה בתיבת ה-Teams שלו הקפיצה אותו. זה היה מנכ"ל החברה, גדעון, ששהה באותו שבוע בכנס בחו"ל. "רונן, אתה זמין לשיחת וידאו קצרה? אנחנו חייבים לסגור את עסקת הרכישה של הסטארטאפ עכשיו, אחרת אנחנו מאבדים אותם", נכתב בהודעה.

רונן פתח את המצלמה, והפנים המוכרות של גדעון הופיעו על המסך. גדעון נראה מעט עייף — הגיוני בהתחשב בהפרשי השעות — והתאורה בחדר המלון שלו הייתה מעט עמומה. "שומע אותי, רונן?" שאל גדעון בקולו המחוספס המוכר. "יש לנו חלון הזדמנויות של שעתיים. עורכי הדין דורשים מקדמה של 450,000 דולר לחשבון נאמנות כדי להחזיק את ההצעה. אני שולח לך עכשיו את פרטי החשבון במייל. בבקשה, תאשר את ההעברה מיידית. אני חייב לחזור לישיבה".

רונן הבחין שגדעון נראה לחוץ. הוא ראה את תנועות הידיים האופייניות לו, את הדרך שבה הוא מגרד במצח כשהוא מוטרד. "גדעון, זה סכום חריג להעברה ללא חתימה כפולה פיזית", העז רונן לומר. גדעון נאנח על המסך, הבעת פניו הפכה למעט חסרת סבלנות. "רונן, אני רואה אותך, אתה רואה אותי. אני מאשר לך את זה כאן ועכשיו. הדירקטוריון כבר עודכן עקרונית. אם נפספס את זה, האחריות עליך. אני שולח את הפרטים". השיחה נותקה. שניות לאחר מכן הגיע המייל עם פרטי הבנק.

התחושה בבטן של רונן הייתה לא נוחה, אבל הוא ראה את המנכ"ל. הוא שמע אותו. רונן ביצע את ההעברה. רק בשעות הערב, כששלח הודעת וואטסאפ אישית לגדעון ושאל "איך התקדמה הישיבה אחרי ההעברה?", הגיעה התשובה המצמררת: "איזו העברה? לא דיברנו מהבוקר, אני בכלל בסיור במפעל אחר".

בתרחיש זה, הקורבן לא נפל לטעות אנוש רגילה, אלא ל-Deepfake Video Call — אחת ההונאות המתוחכמות הקיימות כיום. בשיטה זו, נוכלים אוספים חומרים ויזואליים וקוליים של האדם (ראיונות, פודקאסטים, רשתות חברתיות) ומזינים אותם למודל בינה מלאכותית הלומד לחקות את פניו וקולו בזמן אמת.

הטכנולוגיה מאחורי המסכה: איך זה עובד ולמה אנחנו מאמינים?

כדי להתגונן, עלינו להבין תחילה את המנגנון. טכנולוגיית הדיפ-פייק מבוססת על רשתות יריבות גנרטיביות (GANs). מדובר בשני אלגוריתמים של בינה מלאכותית הפועלים זה מול זה: אלגוריתם אחד (ה"זייפן") יוצר תמונה או וידאו, בעוד האלגוריתם השני (ה"מבקר") מנסה לזהות אם מדובר בזיוף. התהליך חוזר על עצמו פעמים רבות, עד שהתוצר הופך קשה להבחנה מהמציאות.

הבעיה המרכזית היא הפסיכולוגיה האנושית. המוח מחווט לסמוך על זיהוי פנים. כשאנו רואים תוויים מוכרים של אדם קרוב או סמכותי, מערכות ההגנה הטבעיות עשויות להירגע. הנוכלים מנצלים זאת בתוספת אלמנט של דחיפות (Urgency), היוצר מצב שבה המיקוד עובר לפתרון הבעיה במקום לבחינת אמינות המקור.

יתרה מכך, איכות הדיפ-פייק השתפרה באופן ניכר. בעבר ניתן היה להבחין ב"קפיצות" בתמונה או בחוסר תיאום, אך כיום הטכנולוגיה מאפשרת יצירת דמות דיגיטלית המגיבה בזמן אמת. בשיחות וידאו שבהן איכות החיבור אינה מושלמת, קל להסוות פגמים טכניים כבעיות תקשורת רגילות.

הזירה המשפטית: ניתוח אחריות בתרחישי הטעיה

כאשר כספים מועברים בעקבות הונאת דיפ-פייק, עולה השאלה המשפטית על מי מוטלת האחריות: האם על המשלם שביצע את הפעולה, או על המוסד הפיננסי שאמור להגן על הכספים?

בישראל, המסגרת הנורמטיבית המרכזית היא חוק שירותי תשלום, התשע"ט-2019. החוק מסדיר את היחסים בין לקוח לבין ספק שירותי תשלום. במקרה של "שימוש לרעה" באמצעי תשלום, החוק נוטה להגן על הלקוח, אך הונאות דיפ-פייק מציבות אתגר ייחודי כיוון שהפעולה מבוצעת לרוב על ידי הלקוח עצמו תחת מצג שווא.

במקרים אלו, עשויה לעלות טענה מצד מוסדות פיננסיים כי הלקוח פעל ב"רשלנות חמורה". מנגד, ניתן לבחון את הטיעון המשפטי לפיו סטנדרט הזהירות צריך להשתנות בהתאם להתפתחות הטכנולוגית. אם מופעלים כלים שהם מעבר ליכולת התפיסה הממוצעת, נשאלת השאלה האם ניתן לייחס לקורבן רשלנות חמורה.

בתי המשפט עשויים לבחון את "מאזן האשמה": האם המוסד הפיננסי זיהה פעילות חריגה? האם המערכות האוטומטיות היו אמורות לעצור העברה בסכום חריג ליעד בסיכון ללא אימות אנושי? קיימת אפשרות לבחון את אחריות המוסד אם יוכח כי לא ננקטו אמצעי זהירות סבירים למניעת הונאה בעידן שבו סיכוני הסייבר מוכרים למערכת.

מעבר לחוק שירותי תשלום, ניתן לבחון עילות מתחום הנזיקין והחוזים, כגון רשלנות של ספקי שירות או רמת ההגנה הארגונית. עם זאת, השבת כספים במקרים כאלו היא תהליך מורכב התלוי בנסיבות ובתזמון זיהוי העוקץ.

הפרת פרטיות וזיוף זהות

היבט משפטי נוסף נוגע לחוק הגנת הפרטיות, התשמ"א-1981 ולחוק איסור לשון הרע. יצירת סרטון דיפ-פייק המייחס לאדם דברים שלא נאמרו עשויה להיחשב פגיעה בפרטיות ובשם הטוב. ניתן לבחון אפשרויות משפטיות כגון גניבת עין או פגיעה באוטונומיה, ולעיתים לפעול נגד גורמים שאיפשרו את דליפת המידע ששימש ליצירת הזיוף.

תהום של חוסר אמון: השלכות אפשריות

הסכנה הגדולה של הדיפ-פייק היא הפגיעה באמון. במצב שבו קשה להסתמך על מראה עיניים, המרקם האנושי והעסקי עלול להיפגע. מנהלים עשויים לחשוד בהוראות, ובתי המשפט יצטרכו להתמודד עם אתגרים הוכחתיים חדשים לגבי האותנטיות של ראיות ויזואליות.

במישור הארגוני, ניתן לשקול מעבר למודל של "אימות מבוסס פרוטוקול". כשם שמשתמשים בחתימות דיגיטליות, ייתכן שיהיה צורך לאמת זהות באמצעים נוספים שאינם תלויים רק בחזות החיצונית.

איך מזהים את הבלתי ניתן לזיהוי? סימני אזהרה ודרכי התגוננות

למרות השתכללות הטכנולוגיה, לעיתים ניתן להבחין בסימנים מחשידים אם שומרים על ערנות.

סימנים טכניים אפשריים בשיחת וידאו:

• מצמוץ לא טבעי: מודלים מסוימים מתקשים לחקות קצב מצמוץ אנושי טבעי.
• אזור הפה והשיניים: חוסר התאמה בין תנועת השפתיים לקול, או טשטוש סביב הפה בזמן דיבור מהיר.
• הצללות וזווית הפנים: זיוף שעלול להיראות "מרוח" בעת תנועות ראש חדות או חוסר התאמה של הצללים למקור האור.
• איכות שמע לעומת וידאו: שילוב של קול באיכות גבוהה עם וידאו שנראה סינתטי או באיכות ירודה.

טקטיקת הגנה: קוד אימות אנושי

שיטה פשוטה להתמודדות היא קביעת "מילת קוד" או שאלה אישית עם בני משפחה או קולגות, שהתשובה עליה אינה מצויה ברשת. במקרה של חשד, ניתן לשאול שאלה אישית שרק הצד השני אמור לדעת את תשובתה באופן מיידי.

צעדים מומלצים במקרה של חשד או פגיעה

במקרים אלו, מהירות התגובה היא קריטית:

1. עצירת התקשורת: במקרה של חשד, מומלץ לנתק את השיחה מיד.
2. אימות בערוץ נפרד: יצירת קשר עם האדם באמצעי תקשורת אחר (שיחת טלפון רגילה, הודעה בערוץ שונה).
3. דיווח למוסד הפיננסי: במקרה שבוצעה העברה, יש לפנות מיידית למוקד הבנק לבחינת אפשרות לביטול או עצירת ההעברה.
4. תיעוד: שמירת צילומי מסך, פרטי מייל וכל פרט טכני אחר הקשור לאירוע.
5. דיווח לרשויות: הגשת תלונה במשטרה (יחידת הסייבר) לצורך תיעוד רשמי.
6. בחינה משפטית: מומלץ לבחון את המקרה אל מול מומחים בתחום כדי להבין את אפשרויות הפעולה מול המוסדות המעורבים.

היבט משפטי: סיכום אפשרויות

המצב המשפטי נמצא בתהליכי התאמה למציאות החדשה. קיימים מספר עקרונות משפטיים שניתן לבחון:

1. חובת הזהירות של המוסד הפיננסי

ניתן לבחון האם המוסד הפיננסי עמד בחובת האמון והזהירות שלו, והאם הופעלו מנגנוני אימות מתאימים לפני ביצוע פעולות חריגות.

2. בחינת מושג הרשלנות

ניתן לטעון כי היענות למניפולציה טכנולוגית מתקדמת אינה עולה כדי "רשלנות חמורה", שכן מדובר במצג שנועד להטעות גם אדם סביר וזהיר.

3. כיסוי ביטוחי

במקרה של ארגונים, ניתן לבחון האם פוליסות ביטוח הסייבר הקיימות מכסות אירועים של הנדסה חברתית מבוססת טכנולוגיה.

לסיכום, בעידן שבו העיניים עלולות להטעות, יש להסתמך על תהליכי אימות, חשיבה ביקורתית והגנות משפטיות. המציאות דורשת מאיתנו ללמוד לאמת את מה שאנו רואים ולפעול בכלים המקצועיים העומדים לרשותנו כדי להגן על זכויותינו.

---

סימני אזהרה (Checklist):

• בקשה דחופה להעברת כספים בשיחת וידאו לא מתוכננת.
• שיבושים ויזואליים או "גליצ'ים" באזור הפנים והעיניים.
• אינטונציה קולית שנראית אחידה או רובוטית מדי.
• קושי של הצד השני להשיב על שאלות אישיות ספונטניות.
• כתובות מייל עם שינויים מזעריים שנועדו להטעות.

מה ניתן לעשות מיד?

• ניתוק השיחה ואימות מול האדם בערוץ תקשורת נפרד.
• יידוע גורמי ביטחון או כספים בארגון.
• פנייה דחופה לבנק לבחינת אפשרויות לביטול העברות.
• בחינת האפשרויות המשפטיות לגבי אחריות הגורמים המעורבים.

היבט משפטי מרכזי:

חוק שירותי תשלום מעניק הגנה ללקוח, והסיכוי להשבת כספים תלוי במידה רבה בנסיבות המקרה ובשאלה האם המקרה יסווג כרשלנות. מומלץ לבחון כל מקרה לגופו אל מול הוראות הדין העדכניות.