AI 视频会议冒充：团队如何核实参会者与请求

先把视频会议视为一条未核实的来信

一个人用熟悉的姓名进入视频会议，脸和声音也像同事或管理者。他在会上要求修改付款信息、公开账户资料、重置权限或发送文件。大家能看见并听见对方，很容易把会议本身当成确认。但这场会议只是请求进入团队的一条渠道，不能单独证明参会者身份，也不能替代审批。

FBI 警告，犯罪分子利用生成式 AI 扩大诈骗规模并提高骗局的可信度。其材料举例称，犯罪分子可能用 AI 生成的音频冒充公众人物或亲友来骗取付款，也可能用 AI 生成的视频制作可信的公众人物影像，为诈骗助力。这份材料没有描述某起具体的企业视频会议事件，也没有规定企业审批制度。

团队需要的不是让员工临场判断一张脸或一段声音是否合成，而是一套不依赖会议内信息的核实流程。遇到高风险请求，先离开收到请求的会议，再用团队原本信任的记录和联系人确认。

执行前先写下三项信息：对方声称自己是谁，要求改变或披露什么，这项动作原本需要谁批准。参会者看起来可信，并不能回答后两个问题。

把请求写成可以核对的具体动作。注明涉及哪个账户、付款目的地、员工记录、凭据、文档或权限；同时记录期限，以及是否要求跳过日常复核人。这样，模糊的紧急感就变成了另一个同事可以核查的事项。

不要使用会议里提供的联系方式完成核查。自己打开公司通讯录、已有对话、原本掌握的号码或团队在会前选定的记录。另起一段联系，请对方声称的人复述具体请求。如果联系不上，继续保留待处理状态，并按照组织已有的升级路径处理。

批准也要单独核对。确认身份不等于对方有权批准所有付款、资料披露、账户重置或权限变更。保留日常审批人与书面记录，注明谁确认了身份、谁批准了动作、各自使用了哪个独立渠道，以及最终执行了什么。

财务、客服、人事和运营团队可以统一使用一句简短回应：“我们会通过日常核实渠道检查这项请求，并在那个渠道回复。”员工不用指控对方使用了 AI，也不用争论画面里的细节。只要在独立确认完成前不执行即可。

先结束或暂停会议，再打开可信联系人。不要点击聊天中新发的链接，不要拨打参会者发来的号码，也不要接受对方提供的替代联系人。这些信息都来自同一条未核实的接触。

在不改动唯一副本的前提下保存现有材料，包括会议邀请、参会者姓名、聊天记录、共享文件、请求中的收款信息、时间和处理决定。如果可能涉及金融诈骗，FBI 指引受害者向互联网犯罪投诉中心举报，并提交能够提供的细节。团队还要按照自身的安全、隐私、法律和事故报告义务处理。

实时视频会议未必留下可分析的录制文件。如果团队保存了视频、音频、图片或文字消息，可以用 DeepFakeCheck 分析文件，获得概率性风险信号。它不能确认实时参会者身份，不能批准会上提出的动作，也不能证明会议合法。

自动检测会有误报和漏报。误报会把真实材料标成可疑，漏报会放过合成或篡改材料。高分可以成为继续复核的理由；低分不能为参会者或请求放行。无论结果如何，都要继续完成独立联系和原有审批。

把检测结果与原始文件、核实记录放在一起。这样可以区分工具给出的风险信号和团队通过自身记录确认的事实，避免把一个分数悄悄变成身份结论。

选择一种批错后会造成严重影响的动作，例如修改供应商收款账户或重置管理员权限。让员工实际走一遍流程：找到可信联系人、暂停请求、在会议外联系对方声称的人、找到日常审批人并记录结果。

如果其中任何一步仍依赖原会议里临时提供的信息，就在下一次请求出现前补上这个缺口。回应要短到员工能在压力下直接使用，流程要具体到不同员工会走同一条路径。只有参会者、具体动作和所需批准都在原会议之外分别核实后，请求才能继续。

FBI 互联网犯罪投诉中心《Criminals Use Generative Artificial Intelligence to Facilitate Financial Fraud》：https://www.ic3.gov/PSA/2024/PSA241203