AI dan penipuan: suara, video dan gambar tiruan — semakan sebelum wang keluar

Pada 13 Oktober 2026, jam 9.31 malam, Bernama melaporkan satu amaran yang jarang keluar bersama: Bank Negara Malaysia dan Suruhanjaya Sekuriti memberi amaran tentang video deepfake yang menggunakan wajah pegawai kanan kedua-dua institusi untuk menjual skim pelaburan persendirian. Dalam kenyataan itu, BNM menegaskan bank pusat dan SC tidak menaja atau mengesyorkan sebarang skim pelaburan persendirian.

Keesokan paginya, 14 Oktober 2026, Free Malaysia Today menambah butiran: antara wajah yang ditiru ialah Gabenor Bank Negara, Abdul Rasheed Ghaffour, dan portal bnm.gov.my/verify dibuka untuk memaparkan contoh kandungan deepfake yang sudah dikesan. Ini tentang iklan yang berjalan di suapan Facebook dan WhatsApp hari ini, bukan teknologi yang akan datang.

Pos ini menyusun tiga jenis tiruan — suara, video dan gambar — dan memberi semakan yang boleh dibuat dalam lima minit, tanpa alat berbayar.

Amaran 13 Oktober: apa sebenarnya yang diumumkan

Kenyataan bersama itu menyenaraikan empat saluran semakan yang sudah wujud sebelum amaran keluar. Halaman bnm.gov.my/verify memaparkan contoh deepfake yang menggunakan nama bank pusat. Financial Consumer Alert List BNM menyenaraikan entiti yang sudah ditandakan. Investor Alert List SC menyenaraikan skim dan syarikat yang tidak dibenarkan menawarkan produk pelaburan. BNMLINK dan portal Investment Checker SC menyemak sama ada sesebuah entiti mempunyai kebenaran.

Amaran itu juga meminta orang ramai melaporkan kandungan mencurigakan kepada platform media sosial dan kepada BNM atau SC, dengan halaman Facebook Amaran Scam sebagai saluran kemas kini. Yang penting bukan panjang senarai, tetapi susunannya: semak entiti dahulu, sebelum melihat tawaran. Penipu membina video supaya tawaran kelihatan meyakinkan; mereka tidak membina kebenaran pendaftaran, kerana itu bahagian yang tidak boleh dipalsukan.

Tiga jenis tiruan, tiga kos yang berbeza

Suara, video dan gambar tidak menggunakan bahan yang sama, dan tidak sampai kepada mangsa melalui saluran yang sama. Sebab itu satu semakan tidak cukup untuk ketiga-tiganya.

• ▸ Suara. Beberapa saat rakaman — ucapan, video TikTok atau nota suara — cukup untuk menghasilkan klon yang meyakinkan. Kes terbesar yang didokumenkan ialah Fideuram, cabang perbankan persendirian Intesa Sanpaolo di Itali: 95 juta euro, kira-kira AS$108 juta, dipindahkan selepas pengerusinya menerima mesej WhatsApp yang menyamar sebagai ketua pegawai eksekutif bank itu, diikuti panggilan dengan suara tiruan seorang peguam. Reuters melaporkan kira-kira 53 juta euro dipulihkan.
• ▸ Video. Panggilan video atau mesyuarat dalam talian meniru beberapa orang sekaligus. Kes Arup di Hong Kong menjadi rujukan industri: seorang kakitangan kewangan memindahkan AS$25 juta melalui 15 transaksi selepas menyertai panggilan yang setiap peserta lain ialah deepfake.
• ▸ Gambar dan profil. Wajah tokoh awam digunakan dalam iklan pelaburan; gambar biasa digunakan untuk profil palsu dalam penipuan cinta dan jualan. Kos penyediaannya paling rendah, jadi jumlahnya paling banyak, tetapi kerugian setiap kes lebih kecil.

Laporan penyedia pengesanan identiti identifAI, yang dipetik Biometric Update pada Oktober 2026, meletakkan skala masalah dalam angka. Dengan memetik unjuran Deloitte, penipuan yang dibantu AI boleh menolak kerugian di Amerika Syarikat kepada AS$40 bilion menjelang 2027. Taburan sasaran mereka: 18.2% individu, 15.8% korporat, 6.2% tokoh awam dan 4% eksekutif perniagaan, dengan 55.8% tidak dikelaskan. Angka ini bukan statistik Malaysia, jadi jangan pindahkan bulat-bulat.

Kenapa mata dan telinga tidak lagi menjadi bukti

Pada 12 Oktober 2026, CU Boulder Today melaporkan satu ujian di hadapan ratusan saintis komputer di Denver. Tuan Tran, calon doktor sains komputer, memainkan klip Brad Pitt bersama versi janaannya. Hanya separuh hadirin dapat mengenal pasti yang palsu — bukan audiens biasa, tetapi orang yang menulis model dan membaca kertas penyelidikan.

Pasukan itu kemudian membina pengesan yang membaca isyarat terus daripada video termampat, tanpa memulihkan setiap bingkai pada resolusi penuh. Mereka memeriksa satu daripada setiap 100 bingkai dan mendakwa pengesan menggunakan 143 kali lebih sedikit kuasa pengiraan daripada model sedia ada, dengan ketepatan hampir sempurna pada 1,000 video ujian. Tetapi ini hasil kajian yang dibentangkan di SIGCOMM, bukan ciri dalam aplikasi panggilan video: Tran menyatakan Zoom, FaceTime dan Google Meet belum mempunyai pengesanan deepfake masa nyata.

Maksudnya mudah: jangan jadikan kualiti audio atau video sebagai bukti identiti. Semakin baik model, semakin kurang berguna ujian mata. Yang masih sukar ditiru bukan wajah, tetapi maklumat yang tidak pernah dimuat naik — nama panggilan keluarga, janji temu minggu lalu, atau kod yang disepakati di meja makan.

Semakan lima minit sebelum wang keluar

Protokol ini ditulis untuk satu situasi: panggilan atau mesej mendesak yang meminta wang, kata laluan, kod TAC atau pemindahan. Simpan nombor 997 dalam kenalan telefon sekarang, supaya ia tidak perlu dicari dalam keadaan panik.

1. Letak telefon. Jangan hantar wang, kod atau dokumen semasa masih dalam panggilan.
2. Telefon balik nombor yang sudah tersimpan dalam telefon anda — bukan nombor yang baru menghubungi.
3. Tanya satu perkara peribadi yang tidak pernah dimuat naik ke media sosial.
4. Semak entiti: bnm.gov.my/verify, Financial Consumer Alert List, Investor Alert List SC.
5. Jika wang sudah keluar: hubungi 997 (NSRC) serta-merta; untuk insiden bukan bank, Cyber999 di cybersafe.my.

Langkah dua paling kerap dilangkau dan paling berkesan. Penipu mengawal nombor yang mereka gunakan untuk menghubungi, tetapi tidak mengawal nombor yang sudah tersimpan dalam telefon anda. Dalam kes Fideuram, permintaan datang melalui WhatsApp daripada nombor yang tidak dikenali sebagai ketua pegawai eksekutif; satu panggilan balik ke nombor rasmi sudah cukup untuk menghentikannya.

Langkah empat memerlukan dua tab. bnm.gov.my/verify memaparkan contoh deepfake yang menggunakan nama BNM, manakala Investment Checker SC menyemak sama ada syarikat dibenarkan menawarkan produk pelaburan. Jika nama syarikat tiada dalam kedua-dua pangkalan data, jawapannya bukan 'belum dikemas kini' — jawapannya ialah jangan bayar.

Panggilan yang mengaku dari bank: satu ayat cukup untuk berhenti

Amaran BNM dan SC menyentuh corak yang berulang: panggilan atau mesej yang mengaku daripada pegawai bank pusat, kemudian meminta pemindahan ke akaun lain atau pengesahan akaun. Jika panggilan itu mendakwa daripada BNM, saluran pengesahan yang betul ialah BNMLINK di laman rasmi bank pusat, bukan nombor yang baru menghubungi anda.

Tiga ayat yang patut menghentikan perbualan serta-merta: akaun anda disyaki terlibat dalam jenayah, pindahkan wang ke akaun selamat untuk sementara, dan berikan kod TAC supaya transaksi boleh dibatalkan. Bank tidak meminta kod TAC melalui panggilan, dan tiada akaun yang diberi nama akaun selamat dalam sistem perbankan Malaysia. Selepas tiga ayat itu, apa sahaja yang dikatakan selepasnya tidak perlu didengar.

Jika wang sudah terkeluar, urutan tindakan menentukan berapa banyak yang boleh diselamatkan. Hubungi 997 (NSRC) dahulu, kemudian bank anda melalui nombor di belakang kad atau aplikasi rasmi. Untuk kandungan palsu yang belum melibatkan wang, laporkan kepada platform dan simpan tangkapan skrin berserta pautan; bukti itu diperlukan jika akaun anda kemudian disalahgunakan untuk menipu orang lain.

Apa yang patut diubah di rumah dan di kedai

• ▸ Tetapkan kod keluarga hari ini, bukan semasa kecemasan. Satu frasa pendek yang tidak pernah muncul dalam video atau nota suara. Klon suara boleh meniru nada, tetapi tidak boleh meneka rahsia yang tidak pernah dirakam.
• ▸ Kurangkan bahan mentah. Video ucapan, nota suara panjang dan siaran langsung menyimpan sampel audio dan wajah. Tetapkan tetapan privasi akaun dan elak memuat naik rakaman suara berterusan.
• ▸ Di kedai atau pejabat, jadikan pengesahan luar talian sebagai peraturan bertulis. Sebarang permintaan menukar nombor akaun atau membuat pemindahan melebihi had harian mesti disahkan melalui panggilan ke nombor berdaftar, bukan WhatsApp.
• ▸ Jangan kongsi kod TAC dengan sesiapa, termasuk orang yang mendakwa dari bank. Bank di Malaysia tidak meminta kod TAC melalui panggilan.
• ▸ Simpan saluran laporan dalam telefon: 997 untuk NSRC, cybersafe.my untuk Cyber999, dan halaman Amaran Scam untuk corak terbaru.

Alat pengesanan automatik akan sampai ke panggilan video, dan bila tiba, ia patut dijadikan lapisan kedua, bukan pengganti tabiat menyemak. Tetapi ia tidak menghapuskan keperluan untuk berhenti selama lima minit. Kos berhenti ialah satu perbualan yang janggal; kos tidak berhenti, berdasarkan kes Arup dan Fideuram, ialah jumlah yang tidak mungkin dipulihkan.