Voci de directori clonate cu AI au furat 129 de milioane de dolari de la spitale și bănci

Vocea de la telefon semăna cu cea a șefului, iar avocatul care a sunat imediat după aceea părea să fie partener la una dintre cele mai mari firme de avocatură din lume. Potrivit procurorilor federali din Manhattan, niciunul nu era cine pretindea. Aceștia susțin că trei bărbați au folosit inteligența artificială pentru a imita directori generali și avocați, convingând personalul contabil al unor spitale, bănci și altor companii să transfere bani pentru tranzacții confidențiale care nu au existat niciodată. Banii au fost transformați în criptomonede și împărțiți între conspiratori.

Cazul are implicații mult mai largi decât companiile care au pierdut bani. Nimeni nu a pătruns într-un computer. Schema s-a bazat pe ceva ce aproape orice angajat de birou face fără să stea pe gânduri: are încredere într-o voce cunoscută care îi cere ajutorul. Discursurile unui director general, teleconferințele despre rezultate financiare și intervențiile la conferințe sunt publice, iar programele de clonare vocală pot funcționa pe baza unor astfel de înregistrări audio. Dacă un escroc poate suna ca managerul tău, un apel telefonic nu mai dovedește cine se află la celălalt capăt al firului.

Actul de inculpare, depus la Tribunalul Districtual al Statelor Unite pentru Districtul de Sud al New Yorkului, îi acuză pe Jacob Soall, în vârstă de 41 de ani, care locuiește în Marbella, Spania, și în Regatul Unit; pe Sharon Hazan, în vârstă de 54 de ani, din Israel; și pe Guy Sheetrit, în vârstă de 42 de ani, din Israel și Emiratele Arabe Unite. Fiecare este pus sub acuzare pentru șapte capete de acuzare, printre care conspirație în vederea comiterii unei fraude prin transferuri electronice, furt de identitate agravat și spălare de bani. Procurorii susțin că grupul a obținut aproximativ 129 de milioane de dolari de la companii din Statele Unite și din străinătate.

Potrivit actului de inculpare, scenariul se schimba rareori. De multe ori, totul începea cu un e-mail trimis printr-un serviciu de semnătură electronică precum DocuSign, aparent de la directorul general al companiei vizate, care cerea ajutor pentru o tranzacție secretă și atașa un acord de confidențialitate. Urmau apelurile telefonice, în care conspiratorii ar fi folosit AI pentru a imita vocea directorului general și, uneori, chiar înfățișarea acestuia. Directorul fals îl punea pe angajat în legătură cu un avocat fals, de regulă folosind numele unui avocat real de la biroul european al unei firme de avocatură din primele 50 la nivel mondial. Soall, susțin procurorii, păstra un scenariu scris de mână, intitulat „Lawyer Call”, care invoca regulile privind confidențialitatea și tranzacțiile bazate pe informații privilegiate pentru a-i împiedica pe angajați să discute cu colegii.

Victimele nu sunt numite, însă pierderile enumerate în actele de acuzare oferă o imagine reprezentativă a economiei. Un sistem de spitale din Missouri a transferat 4.829.580 de dolari. O bancă din Rhode Island a pierdut 2.684.580 de dolari, iar un sistem de spitale din California, 2.968.497 de dolari. O companie britanică de tehnologie financiară a pierdut 11.578.474 de dolari, o societate de fonduri mutuale din Massachusetts, 4.639.918 de dolari, iar o companie de hrană pentru animale de companie din Florida, 5.242.747 de dolari. Banii au ajuns în conturi din Statele Unite, Spania, Portugalia, Grecia, Emiratele Arabe Unite, Singapore, Austria, Slovacia și China, înainte de a fi convertiți în criptomonede.

O țintă a reușit să evite pierderea. La o mare bancă de investiții din New York, un angajat a aprobat o plată de aproximativ 2,85 milioane de dolari, dar departamentul operațional al băncii a blocat transferul înainte ca acesta să fie efectuat, susțin procurorii. Protecția eficientă a fost o a doua verificare făcută de un om, nu un detector de deepfake-uri.

Partea care ține de AI este mai nouă decât infracțiunea. Comunicatul Departamentului Justiției numește instrumentele „super inteligență”, în timp ce actul de inculpare vorbește despre inteligență artificială, iar documentele publice nu indică folosirea altor tehnologii decât cele de clonare vocală și facială disponibile în comerț. În rest, e vorba de un scenariu vechi: e-mailuri false trimise în numele directorilor, bani trecuți prin conturi din mai multe țări, apoi spălați. Procurorii susțin că Hazan, condamnat pentru conspirație în vederea comiterii unei fraude bancare de aceeași instanță în 2008, se lăuda că spălase peste 400 de milioane de dolari în trei ani și că era „numărul unu în toată lumea”. Acestea sunt acuzații, niciunul dintre cei trei nu a fost condamnat, iar procurorii nu au precizat ce sumă a fost recuperată sau ce instrumente de clonare au fost folosite.

Companiile se așteptau la un asemenea risc. Firma de inginerie Arup a pierdut aproximativ 25 de milioane de dolari în 2024, după ce un angajat din Hong Kong a participat la un apel video în care ceilalți participanți erau deepfake-uri. Recomandările standard nu s-au schimbat: sunați-l înapoi pe director la un număr pe care îl aveți deja, cereți aprobarea unei a doua persoane pentru transferurile mari și considerați cererile de păstrare a secretului un semnal de alarmă. „Îi încurajez pe cetățeni și pe mediul de afaceri să se gândească la cele mai bune metode de a se proteja de amenințarea emergentă a infracționalității facilitate de SI”, a declarat procurorul federal Jamie McDonald.

Presupusa conspirație s-a desfășurat cel puțin din iulie 2024 până în februarie 2026. Soall a fost arestat în Spania pe 17 iunie, iar Hazan, tot în Spania, pe 5 august; Sheetrit a fost arestat în Regatul Unit pe 7 septembrie. Actul de inculpare a fost făcut public în prima săptămână din noiembrie, iar cererile de extrădare pentru toți trei sunt în curs. Frauda prin transferuri electronice și spălarea de bani se pedepsesc fiecare cu până la 20 de ani de închisoare, iar FBI le cere altor posibile victime să ia legătura cu instituția prin pagina sa de sesizări.

Banca care și-a păstrat banii nu avea o inteligență artificială mai bună. Avea pe cineva în departamentul operațional care a verificat transferul înainte ca acesta să fie efectuat.

Etichete: știri, Folarin Balogun, Baker Mayfield, Meghan Markle, securitate cibernetică, deepfake