Włoska grupa bankowości prywatnej i zarządzania majątkiem Fideuram — jeden z największych włoskich zarządców majątku — była podobno celem oszustwa z wykorzystaniem podrobionego głosu generowanego przez AI, które doprowadziło rzekomo do konwersji co najmniej 36 mln euro na kryptowaluty, według doniesień krążących w środowiskach finansowych i bezpieczeństwa. W razie potwierdzenia incydent zaliczyłby się do największych znanych przypadków oszustwa z wykorzystaniem podsłuchu głosowego wspomaganego AI wymierzonych w europejską instytucję bankową. Dla porównania, szeroko opisywane precedenty oszustw deepfake — przypadek z Wielkiej Brytanii z 2019 roku, w którym sklonowany głos podszywający się pod prezesa zarządu doprowadził do przelewu około 220 000 euro, oraz przypadek z 4 zgłoszony przez policję w Hongkongu, w którym pracownik przekazał około 25 mln dolarów USA po wideorozmowie ze sfingowanymi cyfrowo współpracownikami — dotyczyły kwot znacznie niższych niż obecnie donoszona.

Kluczowe punkty

• Atakujący mieli podobno użyć głosu wygenerowanego przez AI, podszywając się pod zaufaną osobę podczas kontaktu z Fideuram.
• W fałszywym przelewie miało podobno chodzić o co najmniej 36 mln euro.
• Środki miały zostać — według doniesień — przekonwertowane na kryptowaluty po rzekomym poleceniu zapłaty.

Na czym polegało donoszone oszustwo głosowe AI wobec Fideuram

Rzekome podszywanie się i polecenie zapłaty

Według doniesień atakujący mieli wykorzystać syntezę głosu generowaną przez AI, by podszyć się pod znaną lub zaufaną osobę i wydać fałszywe polecenia zapłaty pracownikom Fideuram. Donoszona kwota to co najmniej 36 mln euro. Informacje dostępne do tej pory nie pozwalają jednak ustalić, kogo imagine podszywano się, którzy pracownicy otrzymali polecenie ani kiedy zdarzenie miało miejsce.

Materiały dostępne dla tego artykułu nie identyfik konkretnych sprawców, portfeli odbiorczych ani platform, nie zawierają też żadnych oficjalnych ustaleń Fideuram, włoskich regulatorów finansowych czy organów ścigania. Wszystkie opisy incydentu należy traktować jako niepotwierdzone do czasu oficjalnego komunikatu. Oficjalne oświadczenie Fideuram, włoskich regulatorów lub organów ścigania będzie naturalnym kanałem, przez który można uzupełnić brakujące szczegóły — moment donoszonej rozmowy, tożsamość podszytej osoby i miejsce przekazania środków. W poprzednich przypadkach oszustw kryptowalutowych szanse na odzyskanie środków zależały zwykle od tego, jak szybko śledczy mogli namierzyć aktywa, zanim zostały rozproszone między portfele i giełdy.

Dlaczego konwersja na kryptowaluty ma znaczenie

Rzekoma konwersja środków na kryptowaluty to szczegół, który może utrudnić ewentualne odzyskanie aktywów. Po potwierdzeniu on-chain transfery kryptowalut są nieodwracalne bez współpracy giełd lub depozytariuszy portfeli, a transgraniczne kwestie jurysdykcyjne stanowią dodatkową przeszkodę dla śledczych. Jak pokazały wielokrotnie poprzednie głośne przypadki oszustw kryptowalutowych, szybka konwersja na aktywa cyfrowe to powszechna metoda wynoszenia nielegalnych środków spod zasięgu klasycznych blokad bankowych.

Technologia klonowania głosu osiągnęła próg wierności, przy którym krótkie próbki audio — czasem pochodzące z publicznych nagrań lub materiałów firmowych — mogą generować przekonujące podsłuchy w czasie rzeczywistym. Rzekome użycie tej zdolności przeciwko dużej instytucji zarządzania majątkiem sugeruje, że aktorzy zagrożeń kierują już narzędzia AI klasy inferencyjnej wobec finansowych celów o wysokiej wartości, a nie tylko kampanii phishingowych wymierzonych w konsumentów. Ekspozycja jest strukturalna w bankowości prywatnej, gdzie duże przelewy na polecenie klienta od dawna autoryzowano poprzez bezpośredni kontakt głosowy ze znanymi osobami — dokładnie tę formę weryfikacji, którą klonowane głosy mają na celu obejść. Regulatorzy i stowarzyszenia bankowe w całej Europie wielokrotnie ostrzegały instytucje przed oszustwami z użyciem deepfake w ostatnich latach.

Jak organizacje mogą zmniejszyć ryzyko podsłuchu głosowego AI

Donoszony przebieg incydentu — syntetyczny głos AI wydający duże polecenie zapłaty — odpowiada wprost zestawowi zabezpieczeń, które instytucje finansowe i działy skarbowości mogą wdrożyć bez czekania na wymogi regulacyjne.

Weryfikuj nietypowe polecenia zapłaty niezależnym, wcześniej ustalonym kanałem

Każde polecenie zapłaty przekazane telefonicznie, nieznie od tego, jak znajomo brzmi dzwoniący, powinno uruchamiać weryfikację oddzwonieniem pod numer telefonu zapisany w oficjalnym katalogu, a nie pod numer podany podczas rozmowy. Ten pozakanałowy krok potwierdzenia przerywa łańcuch ataku, od którego zależy oszustwo z użyciem głosu AI.

Wymagaj podwójnej akceptacji i potwierdzenia pozakanałowego dla transakcji o wysokiej wartości lub zmienionych danych odbiorcy

Przelewy powyżej określonego progu oraz każde polecenie modyfikujące dotychczasowe dane beneficjenta powinny wymagać zatwierdzenia przez drugą upoważnioną osobę za pośrednictwem odrębnego kanału komunikacji. Pojedyncza rozmowa telefoniczna, choćby najbardziej przekonująca, nigdy nie powinna wystarczać do autoryzacji transakcji rzędu dziesiątek milionów euro. Polityki dotyczące przechowywania i kontroli aktywów o wysokiej wartości są coraz ściślej badane przez regulatorów właśnie dlatego, że te powierzchnie ataku się poszerzają.

Zabezpiecz zapisy i niezwłocznie powiadom zespoły bezpieczeństwa, partnerów bankowych i organy w razie podejrzenia podszywania się

Jeżeli zidentyfikowano podejrzane polecenie zapłaty, kolejność priorytetów jest następująca: zabezpieczyć nagranie audio i wszelkie metadane komunikacji, wstrzymać wychodzący przelew, jeśli nie został jeszcze zaksięgowany, powiadomić zespół bezpieczeństwa instytucji oraz banki korespondencyjne i zgłosić sprawę właściwej krajowej jednostce analizy finansowej. W przypadkach, gdy środki trafiły już do kryptowalut, giełdy działające w ramach obowiązków przeciwdziałania praniu pieniędzy mogą oznaczyć lub zamrozić powiązane konta, jeśli szybko skontaktowano się z nimi wraz z dokumentacją potwierdzającą.

Te kroki przedstawiono jako ogólne wskazówki zmniejszania ryzyka i nie mają one stanowić twierdzeń o zabezpieczeniach stosowanych w Fideuram ani o tym, co konkretnie wydarzyło się w donoszonym incydencie. Szeroki trend oszustw z użyciem AI wymierzonych w instytucje finansowe jest dobrze udokumentowany; czy ten konkretny przypadek wpisuje się w ten schemat, pozostaje do potwierdzenia kanałami oficjalnymi.

Zastrzeżenie: niniejszy artykuł ma charakter wyłącznie informacyjny i nie stanowi porady finansowej ani inwestycyjnej. Rynki kryptowalut i aktywów cyfrowych wiążą się ze znaczącym ryzykiem. Zawsze przeprowadzaj własne badania przed podjęciem decyzji.