Los fiscales federales de Nueva York han acusado a tres personas de ejecutar un plan de fraude que utilizó inteligencia artificial para hacerse pasar por directores ejecutivos corporativos y abogados externos, extrayendo aproximadamente 129 millones de dólares de empresas en varios países, según una acusación presentada en el Tribunal de Distrito de Estados Unidos en Nueva York y anunciada el jueves.

Jacob Soall, de 41 años, Sharon Hazan, de 54, y Guy Sheetrit, de 42, están acusados ​​de fraude electrónico, robo de identidad agravado y lavado de dinero en lo que los fiscales describen como una campaña que duró más de 18 meses y se dirigió a miles de empresas en todo el mundo. Los tres acusados, que tienen vínculos con España, Reino Unido, Israel y Emiratos Árabes Unidos, fueron detenidos entre junio y septiembre, según documentos judiciales. Los fiscales dijeron que Hazan fue condenado previamente en un tribunal de Nueva York en 2008 por conspiración para cometer fraude bancario.

Para las empresas que siguen la rápida industrialización del crimen impulsado por la IA, el caso es uno de los ejemplos más claros hasta ahora de herramientas generativas integradas en un manual tradicional de apropiación de cuentas corporativas, y de la escala que un equipo bien organizado puede alcanzar una vez que tanto la voz del ejecutivo como la línea telefónica del bufete de abogados pueden ser falsificadas. Puede seguir nuestra cobertura de noticias de AI en curso a medida que más de estos casos avanzan en los tribunales.

Cómo funcionó el plan

Según la acusación, los acusados se dirigieron principalmente a los departamentos de contabilidad de las empresas. El proceso comenzó con correos electrónicos que parecían provenir del director ejecutivo de una empresa, solicitando ayuda con una transacción financiera confidencial.

Cuando los empleados respondieron, los sospechosos organizaron llamadas telefónicas o videollamadas durante las cuales utilizaron tecnología de inteligencia artificial para imitar las voces de los ejecutivos y, en algunos casos, según alegan los fiscales, sus apariencias. A los empleados que querían una segunda opinión se les ordenó entonces que se pusieran en contacto con abogados de las principales firmas de abogados; abogados que los acusados ​​también estaban dispuestos a personificar, según la acusación.

Soall se hizo pasar principalmente por abogados británicos y, según se informa, utilizó un guión escrito a mano titulado "Lawyer Call" para parecer un auténtico profesional del derecho mientras se comunicaba con las víctimas.

Los abogados suplantados luego ordenaron a los empleados que transfirieran grandes sumas de dinero a cuentas bancarias en diferentes países, según la acusación. A partir de ahí, los fondos se convirtieron en criptomonedas para ocultar sus orígenes antes de ser distribuidos entre los acusados ​​y otros presuntos participantes, según documentos judiciales.

Las presuntas víctimas

La acusación describe un conjunto de presuntas víctimas geográfica e industrialmente diverso. Entre las organizaciones nombradas en los documentos judiciales se encuentran redes de hospitales en Missouri y California, un banco con sede en Rhode Island, una empresa de tecnología financiera en el Reino Unido, una compañía de fondos mutuos de Massachusetts y una empresa de alimentos para mascotas con sede en Florida.

La escala alegada (aproximadamente 129 millones de dólares de empresas contactadas durante 18 meses) coloca el caso entre los fraudes de suplantación de identidad corporativa más grandes acusados ​​por los fiscales estadounidenses, y es inusual en el papel central que, según los fiscales, desempeñaron las herramientas de inteligencia artificial para derrotar los pasos de verificación que habrían detenido el fraude de correo electrónico convencional.

Los documentos judiciales también señalan que los acusados ​​utilizaron apodos como "Rocky Balboa", "Superman Cash" y "Fat Boy" mientras coordinaban el plan.

La respuesta del FBI y posibles sanciones

James C. Barnacle Jr., subdirector a cargo del FBI, dijo que el caso demostró cómo se puede explotar la tecnología avanzada para llevar a cabo fraude financiero a gran escala. Dijo que el FBI sigue comprometido a adaptar sus capacidades de investigación para identificar y desbaratar a los delincuentes que utilizan tecnologías emergentes para atacar a individuos y empresas.

Si son declarados culpables, los acusados ​​podrían enfrentar sentencias máximas de 20 años por cada uno de los cargos, excepto el robo de identidad agravado, que conlleva una pena obligatoria de dos años de prisión, según la Fiscalía de Estados Unidos. Los cargos de lavado de dinero añaden una mayor exposición, ya que cada paso de transferencia y conversión se puede cobrar por separado.

Los abogados de Soall y Sheetrit no respondieron de inmediato a las solicitudes de comentarios y no quedó claro de inmediato si Hazan contaba con representación legal.

Por qué es importante la suplantación de dos capas

Los equipos de seguridad han advertido durante años que la clonación de voz mediante IA había colapsado el costo del "fraude de directores ejecutivos", la categoría de estafa en la que los delincuentes se hacen pasar por ejecutivos y presionan al personal de finanzas para que realice transferencias bancarias urgentes. Lo que distingue esta acusación es la supuesta segunda capa: cuando los empleados intentaron verificar la solicitud a través de un canal independiente -llamando al bufete de abogados- llegaron a la misma operación criminal desempeñando otro papel.

Esto anula el consejo de verificación en el que todavía se basa la mayoría de la capacitación corporativa, porque la devolución de llamada se dirige a un número o representante controlado por los estafadores en lugar de a la empresa genuina. El relato de los fiscales sobre el guión de "Lawyer Call" sugiere que la personificación de los profesionales del derecho fue ensayada, no improvisada.

El caso también ilustra los mecanismos de lavado que hacen viable la suplantación de identidad a gran escala: los fondos se mueven a través de cuentas en varios países y luego a criptomonedas, lo que complica los esfuerzos de recuperación. Que se pueda recuperar parte de los 129 millones de dólares dependerá del progreso de las acciones de decomiso junto con el caso penal.

No se ha informado ninguna fecha del juicio. A medida que las herramientas de voz y video de IA continúan mejorando, es probable que el caso sea citado en el creciente debate sobre cómo las empresas deben verificar las instrucciones de pago de alto valor; muchos investigadores de seguridad argumentan que la voz e incluso el video en vivo ya no pueden ser tratados como prueba de identidad, y que la verificación fuera de banda contra detalles de contacto obtenidos de forma independiente es la única defensa duradera.

---

Manténgase a la vanguardia de la IA

Obtenga las últimas noticias, análisis y avances en IA, todo en un solo lugar.

Leer más noticias sobre IA →