Federale aanklagers in New York hebben drie mensen aangeklaagd voor het uitvoeren van een fraudeplan waarbij gebruik werd gemaakt van kunstmatige intelligentie om zich voor te doen als bedrijfsleiders en externe advocaten, waardoor ongeveer 129 miljoen dollar werd onttrokken aan bedrijven in meerdere landen, volgens een aanklacht ingediend bij de Amerikaanse rechtbank in New York en donderdag aangekondigd.

Jacob Soall, 41, Sharon Hazan, 54, en Guy Sheetrit, 42, worden beschuldigd van bankfraude, verergerde identiteitsdiefstal en het witwassen van geld in wat aanklagers omschrijven als een campagne die meer dan 18 maanden heeft geduurd en gericht was op duizenden bedrijven over de hele wereld. De drie beklaagden, die banden hebben met Spanje, het Verenigd Koninkrijk, Israël en de Verenigde Arabische Emiraten, zijn volgens gerechtelijke documenten tussen juni en september gearresteerd. Aanklagers zeiden dat Hazan in 2008 eerder door een rechtbank in New York was veroordeeld wegens samenzwering om bankfraude te plegen.

Voor bedrijven die de snelle industrialisatie van door AI ondersteunde misdaad in de gaten houden, is de zaak een van de duidelijkste voorbeelden tot nu toe van generatieve instrumenten die in een traditioneel draaiboek voor het overnemen van bedrijfsaccounts worden gelast – en van de omvang die een goed georganiseerd team kan bereiken zodra zowel de stem van de leidinggevende als de telefoonlijn van het advocatenkantoor kunnen worden nagebootst. U kunt onze voortdurende AI-nieuwsverslaggeving volgen naarmate meer van deze zaken door de rechtbanken gaan.

Hoe de regeling werkte

Volgens de aanklacht richtten de beklaagden zich vooral op de boekhoudafdelingen van bedrijven. Het proces begon met e-mails die afkomstig leken te zijn van de CEO van een bedrijf, waarin om hulp werd gevraagd bij een vertrouwelijke financiële transactie.

Toen werknemers reageerden, regelden de verdachten telefoon- of videogesprekken waarin ze AI-technologie gebruikten om de stemmen van de leidinggevenden te imiteren, en in sommige gevallen beweren aanklagers hun uiterlijk. Werknemers die een second opinion wilden, kregen vervolgens de opdracht contact op te nemen met advocaten van grote advocatenkantoren – advocaten waarvan de beklaagden volgens de aanklacht ook bereid waren zich voor te doen.

Soall deed zich voornamelijk voor als Britse advocaten en gebruikte naar verluidt een handgeschreven script met de titel "Lawyer Call" om zichzelf te laten klinken als een echte juridische professional terwijl hij met de slachtoffers communiceerde.

De nagebootste advocaten gaven werknemers vervolgens de opdracht om grote sommen geld over te maken naar bankrekeningen in verschillende landen, aldus de aanklacht. Van daaruit werden de fondsen omgezet in cryptocurrency om hun oorsprong te verbergen voordat ze werden verdeeld onder de beklaagden en andere vermeende deelnemers, aldus gerechtelijke documenten.

De vermeende slachtoffers

De aanklacht beschrijft een geografisch en industrieel diverse groep vermeende slachtoffers. Onder de organisaties die in gerechtelijke documenten worden genoemd, bevinden zich ziekenhuisnetwerken in Missouri en Californië, een in Rhode Island gevestigde bank, een financieel technologiebedrijf in het Verenigd Koninkrijk, een beleggingsfonds in Massachusetts en een in Florida gevestigd huisdiervoedingsbedrijf.

De vermeende omvang – grofweg 129 miljoen dollar van bedrijven die in de loop van 18 maanden zijn benaderd – plaatst de zaak onder de grotere nabootsingsfraude van bedrijven die door Amerikaanse aanklagers zijn aangeklaagd, en ongebruikelijk in de centrale rol die volgens aanklagers AI-instrumenten hebben gespeeld bij het omzeilen van verificatiestappen die conventionele e-mailfraude zouden hebben gestopt.

Uit gerechtelijke documenten blijkt ook dat de beklaagden bijnamen als ‘Rocky Balboa’, ‘Superman Cash’ en ‘Fat Boy’ gebruikten bij het coördineren van het plan.

De reactie van de FBI en mogelijke straffen

James C. Barnacle Jr., de adjunct-directeur van de FBI, zei dat de zaak aantoonde hoe geavanceerde technologie kan worden uitgebuit om grootschalige financiële fraude uit te voeren. Hij zei dat de FBI zich blijft inzetten voor het aanpassen van haar onderzoekscapaciteiten om criminelen te identificeren en te ontwrichten met behulp van opkomende technologieën om individuen en bedrijven aan te vallen.

Als de beklaagden veroordeeld worden, kunnen ze een maximumstraf van twintig jaar krijgen voor elk van de aanklachten, met uitzondering van ernstige identiteitsdiefstal, waarop volgens het Amerikaanse Openbaar Ministerie een gevangenisstraf van twee jaar staat. Het aantal witwaspraktijken zorgt voor nog meer risico, omdat elke overdrachts- en conversiestap afzonderlijk in rekening kan worden gebracht.

De advocaten van Soall en Sheetrit reageerden niet onmiddellijk op verzoeken om commentaar, en het was niet meteen duidelijk of Hazan juridische vertegenwoordiging had.

Waarom de tweelaagse imitatie ertoe doet

Beveiligingsteams waarschuwen al jaren dat AI-stemklonen de kosten van ‘CEO-fraude’ heeft doen dalen, de zwendelcategorie waarin criminelen zich voordoen als leidinggevenden en financiële medewerkers onder druk zetten om dringende bankoverschrijvingen uit te voeren. Wat deze aanklacht onderscheidt is de zogenaamde tweede laag: toen werknemers probeerden het verzoek via een onafhankelijk kanaal te verifiëren – door het advocatenkantoor te bellen – kwamen ze terecht bij dezelfde criminele operatie die een andere rol speelde.

Dat ondermijnt het verificatieadvies waar de meeste bedrijfsopleidingen nog steeds op vertrouwen, omdat het terugbellen naar een nummer of vertegenwoordiger gaat die door de fraudeurs wordt gecontroleerd in plaats van naar het echte bedrijf. Het verslag van de aanklagers over het 'Lawyer Call'-script suggereert dat de nabootsing van juridische professionals werd gerepeteerd en niet geïmproviseerd.

De casus illustreert ook de witwasmechanismen die grootschalige nabootsing van identiteit levensvatbaar maken: fondsen worden via rekeningen in meerdere landen getransporteerd en vervolgens naar cryptocurrency getransporteerd, wat de herstelinspanningen bemoeilijkt. Of iets van de 129 miljoen dollar kan worden teruggevorderd, zal afhangen van de voortgang van de verbeurdverklaringsacties naast de strafzaak.

Er is geen proefdatum gemeld. Nu AI-spraak- en video-instrumenten steeds beter worden, zal deze zaak waarschijnlijk worden aangehaald in het groeiende debat over de manier waarop bedrijven hoogwaardige betalingsinstructies moeten verifiëren – waarbij veel beveiligingsonderzoekers beweren dat spraak en zelfs live video niet langer kunnen worden behandeld als bewijs van identiteit, en dat out-of-band verificatie aan de hand van onafhankelijk verkregen contactgegevens de enige duurzame verdediging is.

---

Blijf AI een stap voor

Ontvang het laatste AI-nieuws, analyses en doorbraken – allemaal op één plek.

Lees meer AI-nieuws →