Voces de CEO clonadas con IA robaron 129 millones de dólares a hospitales y bancos

La voz al otro lado de la llamada sonaba como la del jefe, y el abogado que llamó después parecía socio de uno de los bufetes más importantes del mundo. Según los fiscales federales de Manhattan, ninguno de los dos era real. Aseguran que tres hombres utilizaron inteligencia artificial para imitar a consejeros delegados y abogados, y convencieron a empleados de contabilidad de hospitales, bancos y otras empresas para que transfirieran dinero con el fin de cerrar operaciones confidenciales que nunca existieron. Después, el dinero se convirtió en criptomonedas y se repartió entre los conspiradores.

El caso va mucho más allá de las empresas que perdieron dinero. Nadie entró por la fuerza en un ordenador. La trama se apoyaba en algo que casi todos los trabajadores de oficina hacen sin pensárselo: confiar en una voz conocida que pide ayuda. Los discursos de un consejero delegado, las llamadas sobre resultados y sus intervenciones en mesas redondas son públicos, y los programas de clonación de voz pueden funcionar a partir de ese tipo de audio. Si un estafador puede sonar como tu jefe, una llamada telefónica ya no demuestra quién está al otro lado.

La acusación, presentada ante el Distrito Sur de Nueva York, imputa a Jacob Soall, de 41 años, residente en Marbella (España) y en el Reino Unido; Sharon Hazan, de 54, de Israel; y Guy Sheetrit, de 42, de Israel y los Emiratos Árabes Unidos. Cada uno se enfrenta a siete cargos, entre ellos conspiración para cometer fraude mediante transferencias electrónicas, robo agravado de identidad y blanqueo de capitales. Según los fiscales, el grupo obtuvo aproximadamente 129 millones de dólares de empresas de Estados Unidos y de otros países.

Según la acusación, el guion apenas variaba. A menudo todo empezaba con un correo enviado a través de un servicio de firma electrónica como DocuSign, aparentemente por el propio consejero delegado de la empresa destinataria, en el que pedía ayuda para una operación secreta y adjuntaba un acuerdo de confidencialidad. Después llegaban las llamadas: presuntamente, los conspiradores usaban IA para imitar la voz del directivo y, en ocasiones, también su rostro. El falso consejero delegado pasaba al empleado con un falso abogado, que normalmente usaba el nombre de un abogado real de la oficina europea de un bufete entre los 50 más importantes. Según los fiscales, Soall guardaba un guion manuscrito titulado “Lawyer Call” que recurría a la confidencialidad y a las normas contra el uso de información privilegiada para impedir que los empleados hablaran con sus compañeros.

Los documentos de acusación no identifican a las víctimas, pero las pérdidas que detallan ofrecen una muestra representativa de la economía. Un sistema hospitalario de Misuri transfirió 4.829.580 dólares. Un banco de Rhode Island perdió 2.684.580 dólares y un sistema hospitalario de California, 2.968.497. Una empresa británica de tecnología financiera perdió 11.578.474 dólares; una sociedad de fondos de inversión de Massachusetts, 4.639.918; y una empresa de comida para mascotas de Florida, 5.242.747. El dinero pasó por cuentas en Estados Unidos, España, Portugal, Grecia, los Emiratos Árabes Unidos, Singapur, Austria, Eslovaquia y China antes de convertirse en criptomonedas.

Una de las posibles víctimas logró evitar la pérdida. En un importante banco de inversión de Nueva York, un empleado aprobó un pago de unos 2,85 millones de dólares, pero el departamento de operaciones del banco detuvo la transferencia antes de que saliera, según los fiscales. La defensa que funcionó fue que otro empleado revisara la operación, no un detector de deepfakes.

La IA es la novedad; el delito, no. El comunicado del Departamento de Justicia habla de “superinteligencia”, mientras que la acusación se refiere a inteligencia artificial, y nada de lo publicado apunta a que se utilizara algo más que programas comerciales de clonación de voz y rostro. El resto responde a un viejo manual: correos electrónicos falsos de directivos, dinero que pasa por cuentas de varios países y, después, blanqueo. Según los fiscales, Hazan, condenado por conspiración para cometer fraude bancario en el mismo tribunal en 2008, presumía de haber blanqueado más de 400 millones de dólares en tres años y decía ser «el número uno en todo el mundo». Se trata de acusaciones; ninguno de los tres ha sido condenado y los fiscales no han dicho cuánto dinero se ha recuperado ni qué herramientas de clonación se utilizaron.

Las empresas ya habían visto venir el problema. En 2024, la ingeniería Arup perdió unos 25 millones de dólares después de que un empleado en Hong Kong participara en una videollamada en la que los demás asistentes eran deepfakes. Los consejos habituales no han cambiado: devolver la llamada al directivo a un número que ya se tenga, exigir una segunda autorización para las transferencias importantes y considerar una petición de confidencialidad extrema como una señal de alarma. «Animo a las personas y al mundo empresarial a pensar cuál es la mejor manera de protegerse frente a la amenaza emergente de los delitos facilitados por la superinteligencia», afirmó Jamie McDonald, fiscal federal de Estados Unidos.

La presunta conspiración se prolongó, como mínimo, desde julio de 2024 hasta febrero de 2026. Soall fue detenido en España el 17 de junio y Hazan, también en España, el 5 de agosto; Sheetrit fue detenido en el Reino Unido el 7 de septiembre. La acusación se hizo pública durante la primera semana de noviembre y están pendientes las solicitudes de extradición de los tres. Los delitos de fraude mediante transferencias electrónicas y blanqueo de capitales conllevan cada uno una pena máxima de 20 años de prisión, y el FBI pide a otras posibles víctimas que se pongan en contacto con la agencia a través de su página para enviar pistas.

El banco que conservó su dinero no tenía una IA mejor. Tenía a alguien en el departamento de operaciones que revisó la transferencia antes de que saliera.

Etiquetas: Folarin Balogun, Baker Mayfield, Meghan Markle, ciberseguridad, deepfakes, fbi, clonación de voz