الولايات المتحدة تتهم ثلاثة أشخاص بسرقة 129 مليون دولار باستخدام نسخ بالذكاء الاصطناعي لأصوات ووجوه كبار المديرين

تخيل يوما عاديا في عمل محاسب. يظهر في تطبيق للمراسلة أو خلال مكالمة فيديو مدير يعرفه شكلا وصوتا، وإلى جواره محامي الشركة. يقولان إن الصفقة عاجلة وسرية، ويطلبان منه إجراء تحويل. كل شيء يبدو ويبدو صوته صحيحا. ووفقا للمدعين العامين الأميركيين، عمل المتهمون الثلاثة بهذا السيناريو تحديدا. النتيجة: نحو 129 مليون دولار.

ما المعروف عن القضية

أعلن مكتب الادعاء الفيدرالي الأميركي في مانهاتن أن لائحة الاتهام كُشف عنها يوم الخميس. والمتهمون هم جاكوب سوال (41 عاما)، وشارون خازان (54 عاما)، وغاي شيتريت (42 عاما). ووفقا للمحققين، استخدموا الذكاء الاصطناعي لنسخ أصوات ووجوه مسؤولي شركات ومحامين، وخدعوا بهذه الطريقة موظفين حولوا الأموال. وألقت الشرطة الإسبانية القبض على سوال.

وثمة تنبيه مهم: ما صدر حتى الآن هو اتهام وليس حكما بالإدانة. ولا يكشف المقتطف المنشور عن الأدوات المحددة التي استخدمها الجناة المزعومون، أو عدد الشركات المتضررة، أو كيفية سحب الأموال. وستظهر هذه التفاصيل في وثائق القضية، ولا يزال من المبكر استخلاص استنتاجات بشأن التقنية المستخدمة.

لماذا لا يعد هذا تصيدا احتياليا عاديا

يعتمد هجوم «الدفع العاجل» التقليدي على النص: رسالة بريد إلكتروني مزيفة، أو عنوان غريب، أو أخطاء في الصياغة. وقد تعلم الموظفون منذ زمن الحذر من مثل هذه المحاولات. أما الصوت والوجه فيخلقان مستوى مختلفا من الثقة. اعتدنا اعتبار مكالمة الفيديو مع المدير وسيلة للتحقق من الهوية. لكن استنساخ الصوت والوجه يقوض هذه العادة.

المشكلة الثانية هي الجمع بين الأدوار. عندما يشارك «المدير» و«المحامي» في المحادثة، يتولد لدى الموظف انطباع بأن العملية حصلت بالفعل على الموافقات اللازمة وأن مهمته تقتصر على التنفيذ. ويكون ضغط السلطة والاستعجال أقوى من أي مذكرة أمنية إذا لم تكن لدى الشركة إجراءات صارمة.

والخلاصة غير المريحة للقطاع هي أن قناة «رأيته وسمعته بنفسي» لم يعد من الممكن اعتبارها دليلا على الأصالة. ولا يقتصر ذلك على التحويلات المصرفية، بل يشمل أيضا إعادة ضبط صلاحيات الوصول، وتسليم المفاتيح، واعتماد الصفقات، وأي إجراءات يُتخذ فيها القرار بناء على الكلام وحده.

ما الذي ينبغي للفرق فعله

فيما يلي ممارسات حماية عامة، وليست تفاصيل خاصة بهذه القضية.

• التأكيد عبر قناة ثانية. تحققوا من أي تحويل أو تغيير في البيانات المصرفية عبر مسار مستقل: اتصلوا مجددا بالرقم الوارد في الدليل الداخلي، لا بالرقم الذي جاء منه الطلب.
• قاعدة المفتاحين. يجب أن تتطلب المدفوعات الكبيرة موافقة شخصين، وألا يخضع أي منهما لضغط «الآن فورا».
• كلمات رمزية وأسئلة تحقق. ينبغي لكبار المديرين والفرق المالية الاتفاق مسبقا على وسائل تحقق لا يمكن العثور عليها في المصادر المفتوحة.
• الحدود وفترات الانتظار. افرضوا وقفة إلزامية عند التعامل مع مستفيدين غير معتادين أو مبالغ كبيرة. فالاحتيال يعتمد على العجلة، بينما تمنح الوقفة وقتا لاكتشاف الخدعة.
• التدريب باستخدام أمثلة حية. أسمعوا الموظفين كيف يبدو الصوت المستنسخ. عرض توضيحي واحد من هذا النوع أكثر إقناعا من عشر شرائح.

وينبغي للمنتجات التي تطورها شركات التقنية المالية ومنصات الموارد البشرية وأنظمة الاتصال المرئي وتهيئة الموظفين الجدد أن تراعي هذا الخطر في بنيتها. فلم يعد التحقق من الهوية عبر الفيديو أو الصوت وحده موثوقا. بل تلزم إشارات إضافية، مثل الجهاز وسجل الإجراءات والتأكيد داخل التطبيق.

القيود والخلاصة

النص المصدر موجز، لذلك لا نعرف مدى جودة التزييف، أو ما إذا كان يعمل في الوقت الفعلي، أو مقدار الأموال التي أمكن استردادها. ولا ينبغي الاستنتاج من قضية واحدة أن كل مكالمة فيديو خطرة. لكن مبلغ 129 مليون دولار يبين أن الهجمات القائمة على المحاكاة بالذكاء الاصطناعي لم تعد تهديدا مختبريا، بل أصبحت مصدرا لخسائر هائلة.

الخلاصة العملية بسيطة: إذا كانت إجراءاتكم تعتمد على عبارة «لقد تعرفت إلى صوته»، فهذه ثغرة. عالجوها بإجراء واضح قبل أن يكتشفها شخص آخر.