Tres golpistas usaram clones de IA de CEOs e advogados para roubar $129 milhoes de empresas

Durante muito tempo, fraudes com deepfakes pareceram historias assustadoras de apresentacoes sobre seguranca. Agora, o problema tem uma acusacao formal, nomes e um valor: mais de $129 milhoes. O Departamento de Justica dos EUA publicou documentos do processo contra Jacob Soal, Sharon Hazan e Guy Shitrit. Segundo os investigadores, durante dois anos eles se passaram por executivos e advogados para induzir funcionarios a fazer grandes transferencias.

Como o esquema funcionava

O esquema se apoiava em dois papeis. Primeiro, um “executivo” da empresa enviava uma mensagem ou ligava para um funcionario e pedia ajuda com uma operacao financeira delicada. Segundo a acusacao, a voz e a imagem eram falsificadas com IA. Em seguida, o funcionario era orientado a entrar em contato com um “advogado” de um grande escritorio internacional. Os proprios golpistas tambem desempenhavam esse papel, novamente substituindo a voz e a aparencia da pessoa.

Trata-se de uma tecnica classica de engenharia social. O pedido do chefe cria pressao e urgencia, enquanto a presenca do advogado acrescenta uma camada de formalidade: a questao parece ja ter sido aprovada e verificada. O funcionario reconhece uma voz familiar e ouve uma historia convincente, por isso transfere o dinheiro para os dados bancarios indicados. Nesse caso, a IA nao inventa uma nova forma de fraude; ela torna uma tecnica antiga quase gratuita e consideravelmente mais verossimil.

As contas dos destinatarios ficavam nos EUA, Espanha, Portugal, Grecia, Emirados Arabes Unidos, Singapura, Austria, Eslovaquia e China. Depois das transferencias, o dinheiro era convertido em criptomoedas para ocultar sua origem e seu proprietario e, em seguida, dividido entre os participantes. Os acusados respondem por conspiracao para cometer fraude eletronica, lavagem de dinheiro e roubo de identidade agravado.

Quem foi prejudicado

A lista de vitimas mostra que qualquer organizacao pode se tornar alvo. Uma rede hospitalar do Missouri perdeu cerca de $5 milhoes; um sistema hospitalar da California, aproximadamente $3 milhoes; e um banco de Rhode Island, cerca de $2,7 milhoes. Um fundo de investimento de Massachusetts perdeu mais de $4,6 milhoes, enquanto uma fabricante de racao animal da Florida perdeu aproximadamente $5 milhoes. O maior episodio identificado envolveu mais de $11 milhoes roubados de uma empresa britanica de tecnologia.

Para equipes de produto e engenharia, um detalhe e especialmente importante: uma empresa de TI aparece entre as vitimas. Conhecer IA nao protege uma organizacao contra uma ligacao do “chefe” quando o processo nao possui controles rigidos.

O que fazer na pratica

Primeiro, deixe de tratar voz e rosto como formas de autorizacao. Se uma solicitacao de pagamento chegar por telefone, video ou aplicativo de mensagens, ela deve passar por uma verificacao obrigatoria em um canal independente: retorne a ligacao usando um numero do diretorio interno, nao aquele fornecido na solicitacao.

Segundo, limite decisoes individuais. Transferencias grandes ou fora do padrao devem exigir a aprovacao de duas pessoas, sendo que uma delas nao pode estar sob a pressao da solicitacao especifica. Novos dados bancarios e urgencia sem explicacao devem ser tratados como sinais de alerta.

Terceiro, treine os funcionarios com cenarios realistas. O esquema se baseava na sequencia “executivo mais advogado”, por isso os treinamentos devem ensinar as equipes a desconfiar exatamente dessas combinacoes. Se voce desenvolve um produto para financas, RH ou suporte, considere controles integrados: um periodo de espera antes da primeira transferencia para uma nova conta, alertas sobre dados bancarios externos e um registro de aprovacoes.

Limitacoes

Por enquanto, sao acusacoes, nao uma condenacao. O comunicado nao revela quais ferramentas os acusados teriam usado, se as vozes eram falsificadas em tempo real ou se as gravacoes eram preparadas antecipadamente, nem o nivel de qualidade do resultado. E perfeitamente possivel que parte do sucesso tenha vindo nao de deepfakes perfeitos, mas de um roteiro convincente e do cansaco das vitimas. Ainda assim, a conclusao nao muda: quando a falsificacao custa pouco, a protecao deve se apoiar em processos, nao na intuicao dos funcionarios.