Sztuczna inteligencja pomogła oszustom wyłudzić aż 95 mln euro od jednego z największych włoskich banków prywatnych. Przestępcy wykorzystali fałszywą wiadomość na WhatsAppie oraz sklonowany przez AI głos prawnika, aby przekonać prezesa Fideuram, że otrzymał prawdziwe polecenie dotyczące pilnego transferu pieniędzy. Większość środków udało się odzyskać, ale około 36 mln euro wciąż pozostaje poza zasięgiem banku.
Wiadomość od szefa banku, która nigdy nie została wysłana
Do oszustwa doszło w lutym 2026 roku. Paolo Molesini, ówczesny przewodniczący Fideuram, otrzymał wiadomość na WhatsAppie, która wyglądała tak, jakby pochodziła od Carlo Messiny, prezesa Intesa Sanpaolo.
Fideuram jest prywatną częścią bankowej grupy Intesa Sanpaolo, jednego z największych banków we Włoszech. Wiadomość dotyczyła pilnej operacji finansowej związanej z zagranicznym transferem pieniędzy.
Sama wiadomość mogła jednak nie wystarczyć, aby przekonać do wykonania tak dużej transakcji. Oszuści zastosowali więc drugi element całej operacji.
Molesini otrzymał telefon od osoby, która miała być wysokiej rangi prawnikiem z dużej międzynarodowej kancelarii. Problem polegał na tym, że po drugiej stronie telefonu również nie znajdowała się osoba, za którą się podawała.
Przestępcy wykorzystali technologię klonowania głosu przy użyciu sztucznej inteligencji. Głos miał brzmieć jak głos prawnika znanego Molesiniemu, dzięki czemu fałszywa wiadomość z WhatsAppa otrzymała dodatkowe potwierdzenie.
Reuters, powołując się na osoby zaznajomione ze sprawą, podał, że to właśnie rozmowa telefoniczna miała uwiarygodnić wcześniejsze polecenie.
95 mln euro przelane za granicę
Po otrzymaniu wiadomości i rozmowie telefonicznej Molesini polecił działowi finansowemu Fideuram wykonanie serii przelewów.
Łącznie z banku wypłynęło około 95 mln euro. Pieniądze trafiły przede wszystkim na rachunki zagraniczne, m.in. w Chinach i Hongkongu.
Bank stosunkowo szybko wykrył nieprawidłowości i rozpoczął działania mające na celu zatrzymanie pieniędzy. W sprawę zaangażowane zostały instytucje oraz organy ścigania z kilku państw.
Międzynarodowa współpraca przyniosła rezultaty. Około 53 mln euro udało się odzyskać, m.in. dzięki działaniom prowadzonym we Włoszech, Portugalii i Chinach.
Pozostała część pieniędzy została jednak przetransferowana przez kolejne zagraniczne rachunki, a następnie zamieniona na kryptowaluty. Około 36 mln euro nadal pozostaje nieodzyskane.
To nie był zwykły phishing
Historia Fideuram pokazuje, dlaczego wykorzystanie AI zmienia charakter oszustw wykorzystujących podszywanie się pod inne osoby.
Klasyczny atak typu „CEO fraud” polega na tym, że przestępca podszywa się pod szefa firmy i nakłania pracownika do wykonania przelewu. W tym przypadku oszuści stworzyli jednak znacznie bardziej przekonującą historię.
Najpierw pojawiła się wiadomość wyglądająca jak komunikat od prezesa grupy bankowej. Następnie telefon od osoby, której głos ofiara znała. AI pozwoliło więc wykorzystać jednocześnie fałszywą tożsamość w komunikatorze oraz syntetyczny głos.
To ważna zmiana. Do tej pory głos rozmówcy był jednym z elementów, które mogły pomóc zweryfikować jego tożsamość. Teraz sama rozmowa telefoniczna nie musi już oznaczać, że po drugiej stronie znajduje się właściwa osoba.
Włoscy śledczy badają kolejne przypadki
Sprawa Fideuram nie jest przy tym odosobniona.
Włoska agencja ANSA poinformowała, że prokuratura w Mediolanie bada również dwa inne przypadki oszustw wykorzystujących podobny schemat. W jednym z nich menedżerka banku miała zostać nakłoniona do zatwierdzenia transakcji. Jej wartość sięgnęła około 24 mln euro. W drugim przypadku straty oszacowano na około 2 mln euro. W obu śledztwach pojawia się wykorzystanie wiadomości, poczty elektronicznej oraz technologii klonowania głosu.
Oznacza to, że włoscy śledczy mają obecnie do czynienia z kilkoma sprawami, w których AI jest wykorzystywana nie do włamania się bezpośrednio do systemów bankowych, ale do manipulowania ludźmi mającymi dostęp do pieniędzy.
To istotne rozróżnienie. Przestępcy nie muszą przełamywać zabezpieczeń informatycznych banku, jeżeli uda im się przekonać uprawnionego pracownika, że otrzymał prawdziwe polecenie.
36 mln euro zamienione na kryptowaluty
W przypadku Fideuram część pieniędzy udało się zatrzymać dzięki szybkiej reakcji banku i współpracy międzynarodowej. Pozostała kwota została jednak rozprowadzona po kolejnych rachunkach i ostatecznie zamieniona na kryptowaluty.
Włoska prokuratura prowadzi śledztwo w sprawie oszustwa komputerowego. Według Reutersa badany jest m.in. zagraniczny obywatel mieszkający poza Europą. Żaden z przedstawicieli Fideuram nie jest objęty śledztwem jako podejrzany.
Sam Molesini zrezygnował z funkcji przewodniczącego Fideuram w marcu, podając wówczas powody osobiste. Reuters zaznacza, że bank nie wiązał oficjalnie jego odejścia z opisanym oszustwem.
AI zaczyna atakować najsłabszy element systemu – człowieka
Przypadek Fideuram pokazuje jeszcze jeden problem związany z rozwojem sztucznej inteligencji.
Banki od lat inwestują ogromne środki w zabezpieczenia informatyczne, systemy wykrywania nietypowych transakcji i ochronę przed włamaniami. Tymczasem oszust nie musi pokonać żadnego z tych zabezpieczeń, jeżeli doprowadzi do tego, że uprawniony pracownik sam zatwierdzi przelew.
AI może w takim scenariuszu pełnić rolę narzędzia do budowania wiarygodności oszustwa. Fałszywa wiadomość może wyglądać jak prawdziwa, a głos rozmówcy może brzmieć jak głos osoby, którą ofiara zna i której ufa.
Dlatego w świecie, w którym dostępne są coraz lepsze narzędzia do tworzenia syntetycznego obrazu i głosu, potwierdzenie tożsamości wyłącznie na podstawie rozmowy telefonicznej może przestać być wystarczające.
Co istotne, problem nie dotyczy wyłącznie banków. Ten sam mechanizm można wykorzystać przeciwko firmom, księgowym, pracownikom działów finansowych, a nawet osobom prywatnym.
Jeszcze niedawno telefon od znajomego głosem znajomego był jednym z naturalnych sposobów potwierdzenia jego tożsamości. Dzisiaj głos może być elementem przygotowanej przez przestępców mistyfikacji.
W przypadku Fideuram koszt takiej manipulacji wyniósł 95 mln euro, z czego około 36 mln euro pozostaje nieodzyskane.
To pokazuje, że era oszustw wykorzystujących AI nie jest już scenariuszem na przyszłość. Jest już częścią rzeczywistości finansowej.
Źródła
- Oszustwo AI kosztowało włoski bank 95 mln euro – Reuters
- Włoska prokuratura bada kolejne oszustwa z wykorzystaniem AI – ANSA
- Materiały Banku Włoch dotyczące oszustw finansowych z wykorzystaniem AI
Foto: ChatGPT Image/AI.