Vozes de CEO clonadas com IA roubaram 129 milhões de dólares a hospitais e bancos

A voz ao telefone parecia ser a do chefe, e o advogado que ligou a seguir soava como um sócio de uma das maiores sociedades de advogados do mundo. Segundo os procuradores federais em Manhattan, nenhum dos dois era quem parecia ser. Dizem que três homens recorreram à inteligência artificial para imitar diretores executivos e advogados, convencendo funcionários da contabilidade de hospitais, bancos e outras empresas a transferir dinheiro para negócios confidenciais que nunca existiram. O dinheiro foi convertido em criptomoedas e dividido entre os conspiradores.

O caso vai muito além das empresas que perderam dinheiro. Ninguém invadiu um computador. O esquema assentou em algo que quase todos os trabalhadores de escritório fazem sem pensar: confiar numa voz familiar que pede ajuda. Os discursos, as chamadas sobre resultados financeiros e as participações em painéis de conferências de um diretor executivo são públicos, e o software de clonagem de voz pode usar esse tipo de gravação. Se um burlão conseguir soar como o seu chefe, um telefonema deixa de provar quem está do outro lado.

A acusação, apresentada no Distrito Sul de Nova Iorque, imputa crimes a Jacob Soall, de 41 anos, residente em Marbella, Espanha, e no Reino Unido; Sharon Hazan, de 54 anos, de Israel; e Guy Sheetrit, de 42 anos, de Israel e dos Emirados Árabes Unidos. Cada um enfrenta sete acusações, incluindo conspiração para cometer fraude eletrónica, roubo de identidade agravado e branqueamento de capitais. Os procuradores dizem que o grupo obteve cerca de 129 milhões de dólares de empresas nos Estados Unidos e no estrangeiro.

Segundo a acusação, o guião pouco mudava. Muitas vezes, tudo começava com um e-mail enviado através de um serviço de assinatura eletrónica, como o DocuSign, aparentemente pelo próprio diretor executivo da empresa visada, a pedir ajuda com uma transação secreta e a anexar um acordo de confidencialidade. Seguiam-se os telefonemas, nos quais os conspiradores terão usado IA para imitar a voz do diretor executivo e, por vezes, também o seu rosto. O falso CEO passava o funcionário a um falso advogado, que geralmente usava o nome de um advogado verdadeiro do escritório europeu de uma sociedade de advogados entre as 50 maiores. Soall, dizem os procuradores, guardava um guião manuscrito intitulado “Lawyer Call”, que invocava a confidencialidade e as regras contra o abuso de informação privilegiada para impedir os funcionários de falar com colegas.

As vítimas não são identificadas, mas os prejuízos enumerados nos documentos da acusação abrangem vários setores da economia. Um grupo hospitalar do Missouri transferiu 4 829 580 dólares. Um banco de Rhode Island perdeu 2 684 580 dólares e um grupo hospitalar da Califórnia, 2 968 497 dólares. Uma empresa britânica de tecnologia financeira perdeu 11 578 474 dólares, uma empresa de fundos de investimento do Massachusetts, 4 639 918 dólares, e uma empresa de alimentação para animais da Florida, 5 242 747 dólares. Antes de serem convertidos em criptomoedas, os fundos passaram por contas nos Estados Unidos, em Espanha, Portugal, Grécia, nos Emirados Árabes Unidos, em Singapura, na Áustria, na Eslováquia e na China.

Uma das tentativas não resultou. Num grande banco de investimento de Nova Iorque, um funcionário autorizou um pagamento de cerca de 2,85 milhões de dólares, mas a área de operações do banco travou a transferência antes de esta ser efetuada, dizem os procuradores. A defesa que funcionou foi um segundo par de olhos humanos, não um detetor de deepfakes.

A utilização de IA é mais recente do que o crime. O comunicado do Departamento de Justiça chama às ferramentas “superintelligence”, enquanto a acusação se refere a inteligência artificial, e nada nos documentos públicos aponta para algo além de ferramentas comerciais de clonagem de voz e rosto. O resto é um esquema antigo: e-mails falsos de executivos, dinheiro transferido através de contas em vários países e, depois, branqueamento de capitais. Os procuradores dizem que Hazan, condenado por conspiração para cometer fraude bancária no mesmo tribunal em 2008, se gabava de ter branqueado mais de 400 milhões de dólares em três anos e de ser “o número um em todo o mundo”. São alegações; nenhum dos três foi condenado, e os procuradores não disseram quanto dinheiro foi recuperado nem que ferramentas de clonagem foram usadas.

As empresas já estavam prevenidas para este tipo de fraude. A empresa de engenharia Arup perdeu cerca de 25 milhões de dólares em 2024, depois de um funcionário em Hong Kong participar numa videochamada em que os outros participantes eram deepfakes. Os conselhos habituais mantêm-se: ligar de volta ao executivo para um número que já tenha, exigir uma segunda autorização para transferências avultadas e encarar os pedidos de segredo como um sinal de alerta. “Incentivo as pessoas e a comunidade empresarial a ponderarem a melhor forma de se protegerem da ameaça emergente da criminalidade facilitada por SI”, afirmou Jamie McDonald, procurador federal dos EUA.

A alegada conspiração decorreu pelo menos entre julho de 2024 e fevereiro de 2026. Soall foi detido em Espanha a 17 de junho e Hazan, também em Espanha, a 5 de agosto; Sheetrit foi detido no Reino Unido a 7 de setembro. A acusação foi tornada pública na primeira semana de novembro, e os pedidos de extradição dos três continuam pendentes. A fraude eletrónica e o branqueamento de capitais são puníveis, cada um, com uma pena máxima de 20 anos de prisão, e o FBI está a pedir a outras possíveis vítimas que se apresentem através da sua página de denúncias.

O banco que conseguiu proteger o seu dinheiro não tinha uma IA melhor. Tinha alguém na área de operações que verificou a transferência antes de esta ser efetuada.

Etiquetas: Folarin Balogun, Baker Mayfield, Meghan Markle, cibersegurança, deepfakes, clonagem de voz