El banco privado italiano Fideuram sufrió una sofisticada estafa en la que ciberdelincuentes utilizaron inteligencia artificial para clonar la voz de directivos y de un abogado, logrando que la entidad transfiriera 95 millones de euros a cuentas controladas por los atacantes.
El fraude comenzó cuando Paolo Molesini, entonces presidente de Fideuram, recibió un mensaje de WhatsApp supuestamente enviado por Carlo Messina, consejero delegado de la matriz Intesa Sanpaolo, solicitando ayuda para una operación internacional urgente. Posteriormente recibió una llamada cuya voz parecía pertenecer al abogado Paolo Nastasi, socio de A&O Shearman Italia, quien confirmó la legitimidad de la operación. En realidad, la voz había sido clonada mediante IA.
Para aumentar la credibilidad del engaño, los delincuentes enviaron 11 documentos falsificados, incluidos acuerdos de confidencialidad y poderes notariales aparentemente firmados por los responsables implicados. Convencido de la autenticidad de la operación, el banco realizó varias transferencias a cuentas situadas en China y Hong Kong.
Cuando la entidad detectó anomalías, alertó rápidamente a bancos y autoridades internacionales, lo que permitió recuperar 53 millones de euros. Sin embargo, 36 millones siguen desaparecidos, en parte porque fueron convertidos en criptomonedas, dificultando su rastreo.
Las autoridades italianas investigan además intentos similares contra otras organizaciones. El caso refleja el creciente uso de técnicas de deepfake de voz combinadas con ataques de Business Email Compromise (BEC) para engañar a empleados y directivos y provocar transferencias fraudulentas de grandes cantidades de dinero.
Riesgos asociados
- Fraude financiero de gran impacto.
- Suplantación de identidad.
- Compromiso de procesos empresariales.
- Pérdida de información confidencial.
- Daño reputacional.
- Dificultad para detectar el fraude.
- Blanqueo y ocultación de fondos mediante criptomonedas.
- Incremento de ataques dirigidos.
Medidas de protección para la ciudadanía
- Desconfiar de solicitudes urgentes de dinero.
- Verificar la identidad por un canal alternativo.
- Establecer una palabra o frase de seguridad familiar.
- Limitar las grabaciones de voz públicas.
- No compartir datos personales por teléfono.
- Activar medidas adicionales de seguridad bancaria.
- Sospechar de comunicaciones acompañadas de presión emocional.
- Mantenerse informado sobre nuevas modalidades de fraude.
- Actuar rápidamente ante una sospecha.
Medidas de protección para PYMES
- Implantar un proceso de doble verificación para pagos.
- No confiar únicamente en llamadas o mensajes de voz.
- Formar al personal en amenazas de IA y deepfakes.
- Establecer protocolos para solicitudes urgentes.
- Proteger la información pública de directivos.
- Aplicar autenticación multifactor (MFA).
- Supervisar cambios de cuentas bancarias.
- Crear canales de reporte rápido.
- Realizar simulacros de ingeniería social.
- Disponer de un plan de respuesta ante incidentes.
Fuente: escudodigital.com
