Estafadores clonaron con IA a directores generales y robaron 129 millones de dólares

La voz al teléfono sonaba como la del jefe, y el abogado que llamó después parecía socio de uno de los bufetes más grandes del mundo. Según los fiscales federales de Manhattan, ninguno de los dos era real. Afirman que tres hombres usaron inteligencia artificial para imitar a directores ejecutivos y abogados, y convencieron al personal contable de hospitales, bancos y otras empresas de transferir dinero para operaciones confidenciales que nunca existieron. El dinero se convirtió en criptomonedas y se repartió entre los conspiradores.

El caso va mucho más allá de las empresas que perdieron dinero. Nadie se infiltró en una computadora. La estafa se apoyó en algo que casi todos los trabajadores de oficina hacen sin pensarlo: confiar en una voz conocida que pide ayuda. Los discursos de un director ejecutivo, sus llamadas sobre resultados financieros y sus participaciones en paneles de conferencias son públicos, y el software para clonar voces puede funcionar con ese tipo de audio. Si un estafador puede sonar como tu jefe, una llamada telefónica ya no demuestra quién está al otro lado.

La acusación formal, presentada ante el Tribunal de Distrito de Estados Unidos para el Distrito Sur de Nueva York, imputa a Jacob Soall, de 41 años, residente de Marbella, España, y del Reino Unido; Sharon Hazan, de 54 años, de Israel; y Guy Sheetrit, de 42 años, de Israel y los Emiratos Árabes Unidos. Cada uno enfrenta siete cargos, entre ellos conspiración para cometer fraude electrónico, robo agravado de identidad y lavado de dinero. Los fiscales afirman que el grupo obtuvo aproximadamente US$129 millones de empresas de Estados Unidos y otros países.

Según la acusación, el guion casi nunca cambiaba. A menudo empezaba con un correo electrónico enviado mediante un servicio de firma electrónica como DocuSign, aparentemente por el propio director ejecutivo de la empresa objetivo, en el que pedía ayuda con una operación secreta y adjuntaba un acuerdo de confidencialidad. Después venían las llamadas, durante las cuales los conspiradores presuntamente usaban IA para imitar la voz del ejecutivo y, en ocasiones, también su rostro. El falso director ejecutivo ponía al empleado en contacto con un falso abogado, que por lo general usaba el nombre de un abogado real de la oficina europea de uno de los 50 bufetes más importantes. Según los fiscales, Soall llevaba un guion manuscrito titulado “Lawyer Call” que recurría a la confidencialidad y a las normas contra el uso de información privilegiada para impedir que los empleados hablaran con sus colegas.

Las víctimas no aparecen identificadas, pero las pérdidas enumeradas en los documentos de acusación parecen representar distintos sectores de la economía. Un sistema hospitalario de Misuri transfirió US$4,829,580. Un banco de Rhode Island perdió US$2,684,580 y un sistema hospitalario de California, US$2,968,497. Una empresa británica de tecnología financiera perdió US$11,578,474; una compañía de fondos mutuos de Massachusetts, US$4,639,918; y una empresa de alimentos para mascotas de Florida, US$5,242,747. El dinero pasó por cuentas en Estados Unidos, España, Portugal, Grecia, los Emiratos Árabes Unidos, Singapur, Austria, Eslovaquia y China antes de convertirse en criptomonedas.

Uno de los objetivos logró evitar la pérdida. En un importante banco de inversión de Nueva York, un empleado aprobó un pago de aproximadamente US$2.85 millones, pero el área de operaciones del banco detuvo la transferencia antes de que saliera, según los fiscales. La defensa que funcionó fue que otra persona revisara la operación, no un detector de deepfakes.

La parte de IA es más nueva que el delito. El anuncio del Departamento de Justicia llama a las herramientas “superinteligencia”, mientras que la acusación formal habla de inteligencia artificial; además, nada en los documentos públicos apunta a algo más que herramientas comerciales para clonar voces y rostros. El resto sigue un método conocido: correos electrónicos falsos de directivos, dinero transferido a través de cuentas en varios países y, después, lavado. Los fiscales afirman que Hazan, condenado por conspiración para cometer fraude bancario en el mismo tribunal en 2008, se jactaba de haber lavado más de US$400 millones en tres años y de ser “el número uno en todo el mundo”. Se trata de acusaciones; ninguno de los tres ha sido condenado, y los fiscales no han dicho cuánto dinero se ha recuperado ni qué herramientas de clonación se utilizaron.

Las empresas ya anticipaban este tipo de estafas. La firma de ingeniería Arup perdió alrededor de US$25 millones en 2024, después de que un empleado en Hong Kong participara en una videollamada en la que los demás asistentes eran deepfakes. Las recomendaciones habituales no han cambiado: devolver la llamada al directivo a un número que ya se tenga, exigir la aprobación de una segunda persona para las transferencias grandes y considerar las exigencias de secreto como una señal de alerta. “Aliento a las personas y a la comunidad empresarial a considerar cuál es la mejor manera de protegerse de la amenaza emergente de los delitos facilitados por la superinteligencia”, dijo Jamie McDonald, fiscal federal de Estados Unidos.

La presunta conspiración se extendió al menos desde julio de 2024 hasta febrero de 2026. Soall fue arrestado en España el 17 de junio y Hazan, también en España, el 5 de agosto; Sheetrit fue arrestado en el Reino Unido el 7 de septiembre. La acusación formal se hizo pública durante la primera semana de noviembre, y las solicitudes de extradición de los tres siguen pendientes. Tanto el fraude electrónico como el lavado de dinero pueden castigarse con hasta 20 años de prisión, y el FBI pide a otras posibles víctimas que se comuniquen con la agencia a través de su página para enviar información.

El banco que conservó su dinero no tenía una IA mejor. Tenía a alguien en el área de operaciones que revisó la transferencia antes de que saliera.

Etiquetas: Folarin Balogun, Baker Mayfield, Meghan Markle, ciberseguridad, deepfakes, clonación de voz