Giọng CEO nhân bản bằng AI lừa bệnh viện và ngân hàng 129 triệu USD

Giọng nói trong cuộc gọi nghe y như sếp, còn người luật sư gọi đến sau đó lại giống một cộng sự tại một trong những hãng luật lớn nhất thế giới. Theo các công tố viên liên bang ở Manhattan, cả hai đều là giả. Họ cáo buộc ba người đàn ông dùng trí tuệ nhân tạo để bắt chước giọng các CEO và luật sư, rồi thuyết phục nhân viên kế toán ở bệnh viện, ngân hàng và những công ty khác chuyển tiền cho các thương vụ bí mật không hề tồn tại. Số tiền này được đổi thành tiền mã hóa rồi chia cho những kẻ cùng thực hiện âm mưu.

Vụ án ảnh hưởng vượt xa phạm vi các công ty bị mất tiền. Không ai đột nhập vào máy tính. Âm mưu dựa vào một việc mà hầu như nhân viên văn phòng nào cũng làm mà không cần suy nghĩ: tin vào giọng nói quen thuộc đang nhờ mình giúp đỡ. Các bài phát biểu, cuộc gọi công bố kết quả kinh doanh và những buổi tọa đàm có CEO tham gia đều được công khai, và phần mềm nhân bản giọng nói có thể hoạt động dựa trên những loại âm thanh như vậy. Nếu kẻ lừa đảo có thể nói giống quản lý của bạn, một cuộc gọi điện thoại không còn chứng minh được người ở đầu dây bên kia là ai.

Bản cáo trạng được nộp tại Địa hạt phía Nam New York buộc tội Jacob Soall, 41 tuổi, sống ở Marbella, Tây Ban Nha và Vương quốc Anh; Sharon Hazan, 54 tuổi, người Israel; và Guy Sheetrit, 42 tuổi, người Israel và Các Tiểu vương quốc Ả Rập Thống nhất. Mỗi người đối mặt với bảy cáo buộc, trong đó có âm mưu gian lận qua phương tiện điện tử, đánh cắp danh tính nghiêm trọng và rửa tiền. Các công tố viên cho biết nhóm này đã lấy khoảng 129 triệu USD từ các công ty ở Mỹ và nước ngoài.

Theo bản cáo trạng, kịch bản hầu như không thay đổi. Mọi việc thường bắt đầu bằng một email gửi qua dịch vụ ký tên điện tử như DocuSign, có vẻ như do chính CEO của mục tiêu gửi, yêu cầu giúp thực hiện một giao dịch bí mật và đính kèm thỏa thuận bảo mật thông tin. Sau đó là các cuộc gọi, trong đó những kẻ bị cáo buộc dùng AI để bắt chước giọng nói và đôi khi cả khuôn mặt của vị CEO. CEO giả chuyển máy cho một luật sư giả, thường mượn tên một luật sư có thật tại văn phòng châu Âu của một hãng luật thuộc nhóm 50 công ty hàng đầu. Các công tố viên cho biết Soall giữ một kịch bản viết tay có tiêu đề “Lawyer Call” (Cuộc gọi của luật sư), viện dẫn tính bảo mật và các quy định về giao dịch nội gián để ngăn nhân viên trao đổi với đồng nghiệp.

Danh tính các nạn nhân không được nêu, nhưng những khoản thiệt hại trong hồ sơ truy tố phản ánh đủ nhiều lĩnh vực của nền kinh tế. Một hệ thống bệnh viện ở Missouri đã chuyển 4.829.580 USD. Một ngân hàng ở Rhode Island mất 2.684.580 USD, còn một hệ thống bệnh viện ở California mất 2.968.497 USD. Một công ty công nghệ tài chính của Anh mất 11.578.474 USD, một công ty quỹ tương hỗ ở Massachusetts mất 4.639.918 USD và một công ty thức ăn cho thú cưng ở Florida mất 5.242.747 USD. Tiền được chuyển vào các tài khoản ở Mỹ, Tây Ban Nha, Bồ Đào Nha, Hy Lạp, UAE, Singapore, Áo, Slovakia và Trung Quốc trước khi được đổi thành tiền mã hóa.

Có một mục tiêu đã thoát nạn. Tại một ngân hàng đầu tư lớn ở New York, một nhân viên phê duyệt khoản thanh toán khoảng 2,85 triệu USD, nhưng bộ phận xử lý giao dịch của ngân hàng đã chặn lệnh chuyển tiền trước khi nó được thực hiện, theo các công tố viên. Biện pháp phòng vệ phát huy tác dụng là có thêm một người kiểm tra, chứ không phải công cụ phát hiện deepfake.

Phần AI mới hơn bản thân tội ác. Thông cáo của Bộ Tư pháp gọi các công cụ này là “siêu trí tuệ”, trong khi bản cáo trạng chỉ nhắc đến trí tuệ nhân tạo; các hồ sơ công khai cũng không cho thấy nhóm này sử dụng công nghệ nào vượt quá những công cụ nhân bản giọng nói và khuôn mặt có sẵn trên thị trường. Phần còn lại chỉ là thủ đoạn cũ: email giả danh lãnh đạo, tiền được luân chuyển qua tài khoản ở nhiều quốc gia rồi đem đi rửa. Các công tố viên cho biết Hazan, người từng bị kết án âm mưu gian lận ngân hàng tại chính tòa án này vào năm 2008, khoe rằng đã rửa hơn 400 triệu USD trong ba năm và là “số một trên toàn thế giới”. Đây mới chỉ là những cáo buộc; chưa ai trong ba người bị kết án, và các công tố viên chưa cho biết đã thu hồi được bao nhiêu tiền hoặc những công cụ nhân bản nào đã được sử dụng.

Các công ty đã lường trước nguy cơ này. Công ty kỹ thuật Arup mất khoảng 25 triệu USD vào năm 2024, sau khi một nhân viên ở Hong Kong tham gia cuộc gọi video mà những người còn lại đều là deepfake. Lời khuyên cơ bản vẫn không thay đổi: gọi lại cho lãnh đạo qua số điện thoại bạn đã lưu từ trước, yêu cầu người thứ hai phê duyệt các khoản chuyển tiền lớn và xem những yêu cầu giữ bí mật là dấu hiệu đáng ngờ. “Tôi khuyến khích mỗi cá nhân và cộng đồng doanh nghiệp cân nhắc cách tốt nhất để tự bảo vệ trước mối đe dọa mới nổi từ tội phạm được hỗ trợ bởi SI,” Công tố viên Mỹ Jamie McDonald nói.

Âm mưu bị cáo buộc diễn ra ít nhất từ tháng 7 năm 2024 đến tháng 2 năm 2026. Soall bị bắt ở Tây Ban Nha ngày 17 tháng 6, Hazan bị bắt tại đây ngày 5 tháng 8, còn Sheetrit bị bắt ở Vương quốc Anh ngày 7 tháng 9. Bản cáo trạng được công bố trong tuần đầu tiên của tháng 11, và các yêu cầu dẫn độ cả ba người vẫn đang chờ xử lý. Tội gian lận qua phương tiện điện tử và rửa tiền đều có mức án tối đa 20 năm tù; FBI đang kêu gọi những nạn nhân tiềm năng khác trình báo qua trang tiếp nhận thông tin của cơ quan này.

Ngân hàng giữ được tiền không phải vì sở hữu AI tốt hơn. Họ có một người ở bộ phận xử lý giao dịch kiểm tra lệnh chuyển tiền trước khi nó được gửi đi.

Thẻ: Folarin Balogun, Baker Mayfield, Meghan Markle, an ninh mạng, deepfake, Bộ Tư pháp Mỹ, nhân bản giọng nói