مهر
اخبار
کلاهبرداری ۹۵ میلیون یورویی با کلون صدای هوش مصنوعی؛ بانک Fideuram چگونه فریب خورد؟
گزارش‌ها می‌گویند مهاجمان با یک پیام واتس‌اپ و یک تماس تلفنی با صدای ساخته‌شده توسط هوش مصنوعی، بانک خصوصی Fideuram ایتالیا را فریب دادند و حدود ۹۵ میلیون یورو را به حساب‌های خارجی منتقل کردند؛ آن هم بدون هک کردن حتی یک سیستم.
لیست مطالب
۱. ماجرا چیست و چه چیزی گزارش شده است؟
خبر کلاهبرداری از بانک Fideuram نخست در اواخر سپتامبر ۲۰۲۶ در رسانه‌های ایتالیایی و بین‌المللی منتشر شد و این هفته دوباره در صدر خبرهای امنیت هوش مصنوعی آمد. Fideuram بخش بانکداری خصوصی گروه Intesa Sanpaolo، بزرگ‌ترین بانک ایتالیا، است و مشتریان آن عمدتاً ثروتمندان و سرمایه‌گذاران بزرگ هستند. رقم گزارش‌شده برای تراکنش‌های کلاهبردارانه حدود ۹۵ میلیون یورو است که تقریباً معادل ۱۰۸ میلیون دلار می‌شود.
طبق همین گزارش‌ها، حمله در فوریه ۲۰۲۶ رخ داده و ماه‌ها بعد افشا شده است. چند رسانه نوشته‌اند رئیس وقت هیئت‌مدیره‌ی بانک، پائولو مولسینی، حدود یک ماه بعد از ماجرا استعفا داد، هرچند علت رسمی استعفا اعلام نشده و نباید رابطه‌ی قطعی بین این دو رویداد فرض کرد.
مهم است که بدانیم بخش زیادی از جزئیات از منابع ناشناس و گزارش‌های رسانه‌ای آمده است و بانک یا گروه مادر اظهارنظر تفصیلی نکرده‌اند. به همین دلیل بعضی ارقام، مثل مبلغ بازیابی‌شده، بین منابع کمی متفاوت است و ما در این مقاله هر جا اختلافی هست آن را صریح می‌گوییم.
۲. حمله مرحله‌به‌مرحله: از واتس‌اپ تا تماس ساختگی
روایت رایج این است که کلاهبرداران در گام اول یک پیام واتس‌اپ فرستادند که ظاهراً از طرف مدیرعامل گروه Intesa Sanpaolo، کارلو مسینا، بود. در پیام گفته می‌شد یک تراکنش بزرگ خارجی در راه است و به کمک فوری نیاز دارد. این همان الگوی کلاسیک «کلاهبرداری مدیرعامل» (CEO Fraud) است: فشار زمانی، محرمانگی و دستور از بالا.
در گام دوم، تماس تلفنی انجام شد. بر اساس گزارش‌ها، صدای پشت خط انسان واقعی نبود و با هوش مصنوعی شبیه‌سازی شده بود. بعضی منابع می‌گویند صدا شبیه مدیرعامل بود و منابع دیگر از صدای یک شریک ارشد یک شرکت حقوقی سخن گفته‌اند که حرف‌های پیام را تأیید می‌کرد. این اختلاف نشان می‌دهد هنوز همه‌ی جزئیات روشن نیست؛ اما اصل ماجرا یکی است: ترکیب پیام و صدای جعلی اعتماد قربانی را کامل کرد.
۳. پول به کجا رفت و چقدر برگشت؟
پس از تأیید، تراکنش‌ها به حساب‌هایی در چند کشور، از جمله چین و هنگ‌کنگ، انجام شد. تیم بانک کمی بعد رفتار غیرعادی را دید و به بانک‌های دریافت‌کننده هشدار داد. گزارش‌ها از همکاری مقام‌ها و بانک‌های ایتالیا، پرتغال و چین برای مسدود کردن بخشی از وجه حکایت دارند.
رقم بازیابی‌شده در منابع مختلف متفاوت است: یک گزارش حدود ۵۳ میلیون یورو و گزارش دیگر حدود ۵۹ میلیون یورو را نوشته است. در نتیجه مبلغ باقی‌مانده بین ۳۶ تا ۴۲ میلیون یورو برآورد می‌شود. این بخش طبق همین گزارش‌ها از مسیر شبکه‌ای پیچیده از حساب‌های خارجی عبور کرده و به ارز دیجیتال تبدیل شده که ردیابی آن را دشوار می‌کند.
نقش سرعت در بازیابی پول
این پرونده یک درس عملی هم دارد: هرچه گزارش تراکنش مشکوک سریع‌تر به بانک‌های مقصد برسد، شانس مسدودسازی بیشتر است. وقتی پول وارد زنجیره‌ی ارز دیجیتال شود، بازگرداندن آن بسیار سخت می‌شود.
۴. چرا این حمله «هک» نبود؟
گروه Intesa Sanpaolo اعلام کرده که هیچ سیستم فناوری اطلاعاتی هک نشده است. این جمله مهم‌ترین نکته‌ی پرونده است. مهاجمان نیازی به شکستن رمز، نصب بدافزار یا نفوذ به سرور نداشتند؛ ابزار آن‌ها فقط اعتماد انسانی بود. هوش مصنوعی در این میان نقش تقویت‌کننده را بازی کرد: ساخت صدایی که قابل‌باور باشد، دیگر نیاز به استودیو یا مهارت خاص ندارد.
پژوهشگران امنیتی مدتی است هشدار می‌دهند که ابزارهای شبیه‌سازی صدا با چند ثانیه نمونه‌ی صوتی، که از مصاحبه، وبینار یا شبکه‌های اجتماعی به‌دست می‌آید، می‌توانند صدای هر مدیر را بازسازی کنند. اگر در مورد روند پیشرفت این فناوری کنجکاوید، مقاله‌ی توانایی‌ها و محدودیت‌های واقعی هوش مصنوعی دید روشن‌تری می‌دهد.
۵. هوش مصنوعی چطور کلاهبرداری را ارزان و مقیاس‌پذیر می‌کند؟
پیش از این، جعل صدای یک فرد مشخص کاری وقت‌گیر و نیازمند تخصص بود. امروز ابزارهای تجاری و متن‌باز صدا را در چند دقیقه شبیه‌سازی می‌کنند و در تماس زنده هم می‌توانند لحن و مکث را تقلید کنند. نتیجه این است که هزینه‌ی هر تلاش کلاهبرداری پایین آمده و مهاجم می‌تواند ده‌ها مدیر را هدف بگیرد، حتی اگر فقط یکی‌شان فریب بخورد.
از سوی دیگر، اطلاعات لازم برای ساختن سناریو هم عمومی است: ساختار سازمانی در لینکدین، نام مدیران در رسانه‌ها و ریتم کاری آن‌ها در گزارش‌ها. هوش مصنوعی فقط حلقه‌ی آخر، یعنی صدای قانع‌کننده، را اضافه می‌کند. برای درک بهتر اینکه هوش مصنوعی در کسب‌وکار چه مزایا و چه ریسک‌هایی دارد، مقاله‌ی اهمیت هوش مصنوعی در کسب‌وکار را ببینید.
چرا افراد باهوش هم فریب می‌خورند؟
مغز ما به صدا اعتماد ذاتی دارد. وقتی صدای آشنا درخواستی فوری و محرمانه مطرح می‌کند، بخش تحلیلی ذهن عقب می‌نشیند. مهاجمان از همین نقطه‌ی ضعف استفاده می‌کنند و با ایجاد فشار زمانی فرصت بازبینی را می‌گیرند.
۶. پیام‌های این پرونده برای بانک‌ها و شرکت‌ها
پرونده‌ی Fideuram تنها یک اتفاق ایتالیایی نیست؛ الگوی آن برای هر سازمانی که پرداخت‌های بزرگ انجام می‌دهد قابل تکرار است. چند اصل مهم عبارت‌اند از:
- برای هر انتقال بالاتر از سقف مشخص، تأیید دومرحله‌ای با دو نفر مستقل الزامی باشد، حتی اگر درخواست از بالاترین مقام بیاید.
- هیچ تراکنشی صرفاً بر اساس پیام یا تماس تأیید نشود؛ تماس برگشتی روی شماره‌ی ثبت‌شده‌ی قبلی انجام شود.
- برای مدیران ارشد یک «کلمه‌ی رمز» یا پرسش تأییدی داخلی تعریف شود که در رسانه‌ها پیدا نشود.
- کانال‌های غیررسمی مثل واتس‌اپ برای دستور مالی ممنوع یا حداقل غیرمعتبر اعلام شود.
- آموزش دوره‌ای کارکنان با سناریوهای واقعی دیپ‌فیک برگزار شود.
در سطح فنی هم ابزارهای تشخیص صدای مصنوعی در حال رشد هستند، اما هنوز قابل‌اتکای کامل نیستند. بنابراین مهم‌ترین دفاع، فرایند است نه فناوری. اگر دوست دارید بدانید چگونه از هوش مصنوعی ایمن و موثر استفاده کنیم، راهنمای نوشتن پرامپت برای مبتدیان نقطه‌ی شروع خوبی است.
۷. این ماجرا برای کاربران عادی چه معنایی دارد؟
فقط بانک‌ها هدف نیستند. همین الگو در قالب «تماس از طرف فرزند یا همسر که پول فوری می‌خواهد» یا «پیام صوتی از دوست» علیه افراد عادی هم استفاده می‌شود. توصیه‌ی ساده‌ی کارشناسان این است که با خانواده یک کلمه‌ی رمز خصوصی تعیین کنید و هنگام درخواست پول فوری، حتماً با شماره‌ی شناخته‌شده تماس بگیرید.
همچنین نمونه‌های صوتی عمومی خود را کم کنید: ویدیوهای طولانی با صدای شفاف، منبع عالی برای شبیه‌سازی هستند. این به معنای ترک شبکه‌های اجتماعی نیست، بلکه یعنی آگاه باشید که صدای شما هم یک داده‌ی قابل‌سوءاستفاده است. برای ادامه‌ی مطالعه در این حوزه به آرشیو اخبار هوش مصنوعی سر بزنید.
۸. نگاه حقوقی و نظارتی؛ چه چیزی در راه است؟
دادستان‌های میلان، طبق گزارش‌ها، در حال بررسی پرونده هستند و یک فرد خارج از اتحادیه‌ی اروپا به اتهام کلاهبرداری رایانه‌ای مورد بررسی قرار گرفته است. اگر این اطلاعات درست باشد، پیگیری بین‌المللی آن سال‌ها طول می‌کشد؛ چون پول از چند حوزه‌ی قضایی عبور کرده است.
در سطح قانون‌گذاری، اتحادیه‌ی اروپا و کشورهای دیگر در حال بحث درباره‌ی الزام برچسب‌گذاری محتوای مصنوعی و مسئولیت ارائه‌دهندگان ابزارهای شبیه‌سازی صدا هستند. تا زمانی که این قوانین عملیاتی شوند، بار اصلی دفاع روی دوش سازمان‌هاست. برای آشنایی بیشتر با مفهوم شرکت‌های بزرگ این حوزه، OpenAI چیست؟ را بخوانید، و برای دیدن دسته‌بندی آموزش‌های کاربردی به آموزش‌های چت‌جی‌پی‌تی مراجعه کنید.
۹. راهنمای سریع: اگر تماس مشکوک گرفتید چه کنید؟
اولین قدم این است که مکالمه را قطع کنید و فشار زمانی را جدی نگیرید. کلاهبردار همیشه عجله دارد، چون می‌داند هر دقیقه تأخیر احتمال لو رفتن را بالا می‌برد. سپس با شماره‌ی ثبت‌شده‌ی رسمی همان فرد تماس بگیرید و درخواست را از مسیر دیگری تأیید کنید.
در گام بعد، پرسشی بپرسید که فقط خود شخص جواب آن را می‌داند، مثل جزئیات جلسه‌ی هفته‌ی گذشته. در نهایت، موضوع را فوراً به تیم امنیت یا مدیر مستقیم گزارش دهید تا اگر هدف حمله بعدی هم‌کار دیگری باشد، پیش از خسارت هشدار داده شود. ثبت زمان، شماره و متن پیام‌ها هم به پیگیری حقوقی کمک بزرگی می‌کند.
۱۰. پرسش‌های متداول (FAQ)
آیا بانک Fideuram هک شد؟
خیر. گروه Intesa Sanpaolo اعلام کرده سیستم‌های فناوری اطلاعات هک نشده‌اند. حمله مبتنی بر مهندسی اجتماعی و فریب انسان بود، نه نفوذ فنی.
چقدر از پول برگشت؟
گزارش‌ها متفاوت است: حدود ۵۳ تا ۵۹ میلیون یورو از مجموع ۹۵ میلیون بازیابی شده و بقیه احتمالاً به ارز دیجیتال تبدیل شده است.
کلون صدا با هوش مصنوعی چقدر آسان است؟
با ابزارهای امروزی و چند ثانیه نمونه‌ی صوتی، ساخت صدایی نسبتاً قانع‌کننده امکان‌پذیر است. به همین دلیل نباید فقط به صدا برای تأیید هویت تکیه کرد.
چطور می‌توان از چنین کلاهبرداری‌هایی جلوگیری کرد؟
با تأیید چندمرحله‌ای، تماس برگشتی، کلمه‌ی رمز داخلی، محدود کردن دستورهای مالی از کانال‌های غیررسمی و آموزش مداوم کارکنان.
نسخهٔ فوری این مطلب در تلگرام: اینجا بخوانید
