Oszustwo na głos prezesa z AI. Zarzuty i 129 mln USD strat

Co zarzuca prokuratura w Nowym Jorku

Akt oskarżenia złożono w Sądzie Federalnym dla Południowego Dystryktu Nowego Jorku. Według niego oskarżeni i ich wspólnicy od co najmniej lipca 2024 roku do co najmniej lutego 2026 roku używali AI, aby podszywać się pod prezesów wielu firm i prawników z dużych kancelarii. Dokument podaje, że celem były tysiące firm, a łupem co najmniej ok. 129 mln USD.

Dokument zawiera siedem zarzutów, w tym zmowę w celu oszustwa, oszustwo z użyciem środków łączności, dwa zarzuty kwalifikowanej kradzieży tożsamości oraz pranie pieniędzy. ABC News podaje maksymalną karę do 20 lat więzienia za zarzut, a Courthouse News pisze o możliwych dziesięcioleciach pozbawienia wolności w razie skazania.

Według Courthouse News Soalla zatrzymano w czerwcu w Hiszpanii, Hazana w sierpniu także w Hiszpanii, a Sheetrita we wrześniu w Wielkiej Brytanii. Wnioski o ekstradycję są w toku. W relacjach, które przeczytaliśmy, nie ma stanowiska obrony. Oskarżonych obowiązuje domniemanie niewinności.

Jak miał działać schemat z podrobionym głosem

AI była w tym opisie tylko jednym etapem. Rozmowę poprzedzał zwykły e-mail, a zaufanie budowały pozornie formalne procedury. Akt oskarżenia opisuje przebieg w kilku krokach, które podajemy w ogólnym zarysie, bo ułatwiają rozpoznanie próby oszustwa.

1. Pracownik księgowości dostaje wiadomość przez serwis do podpisu elektronicznego, np. DocuSign, rzekomo od swojego prezesa.
2. Wiadomość mówi o poufnej transakcji, często przejęciu, prosi o podpisanie umowy o poufności i kieruje do rzekomego prawnika.
3. Podczas rozmowy telefonicznej lub wideo AI naśladuje głos, a czasem wizerunek prezesa.
4. Fałszywy prawnik, podszywający się pod prawdziwą osobę z europejskiego biura wielkiej kancelarii, prosi o zachowanie sprawy w tajemnicy przed kolegami.
5. Pracownik wysyła przelew na wskazane konto, a pieniądze są zamieniane na kryptowaluty.

Kto stracił pieniądze

Akt oskarżenia nie podaje nazw firm. Opisuje je typem działalności i siedzibą. Wymienione przykłady pokazują, że celem nie były wyłącznie banki. Przeliczenia na złote wykonaliśmy według kursu NBP z 5 listopada 2026 roku (1 USD = 3,9101 zł).

• firma technologii finansowych z Wielkiej Brytanii - ok. 11,58 mln USD, czyli ok. 45,3 mln zł, marzec 2025 roku,
• producent karmy dla zwierząt z Florydy - ok. 5,24 mln USD, czyli ok. 20,5 mln zł, czerwiec 2025 roku,
• system szpitali z Missouri - ok. 4,83 mln USD, czyli ok. 18,9 mln zł, listopad 2024 roku,
• firma funduszy inwestycyjnych z Massachusetts - ok. 4,64 mln USD, czyli ok. 18,1 mln zł, kwiecień 2025 roku,
• system szpitali z Kalifornii - ok. 2,97 mln USD, czyli ok. 11,6 mln zł, grudzień 2024 roku,
• bank z Rhode Island - ok. 2,68 mln USD, czyli ok. 10,5 mln zł, listopad 2024 roku.

Dlaczego jeden przelew nie wyszedł z banku

Najciekawszy dla firm jest przypadek, który skończył się bez straty. W październiku 2024 roku osoba zatrudniona w dużym banku inwestycyjnym z Nowego Jorku miała uwierzyć w rzekomą transakcję i zatwierdzić przelew na ok. 2,85 mln USD, czyli ok. 11,1 mln zł. Zaplecze operacyjne banku go nie wykonało.

Dokument nie wyjaśnia, jaka kontrola zadziałała. W naszej ocenie wniosek i tak jest czytelny. Nawet dobrze przygotowanego pracownika da się oszukać, więc ochrona nie może zależeć od jednej osoby, która ma rozpoznać głos przełożonego.

Co może zrobić firma w Polsce

Akt oskarżenia nie wskazuje polskich firm ani kont w Polsce. Opisany scenariusz nie wymaga jednak niczego, co byłoby właściwe wyłącznie dla USA, a jako kraje, do których miały płynąć pieniądze, wymieniono też Słowację, Austrię, Hiszpanię, Portugalię i Grecję. Poniższe działania to nasze wnioski organizacyjne, a nie porada prawna.

1. Wprowadź zasadę, że nietypowy przelew potwierdza druga osoba, niezależnie od tego, kto o niego prosi.
2. Potwierdzaj dyspozycję drugim kanałem, oddzwaniając na numer zapisany w firmie, a nie podany w wiadomości.
3. Prośbę o ukrycie sprawy przed kolegami traktuj jako powód do sprawdzenia, a nie do pośpiechu.
4. Numer kancelarii lub prawnika bierz z oficjalnej strony tej firmy i oddzwaniaj sam.
5. Pamiętaj, że dokument z serwisu podpisu elektronicznego nie potwierdza, że nadawcą jest prezes.
6. Omów ten scenariusz z księgowością i asystentami zarządu, bo to oni odbierają takie wiadomości jako pierwsi.
7. Po podejrzanym przelewie od razu dzwoń do banku, a potem zgłoś sprawę policji i CERT Polska przez incydent.cert.pl.

Czego jeszcze nie wiadomo

Akt oskarżenia nie podaje, jakich narzędzi AI użyto do podrobienia głosu i obrazu. Nie wiadomo też, ile prób się nie powiodło, bo dokument mówi o tysiącach celów, a szczegółowo opisuje siedem przypadków. Kwota 129 mln USD to twierdzenie oskarżenia, które dopiero musi zostać udowodnione.

Dokument wspomina też o niewymienionych wspólnikach, ale nie wyjaśnia, czy sprawa obejmie kolejne osoby. Nie ma również informacji, czy któraś z firm odzyskała pieniądze.