Clonaban voces y se hacían pasar por abogados: robo de US$129 millones con IA

La llamada parecía rutinaria. Del otro lado estaba el director ejecutivo de la empresa, con su voz de siempre, pidiendo ayuda con una operación financiera confidencial. Poco después, un abogado de un prestigioso bufete internacional se sumaba para darle formalidad al asunto y explicar a dónde había que transferir el dinero. Ni el director ejecutivo ni el abogado eran reales.

Según la acusación presentada por la Fiscalía Federal del Distrito Sur de Nueva York, una red internacional usó este método entre 2024 y 2026 para robar más de 129 millones de dólares a empresas de Estados Unidos y de otros países. Tres de sus presuntos integrantes fueron detenidos en España y el Reino Unido, y Estados Unidos ha pedido su extradición.

Un guion para que nadie preguntara

De acuerdo con los fiscales, el esquema seguía siempre pasos parecidos. Primero, alguien se hacía pasar por el director ejecutivo de la compañía y contactaba a un empleado para pedirle ayuda con una transacción confidencial. En las llamadas, usaban herramientas de inteligencia artificial para imitar la voz o la imagen del ejecutivo.

Después, el empleado era derivado a supuestos abogados de grandes bufetes internacionales, también suplantados por miembros de la red, que daban credibilidad a la operación. Finalmente, uno de esos falsos abogados indicaba las cuentas bancarias a las que debía enviarse el dinero. Uno de los acusados, según la acusación, usaba un guion escrito a mano titulado «Llamada del abogado», que incluía frases pensadas para que el empleado no comentara el asunto con sus compañeros.

Hospitales, un banco y una empresa de comida para mascotas

Entre las víctimas mencionadas en la acusación figuran dos sistemas hospitalarios de Misuri y California, un banco de Rhode Island, una empresa de tecnología financiera del Reino Unido, una gestora de fondos de Massachusetts y una compañía de alimentos para mascotas de Florida. Las pérdidas individuales van de unos 2,7 a más de 11,5 millones de dólares.

El dinero se enviaba a cuentas en Estados Unidos, España, Portugal, Grecia, Emiratos Árabes Unidos, Singapur, Austria, Eslovaquia y China. Luego se convertía en criptomonedas para ocultar su origen y se repartía entre los participantes.

Los acusados

Los detenidos son Jacob Soall, de 41 años, residente en Marbella y el Reino Unido, arrestado en España en junio y señalado como uno de los que se hacían pasar por abogados británicos; Sharon Hazan, de 54 años, de Israel, detenido en España en agosto, y Guy Sheetrit, de 42 años, con residencia en Israel y Emiratos Árabes Unidos, arrestado en el Reino Unido en septiembre. Según la fiscalía, los dos últimos se encargaban de lavar el dinero. Hazan, que ya fue condenado en 2008 por conspiración para cometer fraude bancario, se habría jactado de lavar dinero desde 1994.

Cada uno enfrenta siete cargos, entre ellos conspiración para cometer fraude electrónico, robo de identidad agravado y lavado de dinero. Los cargos de fraude y lavado tienen penas máximas de 20 años de prisión cada uno. Como en cualquier causa penal, se trata de acusaciones y los acusados se presumen inocentes hasta que se demuestre lo contrario.

Un nuevo nombre para un viejo engaño

El comunicado oficial tiene un detalle llamativo: se refiere a la tecnología usada como «superinteligencia», un término que en el sector de la IA suele reservarse para sistemas hipotéticos más capaces que los humanos en casi cualquier tarea. Lo que describe la acusación, sin embargo, son herramientas de clonación de voz e imagen, los llamados deepfakes, que hoy están al alcance de cualquiera.

La estafa en sí no es nueva. El llamado fraude del CEO, en el que alguien se hace pasar por un alto ejecutivo para ordenar transferencias urgentes, lleva años causando pérdidas millonarias. Lo que cambió es el realismo. En 2024, un empleado de la firma de ingeniería Arup en Hong Kong transfirió unos 25 millones de dólares después de una videollamada en la que todos los demás participantes, incluido el supuesto director financiero, eran deepfakes.

Por eso, los expertos en seguridad recomiendan medidas sencillas pero eficaces: verificar cualquier pedido de dinero inusual por un canal distinto, como llamar al número oficial del ejecutivo; exigir la aprobación de varias personas para transferencias grandes, y desconfiar especialmente de los pedidos que insisten en la confidencialidad. Un guion diseñado para que nadie consulte a sus compañeros es, precisamente, la señal de alarma.