Ba người bị truy tố vì dùng AI giả mạo CEO, chiếm 129 triệu USD

Ba người bị cáo buộc sử dụng trí tuệ nhân tạo (AI) để giả mạo lãnh đạo doanh nghiệp và luật sư nhằm chiếm đoạt khoảng 129 triệu USD đã bị truy tố với các tội danh gian lận chuyển tiền qua mạng (wire fraud) và đánh cắp danh tính có tình tiết tăng nặng, theo công bố của cơ quan công tố hôm thứ Năm.

SecurityWeek

Theo bản cáo trạng nộp tại Tòa án Quận Liên bang Mỹ ở New York, trong hơn một năm rưỡi, Jacob Soall (41 tuổi), Sharon Hazan (54 tuổi) và Guy Sheetrit (42 tuổi) đã nhắm vào hàng nghìn công ty trên khắp thế giới.

Nạn nhân trải khắp nhiều lĩnh vực

Danh sách nạn nhân gồm hệ thống bệnh viện ở Missouri và California, một ngân hàng ở Rhode Island, một công ty công nghệ tài chính (fintech) tại Anh, một công ty quỹ tương hỗ ở Massachusetts và một doanh nghiệp thức ăn cho thú cưng ở Florida.

Các bị cáo đến từ Tây Ban Nha, Anh, Israel và Các Tiểu vương quốc Ả Rập Thống nhất, đồng thời còn bị cáo buộc tội rửa tiền.

Ba người bị bắt giữ trong khoảng thời gian từ tháng 6 đến tháng 9. Năm 2008, Hazan từng bị kết án tại một tòa án ở New York với tội âm mưu gian lận ngân hàng.

Kịch bản lừa đảo tinh vi

Nhóm này, với các biệt danh như “Rocky Balboa”, “Superman Cash” và “Fat Boy”, thường nhắm vào bộ phận kế toán của doanh nghiệp. Chúng gửi email mạo danh CEO, nhờ hỗ trợ một giao dịch tài chính bí mật.

Sau đó, chúng sắp xếp một cuộc gọi điện thoại hoặc video, trong đó các bị cáo dùng AI để bắt chước giọng nói và đôi khi cả hình ảnh của CEO. Tiếp theo, chúng yêu cầu nạn nhân liên hệ với một luật sư tại một hãng luật lớn – người mà nhóm này cũng đã chuẩn bị sẵn để giả mạo.

Soall chủ yếu giả danh luật sư từ Anh. Theo cơ quan công tố, anh ta có một “kịch bản viết tay mang tên ‘Lawyer Call’ dùng để tỏ ra giống một luật sư thật khi nói chuyện và lừa đảo nạn nhân”.

Vị “luật sư” giả này sẽ yêu cầu nhân viên chuyển những khoản tiền lớn tới các tài khoản ngân hàng ở nhiều nơi trên thế giới. Số tiền sau đó được quy đổi sang tiền mã hóa (cryptocurrency) để che giấu nguồn gốc, rồi chia cho ba đối tượng cùng những người liên quan khác.

“Khi tội phạm tiếp tục vũ khí hóa các công nghệ mới nổi, FBI vẫn cam kết nhanh chóng điều chỉnh năng lực của mình để nhận diện, điều tra và ngăn chặn những kẻ gây hại cho người dân New York và các doanh nghiệp hoạt động trong cộng đồng của chúng ta”, Phó giám đốc phụ trách FBI James C. Barnacle, Jr. cho biết.

Mức án có thể đối mặt

Nếu bị kết tội, mỗi tội danh có mức án tối đa 20 năm tù, riêng tội đánh cắp danh tính có tình tiết tăng nặng là hai năm, theo cơ quan công tố.

Hồ sơ vụ án vẫn ở trạng thái niêm phong trên hệ thống tòa án trực tuyến tính đến tối thứ Năm. Văn phòng Công tố viên Liên bang khu vực Nam New York chưa phản hồi ngay lời nhắn của hãng tin AP.

Góc nhìn

Với lập trình viên và kỹ sư bảo mật, vụ việc này cho thấy deepfake không còn là mối lo lý thuyết mà đã trở thành kênh tấn công xã hội (social engineering) có tổ chức. Điểm đáng chú ý là kẻ tấn công không cần xâm nhập hệ thống kỹ thuật mà chỉ cần đánh vào quy trình phê duyệt chuyển tiền của con người.

Doanh nghiệp nên siết chặt quy trình xác minh đa kênh cho mọi giao dịch tài chính lớn, chẳng hạn quy tắc “gọi lại qua kênh liên lạc đã biết trước”, giới hạn quyền hạn của bộ phận kế toán và không bao giờ duyệt chuyển tiền chỉ dựa trên một cuộc gọi hay video. Với các đội phát triển, việc ghi nhật ký và giám sát các giao dịch bất thường cũng là lớp phòng thủ cần thiết, vì công nghệ tạo giọng nói và hình ảnh giả đang ngày càng rẻ và dễ tiếp cận.