Ajatellaan sairaalan talousosaston työntekijää. Puhelin soi, ja linjalla on toimitusjohtaja. Ääni on tuttu, ja joskus mukana on videokuvakin. Johtaja kertoo luottamuksellisesta rahoitusjärjestelystä ja pyytää työntekijää olemaan yhteydessä kansainvälisen lakitoimiston juristeihin, jotka hoitavat käytännön asiat. Juristit antavat maksuohjeet. Rahat lähtevät.
Yhdysvaltain syyttäjien mukaan juuri näin toimi huijaus, joka vei yrityksiltä vuosina 2024–2026 noin 129 miljoonaa dollaria. Toimitusjohtaja ei ollut aito. Eivät olleet juristitkaan. Molemmat oli tehty tekoälyllä.
Yhdysvaltain oikeusministeriö kertoi torstaina syytteistä kolmea ulkomaalaista vastaan. Espanjan kansalainen Jacob Soall (41) ja Israelin kansalainen Sharon Hazan (54) pidätettiin Espanjassa kesällä. Kolmas syytetty, israelilainen Guy Sheetrit (42), otettiin kiinni Britanniassa syyskuussa. Kaikkien kolmen luovuttamista Yhdysvaltoihin on pyydetty.
Kaksi väärennöstä peräkkäin
Huijauksessa oli kaksi vaihetta. Ensin rikolliset ottivat yhteyttä yrityksen rivityöntekijöihin ja esiintyivät toimitusjohtajana jäljittelemällä tämän ääntä tai kasvoja. Sen jälkeen työntekijä ohjattiin keskustelemaan suuren kansainvälisen lakitoimiston juristien kanssa, ja myös heidät oli jäljitelty tekoälyllä oikeiden ihmisten näköisiksi ja kuuloisiksi.
Syyttäjien mukaan Soall esitti yleensä juristeja ja luki käsikirjoitusta. Hazan vastasi rahanpesusta. Hänet tuomittiin pankkipetoksesta jo vuonna 2008, ja The Recordin mukaan hän on kehuskellut pesseensä 400 miljoonaa dollaria vuodesta 1994 lähtien.
Uhrit maksoivat rahat tileille Yhdysvalloissa, Euroopassa, Arabiemiraateissa ja Kiinassa, joista ne muutettiin kryptovaluutaksi. Missourilainen sairaala menetti lähes viisi miljoonaa dollaria, kalifornialainen sairaala 2,9 miljoonaa ja rhodeislandilainen pankki 2,6 miljoonaa. Suurin syytteissä mainittu yksittäinen summa, 11,5 miljoonaa dollaria, vietiin brittiläiseltä teknologiayhtiöltä. Listalla ovat myös massachusettsilainen rahoitusyhtiö ja floridalainen lemmikkiruokien valmistaja.
“[Tapaus] osoittaa, miten kehittynyttä teknologiaa voidaan käyttää hyväksi laajamittaisten petosten tekemiseen.”
Yhdysvaltain syyttäjä Jamie McDonald sanoi The Recordin mukaan, että kolmikko käytti tekoälyä ”esiintyäkseen oikeina ihmisinä ja harhauttaakseen yritysjohtajia” (englanniksi ”to impersonate real people and deceive corporate executives”). Syytteet koskevat muun muassa tietoliikennepetosta, törkeää identiteettivarkautta ja rahanpesua. Enimmäisrangaistus on 104 vuotta vankeutta. Syytettyjen kommentteja ei ole julkaistu.
FBI pyytää muita yrityksiä, jotka epäilevät joutuneensa saman ryhmän uhriksi, ottamaan yhteyttä. Syytteissä mainitaan myös nimeämättömiä rikoskumppaneita, joten kokonaissumma voi vielä kasvaa.
Vanha huijaus, uusi työkalu
Toimitusjohtajahuijaus on vanha keksintö. Kyberturvallisuuskeskus on varoittanut siitä suomalaisia yrityksiä toistuvasti: rikollinen esiintyy sähköpostissa yrityksen johtajana ja pyytää kiireellistä maksua. Pitkään huijauksen paljasti usein kömpelö kieli tai outo lähettäjän osoite.
Tekoäly poistaa nämä varoitusmerkit. Kun pyyntö tulee puheluna tai videona, jossa kuuluu oman johtajan ääni, epäilys herää paljon vaikeammin. Hongkongissa insinööritoimisto Arupin työntekijä siirsi vuonna 2024 noin 25 miljoonaa dollaria videopuhelun jälkeen, jossa kaikki muut osallistujat olivat väärennöksiä. Nyt syytettyjen tapaus näyttää, että samaa menetelmää voi käyttää sarjatuotantona uhrista toiseen.
Uhrien joukossa on sairaaloita ja pieni pankki eikä pelkästään suuryhtiöitä. Siksi uutinen koskee jokaista, joka voi työssään hyväksyä maksun. Yksi onnistunut puhelu voi viedä keskisuurelta suomalaisyritykseltä koko vuoden tuloksen, eikä rahoja kryptovaluutaksi muuttamisen jälkeen juuri saada takaisin.
Näin yritys suojautuu äänihuijauksilta
Tärkein yksittäinen keino on takaisinsoitto. Jos toimitusjohtaja pyytää puhelimessa tai videolla poikkeuksellista maksua, katkaise yhteys ja soita hänelle itse numeroon, jonka tiedät entuudestaan oikeaksi. Älä käytä soittajan antamaa numeroa. Sama pätee lakitoimistoon: etsi sen yhteystiedot itse.
Toinen suoja on kahden hengen hyväksyntä. Kun suuret tai epätavalliset maksut vaativat aina kaksi hyväksyjää, yksi harhautettu työntekijä ei voi lähettää rahaa yksin. Tämän tapauksen huijarit vetosivat salassapitoon, joten yrityksessä kannattaa sopia etukäteen, ettei mikään järjestely ole niin salainen, että talousjohtaja jäisi siitä paitsi.
Osa yrityksistä käyttää johdon kesken sovittua turvasanaa, jota väärennös ei voi tietää. Jos huijaus pääsee läpi, soita heti omaan pankkiin, tee rikosilmoitus poliisille ja ilmoita tapauksesta Kyberturvallisuuskeskukselle. Mitä nopeammin toimit, sitä paremmat mahdollisuudet on jäädyttää rahat.
129 milj. $
Huijauksen kokonaissaalis 2024–2026
11,5 milj. $
Suurin yksittäinen summa, brittiläinen teknologiayhtiö
Menettely, jossa yhden maan viranomaiset siirtävät epäillyn toiseen maahan, jotta hänet voidaan asettaa siellä syytteeseen. Tässä tapauksessa Yhdysvallat on pyytänyt, että Espanja ja Britannia siirtävät syytetyt sinne oikeuteen.
Tietoliikennepetos
Yhdysvaltain rikoslain mukainen petos, joka tehdään puhelimen, sähköpostin, internetin tai muun tietoliikenneyhteyden välityksellä. Englanniksi rikoksesta käytetään nimeä wire fraud.
Kolmikkoa vastaan on toistaiseksi vain syytteet, ja he ovat syyttömiä, kunnes toisin todistetaan. Rikosoikeuden ulkopuolelle jää vaikeampi kysymys: kuka vastaa vahingosta, kun työntekijä noudattaa ohjetta, joka tuli johtajan omalla äänellä? Monen yrityksen maksuprosessit ja vakuutusehdot on kirjoitettu aikana, jolloin tuttu ääni riitti todistamaan, kuka puhelimessa on. Ne kannattaa lukea uudelleen.
Viikoittainen uutiskirje
Tule firmasi fiksuimmaksi AI-osaajaksi
Yksi uutiskirje kerrallaan. Kokoamme viikon tärkeimmät tekoälyuutiset suomeksi ja kerromme, mitä ne tarkoittavat sinun työsi kannalta. Luet sen kahvitauolla.
