في فبراير 2026، تلقّى رئيس مجلس إدارة ذراع الخدمات المصرفية الخاصة لأكبر بنك في إيطاليا رسالة على WhatsApp من الرئيس التنفيذي لمجموعته. قالت الرسالة إن هناك صفقة خارجية عاجلة لا يستطيع البنك الأم تنفيذها مباشرة، فهل يمكنه المساعدة؟ ثم جاءت مكالمة من محامٍ بارز في مكتب محاماة معروف تؤكد الطلب. تعرّف على الصوت. هكذا بدأت عملية احتيال باستنساخ الصوت بالذكاء الاصطناعي.
بعد ذلك خرج من البنك نحو 95 مليون يورو. كانت الرسالة مزيفة، وكان صوت المحامي مولَّدًا بالذكاء الاصطناعي.
هذه هي القضية التي نشرتها رويترز في 25 سبتمبر 2026: محتالون انتحلوا صفة كارلو ميسينا (Carlo Messina)، الرئيس التنفيذي لمجموعة Intesa Sanpaolo، أكبر بنك في إيطاليا، لتحويل أموال من Fideuram، ذراع المجموعة للخدمات المصرفية الخاصة. عملي هو بناء أدوات للتحقق من الهوية، وهذا أوضح مثال واقعي رأيته على المشكلة التي نعمل على حلها. لم يُخترق أي نظام. نُسخ صوتان موثوقان، وكل فحص كان بوسع الضحية إجراؤه جاءت نتيجته مطمئنة.
ماذا حدث في Fideuram
بحسب رويترز، التي استندت إلى مصادر مطلعة على الملف، بدأت العملية في فبراير عندما تلقّى باولو موليزيني (Paolo Molesini)، رئيس مجلس إدارة Fideuram آنذاك، رسالة على WhatsApp بدت كأنها من ميسينا، يطلب فيها مساعدة عاجلة في صفقة خارجية. وفي مكالمة لاحقة، استُخدم الذكاء الاصطناعي لتقليد صوت شريك كبير في مكتب محاماة معروف، أكّد الطلب.
أبرز الوقائع، كما نُشرت:
- نحو 95 مليون يورو حُوّلت إلى حسابات خارجية، معظمها في الصين وهونغ كونغ.
- استُعيد قرابة 53 مليون يورو بفضل التعاون بين السلطات في الصين والبرتغال وإيطاليا.
- لا يزال نحو 36 مليون يورو مفقودًا، بعد أن مرّ عبر شبكة من الحسابات الخارجية وتحوّل إلى عملات مشفّرة.
- تحقق النيابة العامة في ميلانو مع شخص أجنبي يقيم خارج أوروبا للاشتباه في احتيال معلوماتي. ولا يخضع أي مسؤول في Fideuram للتحقيق.
- استقال موليزيني في مارس لأسباب شخصية بحسب ما أعلن. ورفضت Intesa Sanpaolo وFideuram التعليق لرويترز.
وتضيف صحيفة il Giornale الإيطالية أن المحتالين أرسلوا أيضًا رسائل بريد إلكتروني تقلّد مكتب المحاماة، وأن أكثر من 40 مليون يورو استُعيدت في الصين، فيما حُجز 13 مليون يورو في البرتغال.
كيف نجح احتيال استنساخ الصوت بالذكاء الاصطناعي، خطوة بخطوة
إذا جرّدنا القصة من عناوينها، نجد عملية احتيال تقليدية من نوع انتحال صفة المدير التنفيذي (CEO fraud)، مع إضافة حديثة واحدة.
- السلطة. جاءت الرسالة الأولى من أعلى شخص في المجموعة. ورئيس مجلس إدارة شركة تابعة لا يستجوب عادةً الرئيس التنفيذي لمجموعته.
- القصة. صفقة خارجية عاجلة وسرية لا تستطيع الشركة الأم تنفيذها بنفسها. الاستعجال يغلق باب التفكير، والسرية تُبعد الزملاء عن الصورة.
- التأكيد. هنا تكمن البراعة. لم يطلب المحتالون ثقة عمياء، بل قدّموا مصدرًا ثانيًا يبدو مستقلًا: مكالمة من محامٍ بارز، بصوت تعرّف عليه رئيس مجلس الإدارة، مدعومة برسائل بريد إلكتروني بأسلوب المكتب. خطوة التأكيد نفسها، أي الخطوة التي يُفترض أن توقف الاحتيال، كانت مزوّرة.
- الدفع. تحويلات إلى حسابات أجنبية، ثم إلى حسابات أخرى، ثم إلى عملات مشفّرة، حيث يصبح التتبع صعبًا بسرعة.
لاحظ ما لم يحتج إليه المهاجمون: لا برمجيات خبيثة، ولا خادم مخترق، ولا كلمة مرور مسروقة. تحرّكت الأموال لأن شخصًا مخوّلًا اقتنع بأن التعليمات حقيقية.
لماذا وقع مصرفي كبير في الفخ
من السهل أن نقرأ قصة كهذه ونقول: “كنت سأنتبه.” لكن لا أحد تقريبًا ينتبه، والسبب بنيوي لا شخصي.
الصوت المستنسخ يهزم الفحص الذي نعتمد عليه جميعًا دون تفكير: أنا أعرف هذا الصوت. استنساخ الصوت اليوم لا يحتاج إلا إلى عيّنة قصيرة، وكبار المديرين والمحامين البارزين يتحدثون علنًا في البودكاست والمؤتمرات ومكالمات إعلان النتائج. أصواتهم موجودة على الإنترنت.
وقد عرفت إيطاليا هذا النمط من قبل. ففي العام الماضي، استخدم محتالون نسخة من صوت أحد الوزراء في الحكومة الإيطالية، مولَّدة بالذكاء الاصطناعي، لطلب أموال من رجال أعمال، وحوّل رجل الأعمال ماسيمو موراتي (Massimo Moratti) نحو مليون يورو، كما تذكّر رويترز. وفي عام 2024، انضم موظف في شركة الهندسة Arup في هونغ كونغ إلى مكالمة فيديو مع أشخاص بدوا كأنهم مديره المالي وزملاؤه، وكانوا جميعًا نسخًا مزيفة بتقنية التزييف العميق (deepfake)، فخرج من الشركة نحو 25.6 مليون دولار أمريكي (CNN، وانظر أيضًا عرضنا لقضية Arup).
كل قضية تُسقط نوعًا آخر من الأدلة. “جاءت من رقمه” سقطت أولًا. “سمعت صوته” انتهت. “رأيته في مكالمة الفيديو” في طريقها إلى الزوال. وتضيف Fideuram دليلًا جديدًا إلى القائمة: “المحامي أكّد ذلك.” إذا كان المهاجم يتحكم في التأكيد، فالتأكيد لا يثبت شيئًا.
لم يكن اختراقًا، وهذا يحدد أين تنفق ميزانيتك
ستصف العناوين ما حدث بأنه اختراق. لكنه لم يكن كذلك، وهذا الفرق يحدد أين تذهب أموالك. الجدران النارية وحماية الأجهزة وتصفية البريد الإلكتروني كلها تحمي الأنظمة. أما هذا الهجوم فقد تجاوزها جميعًا لأنه استهدف الشخص الذي يملك صلاحية الدفع، عبر قنوات لا يُفترض أن تحمل تعليمات دفع أصلًا: تطبيق مراسلة ومكالمة هاتفية. إنها هندسة اجتماعية، لا قرصنة.
إذا كانت ضوابط مكافحة الاحتيال لديك تفترض أن تعليمات الدفع تصل عبر نظام الدفع، فقضية Fideuram تحذير واضح: التعليمات الحقيقية تصل اليوم في محادثة على WhatsApp.
بروتوكول تحقق يكسر هذه السلسلة
الحل ليس مزيدًا من اليقظة. اليقظة حالة مزاجية، والمحترفون بارعون في تغيير الحالة المزاجية. الحل بروتوكول آلي يعمل بالطريقة نفسها في يوم ثلاثاء هادئ وفي يوم جمعة مليء بالذعر:
- لا تتحقق أبدًا عبر قناة قدّمها لك صاحب الطلب. مكالمة من “المحامي” رتّبها “الرئيس التنفيذي” جزء من الهجوم نفسه. أغلق الخط واتصل مجددًا على رقم من سجلاتك أنت.
- موافق ثانٍ مستقل من خارج السلسلة. التحويلات الكبيرة أو غير المعتادة تحتاج إلى شخص ثانٍ لم يتواصل معه صاحب الطلب، ويملك حق الرفض.
- لا استثناءات للرئيس التنفيذي للمجموعة. كلما علا اسم صاحب الطلب، اشتدّ الفحص. اجعل ذلك تعليمات دائمة صادرة من القمة.
- اعتبر الاستعجال مع السرية مع حسابات أجنبية جديدة إشارة توقف. كل واحد منها قد يكون طبيعيًا وحده. أما اجتماعها فيصف تقريبًا كل قضية في هذا المقال.
- علّق الدفعات الأولى إلى مستفيدين جدد. تعليق قصير لأول تحويل خارجي لا يكلّف الكثير، ويمنح أحدًا ما الوقت لطرح سؤال واحد.
- اتفقوا مسبقًا على طريقة للتحقق. على كبار المسؤولين الذين قد يصدرون تعليمات دفع أن يتشاركوا وسيلة لإثبات الهوية لا يستطيع الصوت المستنسخ تقليدها، تُعدّ وجهًا لوجه، لا عبر القناة التي يجري التحقق منها.
المنطق نفسه يحمي العائلات أيضًا: كلمة سرّ عائلية متفق عليها مسبقًا تمنحك طريقة بسيطة للتحقق عندما يتصل بك صوت أحد الأقارب طالبًا المال، مهما بدا الصوت مقنعًا.
إذا كانت الأموال قد خرجت بالفعل
تحمل أرقام Fideuram درسًا مشجعًا: عاد أكثر من نصف المبلغ، لأن البنوك والنيابة العامة والسلطات في عدة دول تحركت معًا. السرعة هي كل شيء. اتصل فورًا بقسم مكافحة الاحتيال في بنكك واطلب استرداد التحويل وتنبيه البنك المستقبِل. أبلغ الشرطة في اليوم نفسه. احتفظ بكل رسالة وسجل مكالمات وترويسة بريد إلكتروني. ولا تجعل الضحية محور القصة، فمن يخشى اللوم يخفي أخطاءه، والساعات الضائعة في الإخفاء هي بالضبط ما لا تحتمله عملية الاسترداد.
التحقق من الإنسان، لا من القناة
كل الضوابط السابقة تلتفّ على قطعة واحدة ناقصة: شخصان في مكالمة لا يستطيعان أن يثبتا لبعضهما من هما. داخل المؤسسة، هذه بالضبط هي الثغرة التي يسدّها Hongi Work، وهو متاح للمشاريع التجريبية: يتحقق الزملاء بعضهم من بعض دون أي خطوة إقران؛ يُعدّ كل هاتف مرة واحدة بحساب عمل، وفي أثناء المكالمة يقرأ كل طرف رمزًا قصيرًا لا يستطيع حسابه إلا الهاتفان، ويتجدد كل 30 ثانية. الصوت المنسوخ، مهما كان مقنعًا، لا يعرف هذه الرموز. ورئيس مجلس الإدارة الذي تصله رسالة من «الرئيس التنفيذي للمجموعة» يستطيع معاودة الاتصال على رقم معروف والتحقق في نحو عشر ثوانٍ، قبل أن يتصرف بناءً على رسالة من النوع الذي بدأت به هذه القصة.
لا يحلّ Hongi محل الموافقة المزدوجة أو معاودة الاتصال، ولن أدّعي ذلك. إنه يسدّ الثغرة المحددة التي تتركها مفتوحة: الصوت المألوف على الهاتف. يمكن للمؤسسات أن تقرأ كيف يمتد ذلك إلى العملاء والموظفين في صفحتنا المخصصة للمؤسسات وصفحة الأمان.
أسئلة شائعة
ماذا حدث في Intesa Sanpaolo وFideuram؟ في فبراير 2026، انتحل محتالون صفة كارلو ميسينا، الرئيس التنفيذي لـ Intesa Sanpaolo، في رسالة على WhatsApp، واستخدموا صوت محامٍ مستنسخًا بالذكاء الاصطناعي لتأكيد الطلب. وبحسب رويترز، حُوّل نحو 95 مليون يورو من Fideuram، ذراع المجموعة للخدمات المصرفية الخاصة.
كم من المال استُعيد؟ استُعيد قرابة 53 مليون يورو بمساعدة السلطات في الصين والبرتغال وإيطاليا. ولا يزال نحو 36 مليون يورو، حُوّلت إلى عملات مشفّرة، مفقودًا.
هل تعرّضت Fideuram للاختراق؟ لم تُفِد التقارير باختراق أي نظام. كانت عملية هندسة اجتماعية: رسالة مزيفة وصوت مولَّد بالذكاء الاصطناعي أقنعا شخصًا مخوّلًا بالموافقة على التحويلات.
كيف تحمي الشركة نفسها من احتيال استنساخ الصوت بالذكاء الاصطناعي؟ لا تؤكد أي طلب عبر قناة يقدّمها صاحب الطلب، واتصل مجددًا على رقم من سجلاتك أنت، واشترط موافقًا ثانيًا مستقلًا، واتفق مسبقًا على طريقة لإثبات الهوية لا يستطيع الصوت المستنسخ تقليدها.
المصادر: رويترز، “AI messaging scam costs Italy’s top bank Intesa millions, sources say” (25 سبتمبر 2026)؛ il Giornale، “La voce clonata che ha ingannato Fideuram” (25 سبتمبر 2026). الأرقام كما نُشرت وقد تتغير مع استمرار التحقيق.