फ़रवरी 2026 में इटली के सबसे बड़े बैंक की प्राइवेट बैंकिंग शाखा के चेयरमैन को अपने ग्रुप CEO का WhatsApp मैसेज मिला। मैसेज में लिखा था कि विदेश में एक ज़रूरी डील है, जिसे पैरेंट बैंक सीधे नहीं संभाल सकता। क्या वे मदद कर सकते हैं? इसके बाद एक कॉल आई, एक जाने-माने लॉ फ़र्म के सीनियर वकील की, और उन्होंने डील की पुष्टि की। चेयरमैन ने आवाज़ पहचान ली। यहीं से एक AI वॉयस क्लोनिंग फ्रॉड शुरू हुआ।
इसके बाद बैंक से लगभग 9.5 करोड़ यूरो (95 मिलियन यूरो) बाहर चले गए। मैसेज फ़र्ज़ी था। वकील की आवाज़ आर्टिफ़िशियल इंटेलिजेंस से बनाई गई थी।
यह वही मामला है जिसकी ख़बर रॉयटर्स ने 25 सितंबर 2026 को दी: ठगों ने इटली के सबसे बड़े बैंक Intesa Sanpaolo के CEO कार्लो मेसिना (Carlo Messina) बनकर ग्रुप की प्राइवेट बैंकिंग शाखा Fideuram से पैसा निकलवाया। मेरा काम ही वेरिफ़िकेशन टूल बनाना है, और जिस समस्या पर हम काम करते हैं, उसका इससे साफ़ असली उदाहरण मैंने पहले नहीं देखा। कुछ भी हैक नहीं हुआ। बस दो भरोसेमंद आवाज़ों की नकल की गई, और पीड़ित जो भी जाँच कर सकते थे, हर जाँच में सब कुछ ठीक दिखा।
Fideuram में क्या हुआ
रॉयटर्स के मुताबिक, जिसने मामले से परिचित सूत्रों का हवाला दिया, यह योजना फ़रवरी में शुरू हुई, जब Fideuram के तत्कालीन चेयरमैन पाओलो मोलेसिनी (Paolo Molesini) को एक WhatsApp मैसेज मिला जो मेसिना की तरफ़ से लग रहा था, और जिसमें विदेश की एक डील के लिए तुरंत मदद माँगी गई थी। इसके बाद आई कॉल में AI की मदद से एक जाने-माने लॉ फ़र्म के सीनियर पार्टनर की आवाज़ की नकल की गई, और उस आवाज़ ने अनुरोध की पुष्टि की।
रिपोर्ट के अनुसार मुख्य तथ्य:
- लगभग 9.5 करोड़ यूरो विदेशी खातों में भेजे गए, ज़्यादातर चीन और हांगकांग में।
- करीब 5.3 करोड़ यूरो वापस मिल चुके हैं, चीन, पुर्तगाल और इटली के अधिकारियों के आपसी सहयोग से।
- लगभग 3.6 करोड़ यूरो अब भी लापता हैं, जो विदेशी खातों के एक जाल से गुज़रकर क्रिप्टोकरेंसी में बदल दिए गए।
- मिलान के अभियोजक यूरोप से बाहर रहने वाले एक विदेशी नागरिक की जाँच कर रहे हैं, कंप्यूटर फ्रॉड के शक में। Fideuram का कोई भी अधिकारी जाँच के घेरे में नहीं है।
- मोलेसिनी ने मार्च में निजी कारणों का हवाला देकर इस्तीफ़ा दे दिया। Intesa Sanpaolo और Fideuram ने रॉयटर्स को कोई टिप्पणी नहीं दी।
इतालवी अख़बार il Giornale के अनुसार ठगों ने लॉ फ़र्म की नकल करते हुए ईमेल भी भेजे थे, और 4 करोड़ यूरो से ज़्यादा की रकम चीन में बरामद हुई, जबकि पुर्तगाल में 1.3 करोड़ यूरो ज़ब्त किए गए।
AI वॉयस क्लोनिंग फ्रॉड कैसे हुआ, स्टेप बाय स्टेप
सुर्ख़ियाँ हटा दें तो यह एक क्लासिक CEO फ्रॉड है, बस इसमें एक नया आधुनिक हथियार जुड़ गया है।
- अधिकार का दबाव। पहला मैसेज ग्रुप के सबसे बड़े पद पर बैठे व्यक्ति के नाम से आया। किसी सब्सिडियरी का चेयरमैन आम तौर पर अपने ग्रुप CEO से सवाल-जवाब नहीं करता।
- कहानी। विदेश की एक ज़रूरी और गोपनीय डील, जिसे पैरेंट कंपनी ख़ुद नहीं कर सकती। जल्दबाज़ी सोचने का मौका छीन लेती है, और गोपनीयता सहकर्मियों को बाहर रखती है।
- पुष्टि। यही सबसे चालाक हिस्सा है। ठगों ने आँख मूँदकर भरोसा करने को नहीं कहा। उन्होंने एक दूसरा, स्वतंत्र दिखने वाला स्रोत दिया: एक सीनियर वकील की कॉल, ऐसी आवाज़ में जिसे चेयरमैन पहचानते थे, और साथ में फ़र्म की शैली वाले ईमेल। पुष्टि का वही कदम, जो फ्रॉड रोकने के लिए होता है, ख़ुद नकली था।
- भुगतान। विदेशी खातों में ट्रांसफ़र, फिर और खातों से होते हुए क्रिप्टोकरेंसी में, जहाँ पैसे का पता लगाना बहुत जल्दी मुश्किल हो जाता है।
ध्यान दीजिए कि हमलावरों को किस चीज़ की ज़रूरत नहीं पड़ी। न मैलवेयर, न हैक किया गया सर्वर, न चुराया गया पासवर्ड। पैसा इसलिए गया क्योंकि भुगतान का अधिकार रखने वाले व्यक्ति को यक़ीन दिला दिया गया कि निर्देश असली है।
एक सीनियर बैंकर इसके झाँसे में क्यों आ गए
ऐसी ख़बर पढ़कर यह सोचना आसान है कि “मैं तो पकड़ लेता।” लगभग कोई नहीं पकड़ पाता, और इसकी वजह व्यक्ति में नहीं, ढाँचे में है।
क्लोन की गई आवाज़ उस जाँच को हरा देती है जिस पर हम सब बिना सोचे भरोसा करते हैं: मैं यह आवाज़ पहचानता हूँ। आज वॉयस क्लोनिंग के लिए बस एक छोटा सा सैंपल काफ़ी है, और बड़े अधिकारी व नामी वकील सार्वजनिक रूप से बोलते हैं, पॉडकास्ट पर, कॉन्फ़्रेंस में, अर्निंग्स कॉल पर। उनकी आवाज़ इंटरनेट पर मौजूद है।
इटली पहले भी यह पैटर्न देख चुका है। पिछले साल ठगों ने सरकार के एक मंत्री की आवाज़ की AI कॉपी से कारोबारियों से पैसे माँगे, और कारोबारी मास्सिमो मोराती (Massimo Moratti) ने लगभग 10 लाख यूरो भेज दिए, जैसा रॉयटर्स ने भी याद दिलाया है। 2024 में हांगकांग में इंजीनियरिंग कंपनी Arup का एक कर्मचारी ऐसी वीडियो कॉल में शामिल हुआ जिसमें उसके CFO और सहकर्मी दिख रहे थे; वे सब डीपफेक थे, और कंपनी से लगभग 2.56 करोड़ अमेरिकी डॉलर (25.6 मिलियन डॉलर) निकल गए (CNN; Arup मामले का हमारा विवरण भी देखें)।
हर मामला सबूत के एक और तरीके को बेकार कर देता है। “मैसेज उनके नंबर से आया था” सबसे पहले बेकार हुआ। “मैंने उनकी आवाज़ सुनी” अब बेकार है। “मैंने उन्हें वीडियो कॉल पर देखा” भी बेकार होने की राह पर है। Fideuram इसमें एक नया जोड़ता है: “वकील ने पुष्टि की थी।” अगर पुष्टि पर ही हमलावर का नियंत्रण है, तो पुष्टि कुछ साबित नहीं करती।
यह हैक नहीं था, और यह आपके बजट के लिए मायने रखता है
सुर्ख़ियाँ इसे हैक कहेंगी। यह हैक नहीं था, और यही फ़र्क तय करता है कि आप पैसा कहाँ खर्च करें। फ़ायरवॉल, एंडपॉइंट सिक्योरिटी और ईमेल फ़िल्टरिंग, ये सब सिस्टम की रक्षा करते हैं। यह हमला इन सबको पार कर गया, क्योंकि इसने सीधे उस व्यक्ति को निशाना बनाया जिसके पास भुगतान का अधिकार था, और वह भी उन चैनलों से जिनसे भुगतान के निर्देश आने ही नहीं चाहिए: एक मैसेजिंग ऐप और एक फ़ोन कॉल। यह सोशल इंजीनियरिंग थी, हैकिंग नहीं।
अगर आपके फ्रॉड कंट्रोल यह मानकर चलते हैं कि भुगतान का निर्देश पेमेंट सिस्टम से ही आएगा, तो Fideuram का मामला एक चेतावनी है: असली निर्देश अब WhatsApp चैट में आता है।
एक वेरिफ़िकेशन प्रोटोकॉल जो इस कड़ी को तोड़ता है
इसका हल ज़्यादा सतर्कता नहीं है। सतर्कता एक मूड है, और पेशेवर ठग मूड बदलने में माहिर होते हैं। हल है एक तय प्रोटोकॉल, जो शांत मंगलवार को भी और घबराहट भरे शुक्रवार को भी एक ही तरह काम करे:
- कभी उस चैनल पर पुष्टि न करें जो अनुरोध करने वाले ने दिया हो। “CEO” की तरफ़ से करवाई गई “वकील” की कॉल उसी हमले का हिस्सा है। फ़ोन रखिए और अपने रिकॉर्ड में दर्ज नंबर पर ख़ुद कॉल कीजिए।
- चेन से बाहर का एक स्वतंत्र दूसरा अप्रूवर। बड़े या असामान्य ट्रांसफ़र के लिए एक दूसरे व्यक्ति की मंज़ूरी ज़रूरी हो, जिससे अनुरोध करने वाले ने संपर्क नहीं किया और जो मना कर सके।
- ग्रुप CEO के लिए भी कोई छूट नहीं। अनुरोध पर जितना बड़ा नाम, जाँच उतनी ही सख़्त। इसे शीर्ष नेतृत्व की तरफ़ से एक स्थायी आदेश बना दीजिए।
- जल्दबाज़ी, गोपनीयता और नए विदेशी खाते, तीनों एक साथ हों तो रुक जाइए। इनमें से कोई एक चीज़ सामान्य हो सकती है। तीनों एक साथ इस लेख के लगभग हर मामले की कहानी हैं।
- नए लाभार्थियों को पहला भुगतान कुछ देर रोकें। पहली बार के विदेशी ट्रांसफ़र पर थोड़ी सी रोक की कीमत कम है, और इससे किसी को एक सवाल पूछने का समय मिल जाता है।
- पहचान की जाँच का तरीका पहले से तय करें। जो सीनियर लोग कभी भुगतान के निर्देश दे सकते हैं, उनके पास पहचान साबित करने का ऐसा तरीका होना चाहिए जिसकी नकल क्लोन की गई आवाज़ न कर सके, और यह आमने-सामने तय हो, उस चैनल पर नहीं जिसकी जाँच हो रही है।
यही तर्क परिवारों को भी बचाता है: परिवार का पहले से तय एक गुप्त कोडवर्ड आपको जाँचने का आसान तरीका देता है, जब किसी रिश्तेदार की आवाज़ में कोई पैसे माँगे, चाहे वह आवाज़ कितनी भी असली लगे।
अगर पैसा जा चुका है
Fideuram के आँकड़ों में एक उम्मीद भरा सबक भी है: आधे से ज़्यादा पैसा वापस आ गया, क्योंकि कई देशों के बैंक, अभियोजक और अधिकारी मिलकर आगे बढ़े। रफ़्तार ही सब कुछ है। तुरंत अपने बैंक की फ्रॉड टीम को फ़ोन करें और ट्रांसफ़र वापस मँगाने व पैसा पाने वाले बैंक को अलर्ट करने को कहें। उसी दिन पुलिस में शिकायत दर्ज कराएँ। हर मैसेज, कॉल लॉग और ईमेल हेडर सँभालकर रखें। और पीड़ित को कहानी का केंद्र न बनाएँ; जो लोग दोष से डरते हैं वे ग़लतियाँ छिपाते हैं, और छिपाने में गए घंटे ही वह चीज़ हैं जो रिकवरी बर्दाश्त नहीं कर सकती।
चैनल नहीं, इंसान की पहचान की पुष्टि
ऊपर के सारे कंट्रोल एक गायब कड़ी के इर्द-गिर्द काम करते हैं: कॉल पर मौजूद दो लोग एक-दूसरे को यह साबित नहीं कर सकते कि वे कौन हैं। किसी संस्था के भीतर ठीक इसी कमी को Hongi Work भरता है, और यह पायलट के लिए उपलब्ध है: सहकर्मी बिना किसी पेयरिंग के एक-दूसरे को जाँचते हैं; हर फ़ोन एक बार वर्क अकाउंट से सेट किया जाता है, और कॉल पर दोनों तरफ़ से एक छोटा कोड पढ़ा जाता है जिसे सिर्फ़ वही दो फ़ोन बना सकते हैं और जो हर 30 सेकंड में बदलता है। नकल की गई आवाज़, चाहे कितनी भी भरोसेमंद लगे, ये कोड नहीं जानती। “ग्रुप CEO” का मैसेज पाने वाला चेयरमैन किसी जाने-पहचाने नंबर पर वापस कॉल करके लगभग दस सेकंड में जाँच कर सकता है, इससे पहले कि वह उसी तरह के मैसेज पर कुछ करे जिससे यह कहानी शुरू हुई।
Hongi दोहरी मंज़ूरी या कॉलबैक की जगह नहीं लेता, और मैं ऐसा दिखावा नहीं करूँगा। यह उस ख़ास कमी को भरता है जो वे खुली छोड़ देते हैं: फ़ोन पर सुनाई देने वाली जानी-पहचानी आवाज़। संस्थाएँ ग्राहकों और कर्मचारियों तक इसके विस्तार के बारे में हमारे संस्थाओं वाले पेज और सुरक्षा पेज पर पढ़ सकती हैं।
अक्सर पूछे जाने वाले सवाल
Intesa Sanpaolo और Fideuram में क्या हुआ? फ़रवरी 2026 में ठगों ने WhatsApp मैसेज में Intesa Sanpaolo के CEO कार्लो मेसिना बनकर संपर्क किया और अनुरोध की पुष्टि के लिए AI से क्लोन की गई एक वकील की आवाज़ का इस्तेमाल किया। रॉयटर्स के मुताबिक ग्रुप की प्राइवेट बैंकिंग शाखा Fideuram से लगभग 9.5 करोड़ यूरो (95 मिलियन यूरो) ट्रांसफ़र कर दिए गए।
कितना पैसा वापस मिला? चीन, पुर्तगाल और इटली के अधिकारियों की मदद से करीब 5.3 करोड़ यूरो वापस मिल चुके हैं। क्रिप्टोकरेंसी में बदले गए लगभग 3.6 करोड़ यूरो अब भी लापता हैं।
क्या Fideuram हैक हुआ था? रिपोर्ट में किसी सिस्टम में सेंध की बात नहीं कही गई है। यह सोशल इंजीनियरिंग थी: एक फ़र्ज़ी मैसेज और AI से बनी आवाज़ ने एक अधिकृत व्यक्ति को ट्रांसफ़र मंज़ूर करने के लिए राज़ी कर लिया।
कोई कंपनी AI वॉयस क्लोनिंग फ्रॉड से ख़ुद को कैसे बचाए? अनुरोध करने वाले के दिए चैनल पर कभी पुष्टि न करें, अपने रिकॉर्ड के नंबर पर ख़ुद कॉल करें, एक स्वतंत्र दूसरे अप्रूवर को ज़रूरी बनाएँ, और पहचान साबित करने का ऐसा तरीका पहले से तय करें जिसकी नकल क्लोन की गई आवाज़ न कर सके।
स्रोत: रॉयटर्स, “AI messaging scam costs Italy’s top bank Intesa millions, sources say” (25 सितंबर 2026); il Giornale, “La voce clonata che ha ingannato Fideuram” (25 सितंबर 2026)। आँकड़े रिपोर्ट के अनुसार हैं और जाँच आगे बढ़ने के साथ बदल सकते हैं।