Pada Februari 2026, ketua unit private banking milik bank terbesar di Italia menerima pesan WhatsApp dari CEO grupnya. Ada transaksi luar negeri yang mendesak, kata pesan itu, dan bank induk tidak bisa menanganinya secara langsung. Bisakah ia membantu? Setelah itu datang telepon dari seorang pengacara senior di sebuah firma hukum ternama, yang mengonfirmasi transaksi tersebut. Ia mengenali suaranya. Begitulah awal penipuan Intesa Sanpaolo yang memanfaatkan kloning suara AI.
Sekitar 95 juta euro keluar dari bank. Pesan itu palsu. Suara sang pengacara dibuat oleh kecerdasan buatan.
Itulah kasus yang dilaporkan Reuters pada 25 September 2026: para penipu menyamar sebagai Carlo Messina, CEO Intesa Sanpaolo, bank terbesar di Italia, untuk memindahkan uang dari Fideuram, unit private banking grup tersebut. Pekerjaan saya sehari-hari adalah membangun alat verifikasi, dan ini contoh nyata paling jelas yang pernah saya lihat dari masalah yang kami tangani. Tidak ada yang diretas. Dua suara tepercaya disalin, dan setiap pengecekan yang bisa dilakukan korban menunjukkan hasil aman.
Penipuan Intesa Sanpaolo: apa yang terjadi di Fideuram
Menurut Reuters, yang mengutip sumber yang mengetahui perkara ini, skema tersebut dimulai pada Februari ketika Paolo Molesini, yang saat itu menjabat ketua (chairman) Fideuram, menerima pesan WhatsApp yang tampak berasal dari Messina. Isinya permintaan bantuan mendesak untuk sebuah transaksi luar negeri. Telepon lanjutan menggunakan AI untuk meniru suara seorang partner senior di firma hukum ternama, yang mengonfirmasi permintaan itu.
Fakta utama, sebagaimana dilaporkan:
- Sekitar 95 juta euro ditransfer ke rekening luar negeri, terutama di Tiongkok dan Hong Kong.
- Sekitar 53 juta euro berhasil dipulihkan berkat kerja sama otoritas di Tiongkok, Portugal, dan Italia.
- Sekitar 36 juta euro masih hilang, setelah dialirkan melalui jaringan rekening luar negeri dan dikonversi menjadi aset kripto.
- Kejaksaan Milan sedang menyelidiki seorang warga negara asing yang tinggal di luar Eropa atas dugaan penipuan komputer. Tidak ada eksekutif Fideuram yang diselidiki.
- Molesini mengundurkan diri pada Maret dengan alasan pribadi. Intesa Sanpaolo dan Fideuram menolak berkomentar kepada Reuters.
Harian Italia il Giornale menambahkan bahwa para penipu juga mengirim email yang meniru firma hukum tersebut, serta bahwa lebih dari 40 juta euro dipulihkan di Tiongkok dan 13 juta euro disita di Portugal.
Modus penipuan kloning suara AI, langkah demi langkah
Tanpa bumbu berita utama, serangan ini adalah penipuan CEO klasik dengan satu sentuhan modern.
- Otoritas. Pesan pertama datang dari orang paling senior di grup. Ketua anak perusahaan biasanya tidak menginterogasi CEO grupnya.
- Cerita. Transaksi luar negeri yang mendesak dan rahasia, yang tidak bisa dijalankan sendiri oleh perusahaan induk. Desakan waktu menutup ruang untuk berpikir, sementara kerahasiaan membuat rekan kerja tidak dilibatkan.
- Konfirmasi. Inilah bagian yang paling cerdik. Para penipu tidak meminta dipercaya begitu saja. Mereka menyediakan sumber kedua yang tampak independen: telepon dari seorang pengacara senior, dengan suara yang dikenali sang ketua, didukung email bergaya firma hukum itu. Langkah konfirmasi, yang justru seharusnya menghentikan penipuan, ikut dipalsukan.
- Pencairan. Transfer ke rekening luar negeri, lalu diteruskan ke rekening lain dan dikonversi menjadi kripto. Dari titik itu, pelacakan cepat menjadi sulit.
Perhatikan apa yang tidak dibutuhkan penyerang. Tidak ada malware, tidak ada server yang dibobol, tidak ada kata sandi yang dicuri. Uang berpindah karena orang yang berwenang berhasil diyakinkan bahwa instruksinya asli.
Mengapa bankir senior bisa tertipu
Mudah membaca kisah seperti ini lalu berpikir, “Saya pasti sadar.” Hampir tidak ada yang sadar, dan alasannya bersifat struktural, bukan pribadi.
Suara hasil kloning mengalahkan pengecekan yang kita andalkan tanpa berpikir: saya kenal suara itu. Kloning suara kini hanya butuh sampel singkat, sementara eksekutif senior dan pengacara ternama sering berbicara di depan publik, di podcast, konferensi, dan paparan kinerja keuangan. Suara mereka ada di internet.
Italia pernah melihat pola ini. Tahun lalu, penipu memakai tiruan AI dari suara seorang menteri pemerintah Italia untuk meminta uang kepada para pemimpin bisnis, dan pengusaha Massimo Moratti mentransfer sekitar 1 juta euro, seperti juga diingatkan Reuters. Pada 2024, seorang karyawan firma teknik Arup di Hong Kong mengikuti panggilan video dengan orang-orang yang tampak seperti CFO dan rekan kerjanya. Semuanya deepfake, dan sekitar 25,6 juta dolar AS keluar dari perusahaan (CNN; lihat juga ringkasan kasus Arup kami).
Setiap kasus menggugurkan satu jenis bukti lagi. “Nomornya dari dia” gugur lebih dulu. “Saya dengar suaranya” sudah tidak berlaku. “Saya lihat dia di panggilan video” sedang menyusul. Fideuram menambah satu lagi: “pengacaranya sudah mengonfirmasi.” Jika penyerang mengendalikan konfirmasinya, konfirmasi itu tidak membuktikan apa pun.
Ini bukan peretasan, dan itu penting untuk anggaran Anda
Berita utama akan menyebutnya peretasan atau hack. Bukan, dan perbedaan ini menentukan ke mana anggaran Anda dibelanjakan. Firewall, keamanan endpoint, dan filter email semuanya melindungi sistem. Serangan ini melewati semuanya dengan menyasar orang yang memegang wewenang pembayaran, lewat kanal yang sama sekali tidak semestinya membawa instruksi pembayaran: aplikasi pesan dan telepon. Ini rekayasa sosial (social engineering), bukan pembobolan sistem.
Jika kontrol antipenipuan Anda berasumsi instruksi pembayaran datang lewat sistem pembayaran, kasus Fideuram adalah peringatan: instruksi yang sebenarnya kini datang lewat obrolan WhatsApp.
Protokol verifikasi untuk memutus rantai ini
Solusinya bukan kewaspadaan ekstra. Kewaspadaan adalah suasana hati, dan para profesional pandai mengubah suasana hati orang lain. Solusinya adalah protokol mekanis yang berjalan sama persis pada Selasa yang tenang maupun Jumat yang panik:
- Jangan pernah memverifikasi lewat kanal yang diberikan si peminta. Telepon dari “pengacara” yang diatur oleh “CEO” adalah bagian dari serangan yang sama. Tutup telepon dan hubungi kembali ke nomor dari catatan Anda sendiri.
- Pemberi persetujuan kedua yang independen, di luar rantai. Transfer besar atau tidak biasa butuh orang kedua yang tidak dihubungi si peminta dan berani berkata tidak.
- Tidak ada pengecualian untuk CEO grup. Makin tinggi nama di balik permintaan, makin ketat pengecekannya. Jadikan itu perintah tetap dari pucuk pimpinan.
- Anggap desakan waktu, kerahasiaan, dan rekening luar negeri baru sebagai tanda berhenti. Masing-masing bisa saja wajar. Ketiganya sekaligus menggambarkan hampir setiap kasus dalam artikel ini.
- Tahan pembayaran pertama ke penerima baru. Penahanan singkat untuk transfer luar negeri pertama kali hanya berbiaya kecil dan memberi seseorang waktu untuk mengajukan satu pertanyaan.
- Sepakati tantangan verifikasi sejak awal. Orang-orang senior yang suatu saat mungkin memberi instruksi pembayaran perlu punya cara membuktikan identitas yang tidak bisa ditiru suara kloning, disepakati secara tatap muka, bukan lewat kanal yang sedang diperiksa.
Logika yang sama juga melindungi keluarga dari suara kloning: kata sandi keluarga yang disepakati secara langsung adalah cara sederhana untuk menguji apakah suara akrab di telepon benar-benar orang yang Anda sayangi.
Jika uang sudah telanjur keluar
Angka Fideuram menyimpan pelajaran yang memberi harapan: lebih dari separuh dana kembali karena bank, jaksa, dan otoritas di beberapa negara bergerak bersama. Kecepatan adalah segalanya. Segera hubungi layanan penanganan fraud di bank Anda, minta agar transfer ditarik kembali dan bank penerima diberi peringatan. Laporkan ke polisi pada hari yang sama. Simpan setiap pesan, riwayat panggilan, dan header email. Dan jangan jadikan korban sebagai pusat cerita: orang yang takut disalahkan cenderung menyembunyikan kesalahan, padahal jam-jam yang terbuang itulah yang paling tidak bisa ditoleransi dalam upaya pemulihan.
Verifikasi orangnya, bukan kanalnya
Semua kontrol di atas berusaha menambal satu kepingan yang hilang: dua orang dalam satu panggilan tidak bisa saling membuktikan siapa diri mereka. Di dalam organisasi, celah inilah yang ditutup Hongi Work, yang tersedia untuk uji coba: rekan kerja saling memeriksa tanpa langkah pemasangan apa pun; setiap ponsel diatur sekali dengan akun kerja, dan dalam panggilan masing-masing pihak membacakan kode pendek yang hanya bisa dihitung oleh kedua ponsel itu dan berganti setiap 30 detik. Suara salinan, semeyakinkan apa pun, tidak tahu kodenya. Ketua yang menerima pesan dari “CEO grup” bisa menelepon balik ke nomor yang dikenal dan memeriksanya dalam sekitar sepuluh detik, sebelum menindaklanjuti pesan persis seperti yang mengawali kisah ini.
Hongi tidak menggantikan persetujuan ganda atau panggilan balik, dan saya tidak akan berpura-pura sebaliknya. Hongi menutup celah spesifik yang mereka tinggalkan: suara yang terdengar akrab di telepon. Organisasi dapat membaca bagaimana hal ini diterapkan untuk pelanggan dan staf di halaman untuk organisasi dan halaman keamanan kami.
Pertanyaan yang sering diajukan
Apa yang terjadi di Intesa Sanpaolo dan Fideuram? Pada Februari 2026, penipu menyamar sebagai CEO Intesa Sanpaolo Carlo Messina lewat pesan WhatsApp dan memakai suara pengacara hasil kloning AI untuk mengonfirmasi permintaan itu. Menurut laporan Reuters, sekitar 95 juta euro ditransfer keluar dari Fideuram, unit private banking grup tersebut.
Berapa banyak uang yang berhasil dipulihkan? Sekitar 53 juta euro telah dipulihkan dengan bantuan otoritas di Tiongkok, Portugal, dan Italia. Sekitar 36 juta euro, yang sudah dikonversi menjadi kripto, masih hilang.
Apakah Fideuram diretas? Tidak ada laporan bahwa sistemnya dibobol. Ini rekayasa sosial: pesan palsu dan suara buatan AI meyakinkan orang yang berwenang untuk menyetujui transfer.
Bagaimana perusahaan bisa melindungi diri dari penipuan kloning suara AI? Jangan pernah mengonfirmasi permintaan lewat kanal yang diberikan si peminta, hubungi kembali ke nomor dari catatan Anda sendiri, wajibkan pemberi persetujuan kedua yang independen, dan sepakati sejak awal cara membuktikan identitas yang tidak bisa ditiru suara kloning.
Sumber: Reuters, “AI messaging scam costs Italy’s top bank Intesa millions, sources say” (25 September 2026); il Giornale, “La voce clonata che ha ingannato Fideuram” (25 September 2026). Angka sesuai laporan media dan dapat berubah seiring berjalannya penyelidikan.