Clonació de veu amb IA: el nou cavall de Troia que buida tesoreries
- L'ús de la clonació de veu amb IA ha permès robatoris massius, com el cas de 95 milions d'euros a Intesa Sanpaolo.
- El fraude BEC ha evolucionat des dels correus falsos cap a deepfakes hiperrealistes de veu i vídeo.
- Les pèrdues globals per aquest sistema han superat els 3.000 milions de dòlars només durant l'any 2025.
- La prevenció requereix protocols de verificació estrictes que no depenguin exclusivament de la identitat biomètrica.
La ciberseguretat empresarial ha entrat en una nova era on la confiança auditiva i visual ha deixat de ser una garantia. El que abans es considerava un escenari de ciència-ficció s'ha convertit en una amenaça tangible i devastadora per a les tesoreries de companyies d'estat i entitats financeres. La clonació de veu mitjançant intel·ligència artificial està permetent que actors maliciosos suplantin identitats de l'alta direcció amb una precisió quirúrgica, convertint la tecnologia de síntesi de veu en l'arma principal d'una nova onada de fraus.
El cas Intesa Sanpaolo i la vulnerabilitat de la confiança
Un dels exemples més alarmants d'aquesta tendència ha tingut lloc en el sector bancari europeu. El febrer de 2026, Paolo Molesini, llavors president de Fideuram —la divisió de banca privada del grup Intesa Sanpaolo—, va ser la víctima d'una operació d'engany extremadament sofisticada. Tot va començar amb un missatge de WhatsApp que simulava provenir de Carlo Messina, el conseller delegat del grup. El missatge plantejava una urgència financera: calia canalitzar transferències a través de la tesoreria de Fideuram per no perdre una operació a l'estranger.
L'estafa va assolir el seu punt crític quan Molesini va rebre una trucada telefònica. Al altre cost de la línia, la veu pertanyia, aparentment, a Paolo Nastasi, soci director de la firma A&O Shearman a Itàlia, actuant com a intermediari. Molesini coneixia Nastasi i va reconèixer la seva veu sense cap dubte. No obstant això, es tractava d'una clona generada per IA. Aquesta confirmació auditiva va donar llum verda a la transferència de 95 milions d'euros cap a comptes a Xina i Hong Kong.
Malgrat que la rapidesa de la cooperació interbancaria va permetre recuperar 59 milions d'euros, 36 milions van desaparèixer completament. Aquest incident demostra que ni els perfils executius més experimentats són immuns quan la tecnologia és capaç de replicar la identitat biomètrica d'una persona coneguda.
L'evolució del fraude BEC: del correu al deepfake
El Business Email Compromise (BEC), o fraude del correu electrònic empresarial, ha canviat les seves regles del joc. Tradicionalment, aquest tipus d'estafa es basava en la suplantació d'identitat mitjançant correus electrònics amb errors ortogràfics o dominis lleugerament alterats. Un exemple clàssic va ser el de Barbara Corcoran el 2020, qui va perdre gairebé 389.000 dòlars per un correu fals que suplantava la seva assistent.
Avui dia, la mecànica és molt més trencadora. Els ciberdelinqüents recopilen dades públiques, analitzen els protocols de pagament de l'empresa i utilitzen eines de IA per imitar no només la veu, sinó també el rostre dels directius. L'engany ha escalat fins a arribar a videotrucades hiperrealistes. El cas de l'empresa d'enginyeria britànica Arup és emblemàtic: un empleat de Hong Kong va transferir 25 milions de dòlars després de mantenir una videoconferència amb supòsits directius que, en realitat, eren deepfakes generats per IA.
L'FBI va alertar ja el 2024 que els criminals estan explotant la clonació de veu i els deepfakes per perfeccionar el fraude BEC, combinant correus personalitzats, missatges de text i spoofing telefònic.
Impacte global i xifres que alarmen
L'escala d'aquest fenomen és massiva. Segons dades del FBI, només durant l'any 2025, els robatoris mitjançant aquests sistemes han superat els 3.000 milions de dòlars. La facilitat d'accés a eines de clonació de veu ha democratitzat el crim cibernètic de nivell alt.
A Els Emirats Àrabs Units, s'ha detectat un cas on el gerent d'un banc va ser enganyat per hackers que van clonar la veu del propietari d'una empresa, aconseguint robar 35 milions de dòlars. Aquest incident ha portat a la identificació de 17 individus implicats i ha posat de manifest la velocitat a la qual avança la tecnologia deep voice. Eines com Resemble.AI, Respeecher o Aflorithmic, tot i tenir aplicacions legítimes, poden ser mal utilitzades per actors maliciosos que només necessiten uns pocs segons de registres d'àudio públics per crear una còpia gairebé perfecta.
La fragilitat dels sistemes de verificació actuals
El problema fonamental és que moltes empreses encara confien en la verificació basada en la identitat percebuda. Si el directiu 'es veu' i 'es sent' com el cap, l'empleat tendeix a saltar-se els protocols de seguretat per a complir una ordre urgent. Els atacants aprofiten aquesta pressió psicològica i la jerarquia corporativa per forçar decisions ràpides.
La ciberseguretat moderna ha de moure's cap a models de 'Zero Trust' (Confiança Zero), on cap comunicació, per molt familiar que sembli, és acceptada sense una segona via de verificació independent. L'ús de la tecnologia deep voice fa que la veu ja no sigui una contrasenya segura.
Estratègies de defensa per a l'empresa moderna
Per combatre aquests atacs, és imprescindible implementar protocols de seguretat que no depenguin de la percepció sensorial. Les empreses han de conscienciar els seus treballadors sobre la realitat dels deepfakes i establir canals de confirmació alternatius.
Algunes mesures crítiques inclouen:
- Establir una paraula clau interna i secreta per a transferències d'imports elevats.
- Obligar la confirmació a través d'un canal diferent al que s'ha rebut la sol·licitud (per exemple, si arriba un WhatsApp, confirmar per telèfon fix o presencialment).
- Implementar sistemes de signatura digital multifactor que no depenguin de la validació verbal.
- Formació contínua en enginyeria social per a tot el personal amb accés a la tesoreria.
Com indica l'anàlisi sobre estafes amb IA, la capacitat de detectar aquests timos depèn cada vegada menys de la intuïció i més de la disciplina en l'aplicació de protocols rígids de seguretat.
Implicacions per al mercat espanyol i l'ecosistema català
Per a les empreses de Catalunya i Espanya, aquesta amenaça té matisos específics. L'ecosistema empresarial de Barcelona, caracteritzat per una alta densitat de startups tecnològiques i centres de negoci internacionals, és un blanc atractiu per a aquests atacs degut a la seva dinàmica de creixement ràpid i la constant interacció amb socis globals.
L'entrada en vigor de l'AI Act de la Unió Europea busca regulació sobre la transparència dels sistemis d'IA, obligant a etiquetar els continguts generats sintèticament. No obstant això, els cibercriminals no segueixen la normativa europea. Per a una pyme catalana o una gran empresa espanyola, el risc no és només la pèrdua financera, sinó el dany reputacional que comporta una brega de seguretat d'aquest tipus.
El teixit industrial i de serveis de la regió ha de comprendre que la digitalització accelera els processos, però també obre noves portes a l'enginyeria social. En un mercat on la confiança personal i el networking són pilars fonamentals, la clonació de veu ataca precisament aquest vincle. La resposta ha de ser una combinació de tecnologia de detecció de deepfakes i una cultura corporativa on qüestionar una ordre inusual, encara que vingui del CEO, no sigui vist com una falta de respecte, sinó com un acte de responsabilitat i protecció del patrimoni de l'empresa.
Preguntes freqüents
Què és exactament el fraude BEC?
El Business Email Compromise és una forma d'estafa en la qual un atacant suplantar l'identitat d'un executiu o proveïdor per enganyar un empleat i aconseguir que realitzi transferències bancàries no autoritzades.
Com es pot detectar una veu clonada per IA?
Cada vegada és més difícil, però algunes senyals poden incloure pauses innaturals, falta d'emocions coherents amb el context o una qualitat d'àudio que canvia abruptament. No obstant això, la millor defensa és la verificació per un canal independent.
L'AI Act europeu pot aturar aquestes estafes?
L'AI Act imposa regles de transparència per als desenvolupadors d'IA, però no pot controlar l'ús que els criminals fan d'eines creades fora de la UE o de programari obert. La prevenció interna és l'única defensa real.
Fonts: Confilegal, Noticiasseguridad, Que ·
glacom · IA per a despatxos d’advocats: els expedients no surten del despatx →Scrivila qui: Susanna, l assistente AI di glacom, ti risponde via email con un approfondimento gratuito.
Nessuna consulenza personalizzata (finanziaria, legale o medica): solo informazione e fonti. Email usata solo per rispondere.
oppure scrivile su: WhatsApp · Telegram · SimpleX · Delta Chat · Email
