Panggilan dengan suara CEO anda meminta pemindahan wang sulit: penipuan AI mengaut 129 juta dolar daripada syarikat, dan satu peraturan menghalangnya

Penipuan antara carian paling popular di Arab Saudi hari ini, Selasa, 10 November 2026. Lima hari lalu, pendakwa raya persekutuan AS di New York mengumumkan pertuduhan terhadap sindiket yang menggunakan AI untuk mengklon suara dan imej ketua pegawai eksekutif serta peguam, lalu meyakinkan pekerja memindahkan lebih 129 juta dolar, kira-kira 483 juta riyal Saudi, antara 2024 dan 2026. Pengajaran untuk setiap perniagaan: jangan sekali-kali menghantar wang hanya kerana suaranya seperti suara bos. Setiap permintaan pemindahan di luar prosedur biasa mesti disahkan melalui panggilan yang anda sendiri buat ke nombor yang sudah direkodkan, berserta kelulusan orang kedua, tanpa pengecualian untuk urus niaga sulit. (Gambaran keseluruhan kami bincangkan dalam artikel tentang deepfake dan penipuan AI, dan e-mel palsu dalam artikel tentang e-mel pancingan data.)

Apa yang berlaku, dalam angka

Pada Khamis, 5 November 2026, Pejabat Peguam AS bagi Daerah Selatan New York mendedahkan dakwaan terhadap 3 orang yang ditahan di Sepanyol dan United Kingdom, dan permohonan ekstradisi mereka masih belum selesai. Semua kandungan dakwaan ialah tuduhan yang belum dibuktikan di mahkamah. Kenyataan itu menamakan 6 syarikat mangsa, antara lain:

• Sebuah kumpulan hospital di Missouri: $4,829,580.
• Sebuah bank di Rhode Island: $2,684,580.
• Sebuah kumpulan hospital di California: $2,968,497.
• Sebuah syarikat teknologi kewangan di United Kingdom: $11,578,474.
• Sebuah syarikat dana unit amanah di Massachusetts: $4,639,918.
• Sebuah syarikat makanan haiwan peliharaan di Florida: $5,242,747.

Enam syarikat ini sahaja berjumlah kira-kira 31.9 juta dolar. Perhatikan bahawa mangsa bukan kedai kecil yang cuai: antaranya sebuah bank, sebuah fintech dan sebuah pengurus dana, iaitu organisasi yang mempunyai pasukan kewangan dan kawalan dalaman.

Bagaimana panggilan berlaku, langkah demi langkah

Menurut kenyataan pendakwa raya, skrip itu berulang dalam susunan yang sama:

1. CEO menelefon: penipu menyamar sebagai ketua pegawai eksekutif, menggunakan AI untuk meniru suara atau imejnya dalam panggilan, dan meminta bantuan pekerja untuk satu urus niaga kewangan sulit.
2. Peguam masuk campur: CEO palsu menyuruh pekerja menghubungi peguam di firma guaman antarabangsa besar yang kononnya mengendalikan urus niaga itu, dan penipu turut menyamar sebagai peguam tersebut.
3. Pemindahan: peguam palsu mengarahkan pemindahan wang yang besar ke akaun bank yang dikawal sindiket, di negara termasuk AS, Sepanyol, Portugal, Greece, Emiriah Arab Bersatu, Singapura, Austria, Slovakia dan China.
4. Penyembunyian: sebaik wang diterima, ia ditukar kepada mata wang kripto untuk menyembunyikan asal usulnya.

Butiran paling ketara: salah seorang tertuduh menyimpan skrip tulisan tangan bertajuk Lawyer Call, mengandungi ayat untuk meyakinkan pekerja supaya tidak membincangkan panggilan itu dengan rakan sekerja. Kerahsiaan bukan butiran sampingan dalam penipuan ini. Ia ialah alat yang mematikan setiap kawalan dalaman.

Mengapa mengenali suara tidak lagi mencukupi

Nasihat supaya mendengar dengan teliti tidak lagi berkesan. Laporan tahunan 2025 Pusat Aduan Jenayah Internet FBI menyatakan kandungan sintetik yang dihasilkan AI semakin sukar dikesan dan semakin mudah dihasilkan, dan pengklonan suara digunakan untuk meminta pemindahan wang. Pada 2025 sahaja:

• Pusat itu menerima 22,364 aduan yang menyebut AI, dengan kerugian $893,346,472.
• Syarikat melaporkan kerugian lebih 30 juta dolar akibat penipuan e-mel perniagaan yang melibatkan AI.
• Penipuan e-mel perniagaan secara keseluruhan menyebabkan kerugian $3,046,598,558 daripada 24,768 aduan.

Ini angka AS, tetapi kaedahnya tidak mengenal sempadan, dan akaun sindiket itu sendiri termasuk di Emiriah Arab Bersatu. Di Arab Saudi, Bank Pusat Arab Saudi (SAMA) menyatakan bahawa kaedah penipuan berbeza-beza tetapi matlamatnya sama, iaitu mencuri wang anda atau menggunakan akaun bank anda untuk urus niaga haram, dan menasihatkan supaya maklumat hanya diambil daripada sumber rasmi. Dalam syarikat, sumber rasmi ialah nombor yang sudah anda rekodkan, bukan nombor yang menelefon anda.

5 peraturan yang melindungi pemindahan wang syarikat anda

1. Panggilan balik adalah wajib. Setiap permintaan pemindahan melalui telefon, video atau WhatsApp, walaupun dengan suara CEO, disahkan melalui panggilan yang dibuat sendiri oleh pekerja ke nombor CEO dalam rekod syarikat, bukan dengan menelefon semula nombor yang sama atau menyertai pautan mesyuarat yang dihantar oleh peminta.
2. Tiada pengecualian atas alasan kerahsiaan. Tulis dalam polisi syarikat: tiada urus niaga sulit yang dikecualikan daripada proses kelulusan. Beritahu pasukan anda bahawa CEO sebenar tidak akan sekali-kali meminta mereka menyembunyikan pemindahan daripada pengurus kewangan. Sebarang permintaan supaya tidak memberitahu rakan sekerja bermakna berhenti serta-merta.
3. Dua kelulusan melebihi had tertentu. Tetapkan amaun yang melebihinya pemindahan memerlukan pelulus kedua yang tidak berada dalam panggilan, sebaik-baiknya dikuatkuasakan dalam sistem kewangan dan kebenaran akaun bank anda, bukan sekadar ditulis dalam manual.
4. Kata pengesahan dalaman. Persetujui dengan semua yang berhak meminta pemindahan satu soalan atau perkataan yang hanya digunakan untuk permintaan bayaran dan tidak pernah ditulis dalam e-mel atau sembang. Penipu boleh mengklon suara, tetapi tidak boleh tahu apa yang tidak pernah didengarinya.
5. Laporkan dalam beberapa jam, bukan hari. Jika wang sudah keluar, hubungi bank anda segera dan minta ia dihentikan. Pada 2025 Pasukan Pemulihan Aset FBI bekerjasama dengan bank dalam 3,900 kes dan membekukan $679,013,183, kadar kejayaan 58%, dan faktor utamanya ialah betapa cepat mangsa membuat laporan.

Pandangan Origami

Kami melihat kes ini lebih sebagai masalah proses berbanding masalah teknologi. Sindiket itu tidak menggodam sistem mana-mana mangsa. Ia mengeksploitasi satu perkara: pekerja yang boleh memindahkan wang bersendirian dan mematuhi suara yang dikenalinya. Apabila meniru suara dan wajah menjadi murah, satu-satunya peraturan yang bertahan ialah peraturan yang tidak bergantung pada penilaian pekerja terhadap apa yang didengarinya.

Sebab itu, apabila kami membina sistem perakaunan, perolehan atau pembayaran tersuai untuk perniagaan Saudi, kami meletakkan aliran kelulusan di dalam sistem itu sendiri: had amaun, kelulusan kedua, dan log setiap permintaan serta siapa yang meluluskannya, supaya tiada panggilan yang meyakinkan dapat memintasnya. Jika anda mahu semakan aliran kelulusan pembayaran anda, hubungi kami atau lihat perkhidmatan kami.

Kesimpulan: apa yang perlu dilakukan minggu ini

• Kumpulkan semua yang boleh menghantar atau meluluskan bayaran dan terangkan kes ini kepada mereka dalam 10 minit.
• Masukkan peraturan panggilan balik dan peraturan tiada pengecualian atas alasan kerahsiaan ke dalam polisi bertulis yang ditandatangani pasukan.
• Semak kebenaran akaun bank anda: bolehkah seorang menghantar apa-apa amaun tanpa kelulusan kedua?
• Simpan nombor talian penipuan bank anda dengan pasukan kewangan sebelum anda memerlukannya.

Sumber

• Jabatan Kehakiman AS, Pejabat Peguam AS bagi Daerah Selatan New York — kenyataan 5 November 2026: pertuduhan, kaedah menyamar sebagai CEO dan peguam, kerugian enam syarikat, dan negara tempat akaun dibuka.
• Pusat Aduan Jenayah Internet FBI — laporan tahunan 2025 oleh IC3: aduan dan kerugian berkaitan AI, kerugian penipuan e-mel perniagaan, dan hasil pembekuan dana.
• Bank Pusat Arab Saudi (SAMA) — amaran tentang mesej dan panggilan mencurigakan: kaedah penyamaran identiti, matlamatnya, dan nasihat supaya hanya bergantung pada sumber rasmi.