Frauda care a păcălit un director din private banking-ul celei mai mari bănci italiene arată că „controlul intern” nu mai ține de o simplă bifă de conformitate. Ce lipsește din sistem și cine plătește nota.
Ce fel de fraudă poate păcăli un om plătit să recunoască fraudele? Una în care cei doi ochi și două urechi pe care se sprijină orice procedură bancară sunt exact cele înșelate. Fostul șef al Fideuram, divizia de private banking a Intesa Sanpaolo (cea mai mare bancă din Italia, prezentă și în România), a fost ținta unui atac care ar fi pus la încercare orice lanț decizional. Miza: 95 de milioane de euro.
Scenariul: două „identități” furate, un singur ordin
Potrivit relatărilor, totul a pornit de la un mesaj WhatsApp care părea să vină de la CEO-ul Intesa Sanpaolo. Cererea: transfer urgent și confidențial de 95 de milioane de euro către mai multe conturi din China și Hong Kong.
Urgența și confidențialitatea sunt combinația clasică a fraudei de tip „CEO fraud”, care blochează exact reflexul de verificare. Aici a urmat însă pasul care schimbă categoria de risc. Pentru a „confirma” ordinul, fraudatorii l-au sunat pe WhatsApp folosind vocea clonată prin inteligență artificială a unui avocat, partener într-o firmă importantă, pe care victima îl cunoștea bine și în care avea încredere.
Nu a mai fost un e-mail cu greșeli de ortografie. A fost o dublă uzurpare de identitate, cu un canal (WhatsApp) aflat în afara perimetrului de securitate al băncii și o voce care a înlocuit verificarea pe care ar fi făcut-o un om precaut.
Cine a prins frauda: sistemul, nu omul
Sistemele interne de control al riscului au semnalat operațiunea ulterior. Prin cooperarea poliției din China, Italia și Portugalia au fost recuperați aproape 60 de milioane de euro. Lipsesc peste 35 de milioane, transformate rapid în criptomonede și mutate în conturi offshore.
Rezultatul este o recuperare parțială spectaculoasă, dar și o dovadă că fraudatorii au avut timp să facă ce contează: să iasă din sistemul bancar tradițional. Din punctul de vedere al recuperării, criptomoneda pare aici punctul unde se pierde urma banilor.
Nu e un caz izolat
Procurorii italieni mai au în lucru alte două cazuri de fraude asistate de AI, vizând alte două bănci, încă nenumite public. Una de 24 de milioane de euro, alta de 2 milioane. Împreună cu cazul Fideuram, suma depășește 120 de milioane de euro, iar băncile ale căror nume nu sunt publice rămân, deocamdată, departe de reflectoarele reputaționale.
Unghiul juridic: ce infracțiuni se conturează
În dreptul italian, o astfel de schemă ar putea fi analizată, în funcție de calificarea reținută de procurori, prin prisma unor infracțiuni precum escrocheria (truffa, art. 640 Cod penal italian), substituirea de persoană (art. 494) și, pentru circuitul banilor, spălarea de bani și autospălarea (art. 648-bis și 648-ter.1). În dreptul românesc, faptele ar avea corespondent în înșelăciune (art. 244 Cod penal) și în spălarea banilor (Legea nr. 129/2019). Calificarea finală aparține exclusiv autorităților judiciare.
Întrebarea incomodă nu este însă doar penală, ci de răspundere civilă și de guvernanță:
- Cine suportă pierderea? Banca, acționarii sau, dacă se dovedește vreo lipsă de diligență, persoanele responsabile? Regulile de răspundere ale administratorilor și ale personalului din funcții de control intră inevitabil în discuție în astfel de dosare.
- Aveau procedurile un mecanism de „confirmare independentă” pentru ordine de această valoare, în afara canalelor informale? Un transfer de 95 de milioane pe baza unui mesaj WhatsApp ridică, oricum, o întrebare despre limitele de autoritate și regula celor „patru ochi”.
- Răspunderea entității. În Italia, Decretul Legislativ 231/2001 leagă răspunderea companiilor de existența unor modele organizatorice adecvate pentru prevenirea anumitor infracțiuni. Chiar dacă banca este victimă în această schemă, modul în care a reacționat poate conta în evaluările supraveghetorilor.
Cadrul european: reguli existente, aplicare încă inegală
Băncile europene lucrează acum într-un cadru care le obligă la reziliență operațională digitală (DORA, Regulamentul (UE) 2022/2554, aplicabil din ianuarie 2025) și la reguli mai stricte anti-spălare, cu o nouă autoritate europeană dedicată (AMLA). Regulamentul european privind inteligența artificială (Regulamentul (UE) 2024/1689) introduce obligații de transparență pentru conținutul sintetic, dar un infractor care clonează o voce nu respectă, evident, nicio obligație de etichetare. Legea este făcută pentru cei care o respectă, iar atacatorii nu fac parte din această categorie.
Discuțiile europene despre extinderea răspunderii băncilor în cazurile de fraudă prin uzurparea identității, în reglementarea serviciilor de plată aflată în negociere, merită urmărite de aproape. Dacă principiul va fi consolidat, costul unor astfel de incidente se va muta tot mai mult către bănci.
Unghiul fiscal: urma banilor și ce se întâmplă cu pierderea
Din perspectivă fiscală, două lucruri contează:
- Tratamentul pierderii. Într-un sistem bancar, o pierdere din fraudă se reflectă în contabilitate, iar deductibilitatea ei fiscală depinde de regulile fiecărei jurisdicții și de dovada diligenței depuse. Pentru bănci, aceasta nu este o chestiune secundară, mai ales când suma finală nerecuperată este de ordinul zecilor de milioane.
- Transparența criptoactivelor. Directiva DAC8 impune, începând cu 2026, raportarea către autoritățile fiscale a tranzacțiilor cu criptoactive prin furnizori autorizați în UE. Efectul ei este însă limitat pentru fondurile ajunse în conturi offshore sau în portofele necustodiale: ce ajunge dincolo de perimetrul de raportare rămâne, practic, invizibil pentru fisc.
Lecția pentru piața din România
Dacă un caz de acest calibru a lovit o conducere experimentată dintr-un grup bancar de talie europeană, riscul nu este teoretic nici pentru băncile și companiile din România. Câteva întrebări pe care orice consiliu de administrație ar trebui să le pună luni dimineață:
- Există o regulă scrisă potrivit căreia niciun transfer major nu se aprobă pe baza unui singur canal, mai ales unul informal ca WhatsApp?
- Se face verificare inversă (apel către un număr deja cunoscut, nu către cel din mesaj) pentru ordinele neobișnuite?
- Sunt testate periodic procedurile împotriva scenariilor de tip deepfake vocal și video?
- Cine poate spune „nu” unui ordin venit aparent de la vârful ierarhiei, și este protejat când o face?
Cazul nu demonstrează că tehnologia a devenit imbatabilă. Demonstrează că încrederea personală, cel mai vechi instrument al bancherilor, a devenit vulnerabilitatea cea mai scumpă. Sistemele automate de risc au prins frauda, dar prea târziu pentru cei 35 de milioane de euro încă lipsă. Până când procedurile vor ține pasul cu vocile clonate, factura va continua să crească.
