Jedna lažna poruka na WhatsAppu i jedan lažni glas na telefonu bili su dovoljni da talijanska banka Fideuram ostane bez 95 milijuna eura.

U veljači 2026. predsjednik jedne od najpoznatijih talijanskih privatnih banaka dobio je na WhatsApp poruku od, kako je mislio, prvog čovjeka cijele bankarske grupe. Pisalo je da se radi o povjerljivom poslu koji matična banka zbog tehničkih problema ne može sama odraditi. Zatim je stigao poziv. S druge strane javio se partner poznate odvjetničke kuće i potvrdio da je sve u redu. Glas je bio njegov, samo što to nije bio on. Dok je itko shvatio o čemu se radi, iz banke je otišlo 95 milijuna eura. Prijevara kloniranim glasom stigla je tako do samog vrha banke.

Kako je iz Fideurama nestalo 95 milijuna eura

Fideuram je banka za privatno bankarstvo unutar grupe Intesa Sanpaolo, najveće banke u Italiji. Prema pisanju Reutersa iz rujna 2026., prevaranti su se na WhatsAppu lažno predstavili kao Carlo Messina, prvi čovjek Intesa Sanpaola. Zatim su umjetnom inteligencijom oponašali glas partnera odvjetničke kuće, koji je upute tobože potvrdio telefonom. Tadašnji predsjednik Fideurama Paolo Molesini odobrio je nekoliko uplata na račune u inozemstvu, najviše u Kini i Hong Kongu. Talijanski portal Il Post piše da su brojevi računa stigli e-poštom, naizgled iz odvjetničkog ureda, i da je Molesini zatim od financijskog direktora banke tražio da izvrši plaćanja.

Više od polovice novca kasnije je vraćeno, zahvaljujući suradnji talijanskih, kineskih i portugalskih vlasti. Oko 36 milijuna eura i dalje nedostaje i vjerojatno je već pretvoreno u kriptovalute. Molesini je u ožujku dao ostavku iz osobnih razloga, kako je tada objašnjeno. Ni on ni itko drugi iz vodstva banke nije pod istragom. Milansko državno odvjetništvo istražuje stranca koji živi izvan Europe zbog računalne prijevare. Intesa Sanpaolo i Fideuram nisu htjeli komentirati slučaj.

Prijevara kloniranim glasom stari je trik s novim alatom

Mediji ovo zovu prijevarom kloniranim glasom i nisu u krivu. Ipak, lažni glas bio je samo zadnji potez u napadu koji kriminalci izvode godinama: netko se predstavi kao direktor ili poslovni partner i traži hitnu uplatu. Na engleskom se takva prijevara zove BEC. Samo u Sjedinjenim Državama takve su prijevare 2024. napravile prijavljenu štetu veću od 2,7 milijardi dolara, pokazuje godišnje izvješće FBI-jeva centra IC3. Lažni nalozi direktora nisu ništa novo. Umjetna inteligencija samo je uklonila trenutak u kojem bi prevaranta odao glas u slušalici.

Pravi problem bio je negdje drugdje. Sve u ovoj priči tjeralo je žrtvu da zaobiđe uobičajeni postupak: tajnost, žurba, uvjerljivo objašnjenje zašto redovni put ne ide i nalog koji dolazi s vrha grupe. Kad je predsjednik povjerovao, nalog je išao dalje, do financija, gdje nitko nije imao razloga sumnjati. Kontrole koje bez problema zaustave sumnjiv nalog običnog službenika redovito popuste kad nalog daje najvažniji čovjek u kući. „Klonirani glas bio je samo zadnji sloj. Zakazalo je uvjerenje da onoga tko je na vrhu ne treba provjeravati”, kaže Tomislav Vazdar, direktor Riskorije.

Nešto slično dogodilo se početkom 2024. tvrtki Arup. Zaposlenik je prebacio 25 milijuna dolara nakon videopoziva s lažnim rukovoditeljima koje je stvorila umjetna inteligencija. Arupov direktor informatike Rob Greig poslije je za Svjetski ekonomski forum rekao da je to bio društveni inženjering uz pomoć tehnologije i da nijedan sustav tvrtke nije bio probijen. Dvije godine kasnije isti je trik stigao više, od zaposlenika u financijama do predsjednika banke.

Što je trebalo napraviti

Pomorci su davno naučili da se na dugoj plovidbi ne oslanjaju na samo jedan instrument. Kompas može pokazivati krivo, a satelitski signal može se lažirati, pa dobar navigator položaj uvijek provjeri još jednim, neovisnim izvorom. S plaćanjima je isto. Poruka na WhatsAppu i poziv dogovoren u tom istom razgovoru nisu dvije provjere. To je isti izvor koji se javio dvaput.

U praksi to znači nazvati natrag na broj koji već imate, nikako na broj iz poruke. Znači imati dogovorenu lozinku ili pitanje na koje zna odgovoriti samo prava osoba. Najvažnije od svega, znači imati pravilo koje nitko ne smije zaobići, ni predsjednik, pa ni onda kad kaže da je stvar povjerljiva. Na rečenicu „ovo mora ostati među nama” treba odmah uključiti dodatnu provjeru, a ne poslušati.

Pogledajmo i financijskog direktora koji je dobio nalog. U zdravoj tvrtki od njega se očekuje da nalog predsjednika zaustavi i provjeri, i nitko mu to poslije ne zamjera. U mnogim bi tvrtkama isti potez izgledao kao neposluh. Prevaranti jako dobro znaju s kakvom tvrtkom imaju posla.

Ovo je posao za upravu, a ne za informatičare

Za tvrtke i ustanove na koje se odnosi direktiva NIS2, koju je Hrvatska prenijela Zakonom o kibernetičkoj sigurnosti, članak 20. direktive kaže da uprava odobrava mjere za upravljanje kibernetičkim rizicima, nadzire kako se provode i da njezini članovi moraju proći osposobljavanje. Slučaj Fideurama pokazuje zašto je to važno. Članovi uprave najbolja su meta za lažno predstavljanje upravo zato što njihova riječ vrijedi više od svakog postupka. Prijevara kloniranim glasom tu slabost samo čini jeftinijom i bržom.

Tri stvari koje se mogu napraviti odmah:

• napisati jasno pravilo kako se provjeravaju velika plaćanja i dogovoriti s upravom da ono prije svega vrijedi za njezine članove;
• dogovoriti brojeve za povratni poziv i lozinke između uprave, financija i vanjskih savjetnika, pa i odvjetnika;
• napraviti vježbu u kojoj „glas” člana uprave traži hitnu i tajnu uplatu i vidjeti tko će stati i provjeriti.

Svaki mjesec bez toga mjesec je u kojem je potpis prvog čovjeka tvrtke ujedno i njezina najslabija točka. Ako je novac već otišao, odmah nazovite banku i tražite da zaustavi ili vrati uplatu, sačuvajte svu prepisku i prijavite slučaj policiji. Što se prije reagira, veće su šanse da se novac zaustavi. Riskoria s upravama radi baš ovakve vježbe. A pitanje za danas je jednostavno: ako sutra glas Vašeg direktora nazove Vašeg financijskog direktora, što će zapravo zaustaviti novac?

Izvor: Reuters, 25. rujna 2026.