EN 30 SEGUNDOS
- ¿Qué ha pasado? La Fiscalía federal del Distrito Sur de Nueva York, dependiente del Departamento de Justicia, ha desvelado una imputación contra tres hombres acusados de desviar más de 129 millones de dólares suplantando a consejeros delegados y abogados con voz clonada por inteligencia artificial.
- ¿Quién está detrás? Jacob Soall, de 41 años, residente en Marbella y en Reino Unido; Sharon Hazan, de 54 años, y Guy Sheetrit, de 42. Los tres aguardan extradición y se enfrentan a cargos de fraude electrónico, robo de identidad agravado y blanqueo de capitales.
- ¿Qué impacto tiene? El dinero pasó por cuentas de nueve países, España entre ellos, y Soall fue detenido en territorio español. Las empresas españolas con filiales en EE. UU. entran en el perímetro de un fraude que no necesita hackear nada.
El Departamento de Justicia ha imputado a tres hombres por un fraude con IA de más de 129 millones de dólares. Lo hicieron con una voz: la de los consejeros delegados y abogados a los que suplantaron.
La acusación, desvelada la semana pasada en el Distrito Sur de Nueva York, señala a Jacob Soall, de 41 años y vecino de Marbella y de Reino Unido; a Sharon Hazan, de 54 años e israelí; y a Guy Sheetrit, de 42, israelí con residencia en Emiratos Árabes Unidos. Se les imputan fraude electrónico (wire fraud, el delito federal que castiga el uso de las telecomunicaciones para estafar), robo de identidad agravado y blanqueo de capitales. Las detenciones se produjeron de forma escalonada a partir de junio: Soall en España, Hazan en Israel, Sheetrit en Reino Unido.
Cómo funcionaba el engaño: el correo del falso directivo y el guion ‘Lawyer Call’
El patrón se repitió durante unos 18 meses, desde julio de 2024. Un empleado del área financiera —casi siempre un contable o un responsable de tesorería— recibía un correo que parecía salir de un directivo de su propia casa. La urgencia era la de siempre; la voz, en cambio, era nueva.
El escrito recoge un ejemplo de octubre de 2024. Un correo llegó a un gran banco de inversión de Nueva York con una petición aparentemente rutinaria: firmar un acuerdo de confidencialidad y llamar después a un supuesto abogado. Los imputados tomaban prestados los nombres reales de letrados de despachos reales, con frecuencia entre los cincuenta más grandes del mundo. La credencial era falsa. El nombre, no.
Soall guardaba, según los investigadores, un guion manuscrito titulado Lawyer Call. El texto manejaba jerga regulatoria y advertía sobre el riesgo de uso de información privilegiada para justificar el secreto y desanimar a la víctima a contrastar la llamada con un compañero. En varios intentos añadieron videollamadas con deepfakes —suplantaciones de imagen generadas por IA— de los propios consejeros delegados.
La IA no abrió ninguna cerradura: convenció a alguien de que la puerta estaba abierta.
Conviene subrayarlo porque ordena todo el debate. Nadie hackeó un servidor, no hubo malware ni contraseñas rotas. La puerta la abrió la confianza de quien descuelga el teléfono y reconoce a su jefe.
Una vez dada la orden de transferencia, los fondos recorrían cuentas controladas por los acusados en Austria, China, Grecia, Portugal, Singapur, Eslovaquia, España, Emiratos Árabes Unidos y Estados Unidos. Después se convertían en criptomonedas para difuminar el origen y repartir el botín. Hazan, según la acusación, presumía de haber blanqueado más de 400 millones de dólares en tres años. Los alias del grupo tienen algo de cómic: Rocky Balboa para Soall; Superman Cash y Fat Boy para Hazan.
Las víctimas: 4,8 millones de un hospital de Misuri y 11,6 de una fintech británica
El mapa de perjudicados que figura en la imputación es heterogéneo y muy concreto: un sistema hospitalario regional de Misuri (4,8 millones de dólares), una empresa británica de tecnología financiera (11,6 millones), una compañía de alimentación para mascotas de Florida (5 millones), un sistema hospitalario de California (3 millones), una gestora de fondos de Massachusetts (4,7 millones) y un banco de Rhode Island (2,7 millones). Sanidad, finanzas y alimentación: sectores con prisa y con teléfono.
La conexión española no es anecdótica. Soall vivía en Marbella y fue arrestado en España; su entrega a EE. UU. se tramita por el tratado bilateral de extradición, el mismo cauce que la Audiencia Nacional aplica cuando la conducta es delito en ambos países. En el relato del escrito aparecen además cuentas españolas usadas como escala: el dinero pasó por por bancos de media docena de jurisdicciones antes de saltar a criptomonedas. Nada indica que las entidades financieras españolas participaran en el ardid. Eran el tubo, no la bomba.
Para las empresas españolas el caso importa por dos razones. La primera es que la técnica funciona: el fraude del consejero delegado —la orden de pago urgente firmada por un supuesto directivo— lleva una década entre las estafas más denunciadas en España, y la clonación de voz elimina el último freno del empleado, que era reconocer el timbre de su jefe. La segunda es la exposición internacional.
Grupos como Santander, Iberdrola, Inditex, Ferrovial o Telefónica operan filiales en EE. UU. y mueven tesorería entre jurisdicciones: justo el perfil que buscan los imputados. No hay en la acusación ninguna referencia a compañías españolas como víctimas. Eso sí, el protocolo de verificación de pagos internacionales deja de ser un asunto de cumplimiento normativo y pasa a ser una línea de defensa operativa.
La Lógica de Washington
¿Por qué actúa el Departamento de Justicia y no el Congreso? Porque no necesita al Congreso. El Código Federal ya castiga estafar mediante telecomunicaciones y ya prevé penas adicionales obligatorias por robo de identidad agravado, una figura creada por la ley de 2004 contra el robo de identidad, que suma dos años de cárcel consecutivos a quien usa los datos de otra persona para cometer un delito. La IA no ha obligado a inventar un delito nuevo. Ha obligado a aplicarle los viejos.
Esa es la lógica de fondo y explica también el encuadre político. Washington separa dos cosas que en Europa se discuten juntas: cómo se regula el desarrollo de los modelos y cómo se persigue el uso delictivo de esos modelos. En el primer terreno, la administración de Donald Trump ha apostado por la desregulación y el impulso industrial. En el segundo, la doctrina es la contraria: tolerancia cero y mano dura penal, con el Departamento de Justicia como punta de lanza. No es una contradicción. Es una división del trabajo.
Hay precedente. Cuando el teléfono, la tarjeta de crédito o el correo electrónico masificaron el fraude, Washington no esperó a una ley integral: aplicó los estatutos existentes y endureció penas concretas. Esta imputación sigue el mismo manual. Y tiene una ventaja política evidente: castigar a estafadores que se hacen pasar por el jefe no divide al Partido Republicano ni al Partido Demócrata. Es el raro caso en el que ambos partidos aplauden la misma acta de acusación.
Para España, la lectura es doble. Primero, la respuesta europea va por otro camino —el Reglamento de IA, con obligaciones de transparencia para etiquetar contenidos sintéticos—, y ese enfoque exige años de despliegue mientras el fraude se comete por teléfono esta misma tarde. Segundo, el aviso para las empresas españolas con filiales en EE. UU. es operativo: revisar protocolos de tesorería y enseñar a los equipos financieros a desconfiar de la voz, no solo de la firma. La próxima cita relevante es la tramitación de la extradición de Soall ante la Audiencia Nacional y, después, el calendario del tribunal de Nueva York. Los otros dos acusados pelearán sus entregas desde Israel y Reino Unido.
Ficha del Caso
- El caso: La Fiscalía federal de Nueva York imputa a tres hombres por suplantar con voz clonada por IA a consejeros delegados y abogados para ordenar transferencias millonarias a empresas de EE. UU. y Europa.
- Datos clave: Más de 129 millones de dólares desviados en unos 18 meses desde julio de 2024; cuentas de tránsito en nueve países, entre ellos España; cargos de fraude electrónico, robo de identidad agravado y blanqueo; detenciones escalonadas desde junio y extradiciones pendientes.
- Para España: Uno de los imputados residía en Marbella y fue arrestado en territorio español, y la trama usó cuentas españolas como escala. Las filiales americanas de los grandes grupos españoles son el perímetro de riesgo natural de esta técnica.
