यूएई की US$35 मिलियन की डीपफेक वॉइस धोखाधड़ी और उसके बाद क्या हुआ

संक्षेप में

यूएई से जुड़ा सबसे अच्छी तरह दर्ज डीपफेक मामला जनवरी 2020 की वह धोखाधड़ी है, जिसकी खबर फोर्ब्स ने अक्टूबर 2021 में सबसे पहले दी थी। एक ब्रांच मैनेजर को ऐसा फोन कॉल आया, जो उसके जाने-पहचाने एक कंपनी डायरेक्टर की आवाज़ जैसा लग रहा था। कॉल की पुष्टि "डायरेक्टर" और "मार्टिन ज़ेल्नर" नाम के एक वकील के ईमेल ने भी की।[1] मैनेजर को एक कथित अधिग्रहण के लिए करीब US$35 मिलियन ट्रांसफर करने के लिए राज़ी कर लिया गया।[2][3] यूएई के जाँचकर्ताओं ने अमेरिकी अधिकारियों को बताया कि "डीप वॉइस" तकनीक का इस्तेमाल हुआ था और इसमें कम से कम 17 लोग शामिल थे।[2][3][4] बहुत कुछ अब भी अपुष्ट है, जिसमें यह भी शामिल है कि पीड़ित कौन था और मैनेजर कहाँ तैनात था। मुझे ऐसा कोई पुष्ट बाद का यूएई मामला नहीं मिला, जिसमें डीपफेक का इस्तेमाल खास तौर पर वकीलों, लॉ फर्मों या बैंकरों के खिलाफ हुआ हो। यूएई के अधिकारी तब से बार-बार डीपफेक को लेकर चेतावनियाँ जारी कर चुके हैं और बैंकिंग में प्रमाणीकरण के नियम सख्त कर चुके हैं।

अदालती आवेदन में क्या कहा गया है

यह मामला अमेरिका के एक अदालती दस्तावेज़ के ज़रिये सार्वजनिक हुआ। दुबई के पब्लिक प्रॉसिक्यूशन ऑफिस ने पारस्परिक कानूनी सहायता के अनुरोध के तहत अमेरिकी अधिकारियों से रकम के एक हिस्से का पता लगाने में मदद माँगी थी।[3][5] यह आवेदन डिस्ट्रिक्ट ऑफ कोलंबिया की अमेरिकी डिस्ट्रिक्ट कोर्ट में दाखिल किया गया था।[4] फोर्ब्स के पत्रकार थॉमस ब्रूस्टर को यह दस्तावेज़ मिला और उन्होंने 14 अक्टूबर 2021 को इस पर रिपोर्ट की।[2][3][6]

फोर्ब्स और कॉम्सरिस्क की रिपोर्टिंग में उद्धृत इस आवेदन में यह कहा गया है:

• 15 जनवरी 2020 को "पीड़ित कंपनी के ब्रांच मैनेजर को एक फोन कॉल आया, जिसमें कहा गया कि वह कंपनी के मुख्यालय से है। कॉल करने वाला कंपनी के डायरेक्टर जैसा लग रहा था, इसलिए ब्रांच मैनेजर ने माना कि कॉल असली है।"[3]
• मैनेजर को ऐसे ईमेल भी मिले, जिन्हें उसने डायरेक्टर के भेजे हुए समझा। कॉल करने वाले ने कहा कि कंपनी एक और कंपनी का अधिग्रहण करने वाली है और "मार्टिन ज़ेल्नर (ज़ेल्नर) नाम के एक वकील को अधिग्रहण की प्रक्रियाओं का समन्वय करने के लिए अधिकृत किया गया है।"[3]
• इसके बाद "ज़ेल्नर" के ईमेल आए, जिनमें "डायरेक्टर की ओर से ज़ेल्नर को दिया गया एक प्राधिकार पत्र" भी था। जब ज़ेल्नर ने मैनेजर से "अधिग्रहण के हिस्से के तौर पर कई खातों में 35 मिलियन अमेरिकी डॉलर ट्रांसफर करने" को कहा, तो "ब्रांच मैनेजर ने उसके निर्देशों का पालन किया।"[3]
• "अमीराती जाँच में सामने आया कि प्रतिवादियों ने डायरेक्टर की आवाज़ की नकल करने के लिए 'डीप वॉइस' तकनीक का इस्तेमाल किया था।"[3][4]

यूएई के जाँचकर्ताओं ने इसे "कम से कम 17 ज्ञात और अज्ञात प्रतिवादियों वाली एक जटिल साज़िश" बताया। पैसा कई देशों के खातों में गया।[4] अमेरिका से किया गया खास अनुरोध लगभग US$400,000 को लेकर था, जो अमेरिका के सेंटेनियल बैंक के खातों में गए थे।[2][5][7]

क्या स्थापित है

• यूएई की एक अभियोजन संस्था ने अमेरिकी अदालत को औपचारिक रूप से बताया कि करीब US$35 मिलियन के ट्रांसफर को मंज़ूरी देने के लिए क्लोन की गई आवाज़ का इस्तेमाल हुआ। यह जाँचकर्ताओं का अपना निष्कर्ष है, जो एक कानूनी आवेदन में दर्ज है; किसी सिक्योरिटी वेंडर का दावा नहीं।
• इस धोखाधड़ी में क्लोन की गई आवाज़ को बिज़नेस ईमेल कॉम्प्रोमाइज़ के साथ जोड़ा गया: "डायरेक्टर" और एक वकील के नकली किरदार के जाली ईमेल, और एक जाली प्राधिकार पत्र।[8]
• जाँच अंतरराष्ट्रीय थी। रकम कई न्यायक्षेत्रों में फैलाई गई थी, और अमेरिका में पहुँचे US$400,000 का पता लगाने के लिए यूएई ने अमेरिका से मदद माँगी।[4][7]
• जब यह मामला सामने आया, तब यह वॉइस क्लोनिंग से पैसे चुराने का सिर्फ दूसरा सार्वजनिक रूप से ज्ञात मामला था,[4][9] पहला 2019 का ब्रिटेन की एक ऊर्जा कंपनी का मामला था।[2]

क्या अपुष्ट या अस्पष्ट है

पीड़ित की पहचान और स्थान। आवेदन में न कंपनी का नाम है, न बैंक का। फोर्ब्स की मूल रिपोर्ट में यूएई के एक बैंक मैनेजर की एक कंपनी डायरेक्टर से बातचीत का ज़िक्र था। प्रकाशन के बाद यूएई के विदेश मंत्रालय और अंतरराष्ट्रीय सहयोग मंत्रालय ने फोर्ब्स को बताया कि प्रभावित कंपनी एक अनाम जापानी कारोबार थी, हालाँकि जाँच की अगुवाई दुबई के जाँचकर्ताओं ने की। मई 2023 में फोर्ब्स ने अपनी रिपोर्ट अपडेट करके "हांगकांग में एक जापानी कंपनी के ब्रांच मैनेजर" का ज़िक्र किया।[2] खबरों में उद्धृत अदालती पाठ में बैंक के बजाय "पीड़ित कंपनी के ब्रांच मैनेजर" का ज़िक्र है। इसलिए यह साफ नहीं है कि मैनेजर किसी ग्राहक के ट्रांसफर को मंज़ूरी देने वाला बैंकर था या पीड़ित कंपनी का कर्मचारी, और वह यूएई में बैठा था या हांगकांग में। अन्य मीडिया रिपोर्टिंग का बड़ा हिस्सा अब भी "यूएई बैंक मैनेजर" ही कहती है।

असल में कितना नुकसान हुआ। फोर्ब्स ने इस चोरी को "35 मिलियन डॉलर तक" बताया है।[2] कितनी रकम वापस मिली, यह सार्वजनिक नहीं किया गया है।

"मार्टिन ज़ेल्नर" की भूमिका। इस नाम का एक अमेरिका-स्थित वकील मौजूद है। फोर्ब्स ने उनसे संपर्क किया और कोई जवाब नहीं मिला।[2] सार्वजनिक रिकॉर्ड में ऐसा कुछ नहीं है जो बताए कि वे इसमें शामिल थे; सबसे संभावित व्याख्या यही है कि उनके नाम का इस्तेमाल छद्म पहचान के तौर पर किया गया। यह अनुमान पुष्ट नहीं है।

तकनीक। "डीप वॉइस" जाँचकर्ताओं का इस्तेमाल किया हुआ शब्द है। आवेदन में यह नहीं बताया गया कि आवाज़ लाइव तैयार की गई थी या पहले से रिकॉर्ड की गई थी, या कौन-से टूल इस्तेमाल हुए।

नतीजा। मुझे गिरफ्तारियों, आरोपों, दोषसिद्धियों या रकम की वसूली का कोई सार्वजनिक रिकॉर्ड नहीं मिला। दुबई पब्लिक प्रॉसिक्यूशन ऑफिस ने फोर्ब्स को जवाब नहीं दिया।[2][10]

इस मामले को अक्सर 2024 की एरप (Arup) धोखाधड़ी के साथ गड्डमड्ड कर दिया जाता है, कुछ हद तक इसलिए कि फोर्ब्स के अपडेट किए संस्करण में मैनेजर को हांगकांग में बताया गया है। दोनों अलग हैं। एरप के मामले में कई लोगों वाली डीपफेक वीडियो कॉन्फ्रेंस थी और जनवरी 2024 में HK$200 मिलियन (करीब US$25.6 मिलियन) की रकम गई। यूएई के मामले में जनवरी 2020 में क्लोन की गई आवाज़, ईमेल और एक नकली वकील का इस्तेमाल हुआ, और रकम करीब US$35 मिलियन थी।

इस मामले पर यूएई की आधिकारिक टिप्पणी

फोर्ब्स को दिए बयान में यूएई के एग्ज़ीक्यूटिव ऑफिस ऑफ एंटी-मनी लॉन्ड्रिंग एंड काउंटर टेररिज़्म फाइनेंसिंग के डायरेक्टर जनरल हामिद अल ज़ाबी ने कहा: "यूएई के बाहर होने वाली घटनाओं में भी, हम दुनिया भर के कानून-प्रवर्तन साझेदारों के साथ मिलकर ऐसे लोगों की पहचान करने और उन्हें पकड़ने के लिए काम करेंगे, जो जानबूझकर इम्पोस्टर फ्रॉड जैसी धोखाधड़ी वाली गतिविधियों में शामिल होते हैं।"[2]

वकीलों या बैंकरों से जुड़े यूएई के अन्य मामले

मुझे दुबई, अबू धाबी या यूएई में कहीं और का ऐसा कोई सार्वजनिक रूप से पुष्ट बाद का मामला नहीं मिला, जिसमें डीपफेक वीडियो या क्लोन की गई आवाज़ का इस्तेमाल किसी लॉ फर्म, वकील या बैंक अधिकारी के खिलाफ किया गया हो। यूएई की लॉ फर्मों के मार्केटिंग पेजों समेत व्यावसायिक वेबसाइटें एआई वॉइस स्कैम का सामान्य शब्दों में वर्णन करती हैं, पर किसी खास मामले का हवाला नहीं देतीं। "नकली वकील" वाला तरीका अमेरिकी आँकड़ों में ज़रूर दिखता है। अगस्त 2025 में एफबीआई ने चेतावनी दी कि फर्ज़ी लॉ फर्में क्रिप्टोकरेंसी स्कैम के पीड़ितों को रकम वापस दिलाने के प्रस्तावों के ज़रिये निशाना बना रही हैं। एफबीआई की 2025 की रिपोर्ट में गैर-महत्वपूर्ण क्षेत्रों की रैनसमवेयर शिकायतों में कानूनी सेवाओं की हिस्सेदारी भी 18% थी।[11] इनमें से कोई भी निष्कर्ष यूएई के बारे में नहीं है। यूएई के लिए, वकील और बैंकर से जुड़े डीपफेक स्कैम के वर्णन पर खरा उतरने वाला सबसे साफ उदाहरण 2020 का ज़ेल्नर मामला ही बना हुआ है।

यूएई ने कैसी प्रतिक्रिया दी है

सार्वजनिक चेतावनियाँ। नवंबर 2025 में यूएई साइबर सिक्योरिटी काउंसिल ने सरकारी समाचार एजेंसी डब्ल्यूएएम के ज़रिये चेतावनी दी कि "एआई टूल्स की प्रगति के साथ डीपफेक तकनीक तेज़ी से आगे बढ़ रही है, जिससे असली लोगों की आवाज़ और रूप-रंग की हूबहू नकल संभव हो गई है।" उसने लोगों से आग्रह किया कि सार्वजनिक हस्तियों या राष्ट्रीय संस्थानों के नाम से आई सामग्री को आधिकारिक स्रोतों से मिलाकर जाँचें। उसने यूएई मीडिया काउंसिल के इस रुख को भी दोहराया कि पूर्व मंज़ूरी के बिना राष्ट्रीय प्रतीकों या सार्वजनिक हस्तियों को दर्शाने के लिए एआई का इस्तेमाल मीडिया सामग्री के मानकों का उल्लंघन है।[12] काउंसिल ने 2026 में डीपफेक को लेकर और चेतावनियाँ जारी कीं, जिनमें 6 अप्रैल की एक चेतावनी भी थी, जिसे दुबई पुलिस ने X पर आगे बढ़ाया।[13] मार्च 2026 में यूएई ने कहा कि उसे रोज़ाना 500,000 से 700,000 साइबर हमलों की कोशिशों का सामना करना पड़ रहा है, जिनमें से कुछ के लिए ईरान से जुड़े ऐसे तत्वों को ज़िम्मेदार ठहराया गया, जो एआई टूल्स और डीपफेक का इस्तेमाल करते हैं। उसने 2026 की पहली तिमाही में फिशिंग में 32% की बढ़ोतरी दर्ज की।[14] सितंबर 2026 में यूएई सरकार की साइबर सुरक्षा के प्रमुख डॉ. मोहम्मद अल कुवैती ने कहा कि एक निजी कंपनी में सेंध लगाने के बाद एक हैकर ने US$5 मिलियन से ज़्यादा की माँग की थी, और उन्होंने डीपफेक और तोड़ी-मरोड़ी गई सामग्री के बारे में चेताया।[15]

पुलिस कार्रवाई। अक्टूबर 2026 में साइबर सिक्योरिटी अवेयरनेस मंथ की शुरुआत के मौके पर दुबई पुलिस ने एआई अपराधों की एक समर्पित इकाई और एक डीपफेक डिटेक्शन टूल की घोषणा की। अधिकारियों ने निवासियों से साइबर सेंध और जबरन वसूली की कोशिशों की रिपोर्ट करने का आग्रह किया।[16] पीड़ित दुबई पुलिस के ईक्राइम प्लेटफॉर्म के ज़रिये रिपोर्ट कर सकते हैं।[17]

बैंकिंग नियम। सेंट्रल बैंक ऑफ द यूएई (सीबीयूएई) ने मई 2025 में नोटिस 2025/3057 जारी किया। इसके तहत लाइसेंसशुदा बैंकों और वित्तीय संस्थानों को ग्राहक प्रमाणीकरण के लिए एसएमएस और ईमेल वन-टाइम पासवर्ड तथा स्थायी (स्टैटिक) पासवर्ड चरणबद्ध तरीके से बंद करने होंगे, जिसकी समयसीमा 31 मार्च 2026 है।[18] जुलाई 2025 से, जहाँ बैंक अब भी एसएमएस वन-टाइम पासवर्ड पर निर्भर थे, वहाँ 3-D सिक्योर कार्ड धोखाधड़ी के लिए बैंक ज़िम्मेदार ठहराए जाने लगे।[19] नोटिस में रीयल-टाइम लेन-देन निगरानी की भी शर्त है, जो संदिग्ध भुगतानों को रोक या चुनौती दे सके।[18] संघीय डिक्री-कानून संख्या 6 (2025), यानी 8 सितंबर 2025 को जारी नया सेंट्रल बैंक कानून, वित्तीय संस्थानों के लिए मज़बूत धोखाधड़ी रोकथाम और पहचान प्रणालियों को कानूनी दायित्व बनाता है।[20] संघीय डिक्री-कानून संख्या 10 (2025) मनी लॉन्ड्रिंग-रोधी ढाँचे को अपडेट करता है।[19] सेंट्रल बैंक ने एक केंद्रीय एंटी-फ्रॉड ऑपरेशंस सेंटर भी स्थापित किया है।[21] इनमें से कोई भी उपाय नाम लेकर डीपफेक को निशाना नहीं बनाता। लेकिन ये वॉइस क्लोनिंग जिन दो कमज़ोरियों का फायदा उठाती है, उन्हें ज़रूर दूर करते हैं: पहचानी हुई आवाज़ पर भरोसा और सत्यापन के एक ही माध्यम पर निर्भरता।

कानून। 2026 के अंत तक यूएई में डीपफेक के लिए कोई अलग कानून नहीं है।[22] डीपफेक धोखाधड़ी पर अफवाहों और साइबर अपराधों से मुकाबले संबंधी संघीय डिक्री-कानून संख्या 34 (2021), दंड संहिता के धोखाधड़ी संबंधी प्रावधानों और व्यक्तिगत डेटा संरक्षण कानून (संघीय डिक्री-कानून संख्या 45, 2021) के तहत मुकदमा चलाया जाता है। यह कानून किसी व्यक्ति की छवि और बायोमेट्रिक डेटा को संरक्षित व्यक्तिगत डेटा मानता है।[23] मीडिया काउंसिल के नियम सार्वजनिक हस्तियों के अनधिकृत एआई चित्रण को कवर करते हैं।

बैंकों और लॉ फर्मों के लिए इस मामले का सबक

2020 की धोखाधड़ी का हर हिस्सा ऐसी चीज़ था जिस पर भरोसा करने के लिए बैंक या कंपनी प्रशिक्षित होती है: मैनेजर की जानी-पहचानी आवाज़, ईमेल की कड़ी, सौदे का समन्वय करता एक वकील और एक हस्ताक्षरित प्राधिकार। जो नियंत्रण इसे रोक सकते थे, वही हैं जिनकी सिफारिश एरप के बाद की गई:

• स्वतंत्र रूप से सत्यापित नंबर पर वापस कॉल करें;
• बड़े ट्रांसफर के लिए दो लोगों की मंज़ूरी ज़रूरी करें;
• किसी भी वकील की पहचान ईमेल की कड़ी से नहीं, बल्कि फर्म के प्रकाशित संपर्क विवरण से पक्की करें;
• किसी "अधिग्रहण" को लेकर गोपनीयता की माँग को जाँच छोड़ने का कारण नहीं, बल्कि चेतावनी का संकेत मानें।

यूएई के बैंकों को अब नियमन के ज़रिये इसी दिशा में आगे बढ़ाया जा रहा है। लॉ फर्में, जो अक्सर लेन-देन के लिए भुगतान निर्देश आगे पहुँचाती हैं, उनके लिए इसके बराबर कोई क्षेत्र-विशेष नियम नहीं है।

स्रोत

1. AI voice cloning used in a R517 million heist in the UAE
2. Fraudsters Cloned Company Director’s Voice In $35 Million Heist, Police Find
3. Cloned Voice of Company Director Used for $35mn Bank Theft, Says UAE Police
4. UAE Authorities Request US Help in Tracking Down ‘Deep Voice’ Scammers
5. Criminals Used AI To Clone Company Director's Voice And Steal $35 Million
6. Deepfaked Voice Enabled $35 Million Bank Heist in 2020
7. AI Voice Cloning Used to Fool Bank Manager in $35 Million Heist
8. How to guard against voice cloning and deepfake scams
9. should we fear voice clones
10. Cyber-Criminals Use Voice Cloning Technology in $35 Million Bank Heist
11. FBI Internet Crime Complaint Center, 2025 Internet Crime Report (PDF)
12. UAE issues warning over AI deepfake threats
13. UAE Cyber Security Council Warning: Deepfake Confirmed - Dubai Today
14. UAE Warns Up to 700,000 Daily Cyberattacks From Iran-Linked Hackers Using AI Tools and Deepfakes - The Media Line
15. UAE cyber security chief reveals hacker demanded more than $5m in attack on private company
16. UAE cyber warning 2026: AI is now being used for deepfakes, fake job ads and home camera hacking - Emirates 24|7
17. AI Voice Scam UAE
18. CBUAE Fraud Protection Regulation: What the OTP Ban Means
19. Regulatory Compliance UAE: Banking, AML & Digital Identity Requirements
20. UAE enacts landmark Central Bank law
21. UAE Central Bank Launches Anti-Fraud Operations Centre, Orders Banks to Strengthen Authentication and Consumer Protection
22. AI Voice Cloning Laws UAE: What's Legal and What's a Crime
23. Deepfakes & AI Fraud: UAE Legal Protections Explained