Por que isso importa agora para quem lidera uma empresa
Imagine receber uma ligação da sua diretora financeira. A voz é dela, o tom de urgência também. Ela pede uma transferência imediata para fechar um contrato estratégico. Você autorizaria?
Se a resposta for sim, vale parar e reconsiderar. Empresas em diversos países já perderam milhões dessa forma — inclusive uma multinacional britânica com filial em Hong Kong, que teve um funcionário do setor financeiro induzido a transferir US$ 25 milhões depois de participar de uma videoconferência inteira composta por réplicas geradas por inteligência artificial de seus próprios superiores¹.
No Brasil, o padrão já tem nome popular: golpe do CEO 2.0. E ele não é mais raridade — levantamento da plataforma de verificação de identidade Sumsub aponta que os golpes com deepfake e identidade sintética cresceram 126% no país em 2025, colocando o Brasil como o principal alvo desse tipo de fraude na América Latina².
O que é deepfake de voz e por que ficou tão barato de fazer
Deepfake de voz é a clonagem, por inteligência artificial, do timbre, sotaque e entonação de uma pessoa real, a partir de uma amostra de áudio. O modelo VALL-E, da Microsoft, demonstrou ser capaz de gerar uma clonagem convincente a partir de apenas três segundos de gravação³ — e vídeos institucionais, entrevistas e webinars de executivos fornecem esse material de graça.
A diferença entre o golpe de 5 anos atrás e o de hoje
Até pouco tempo, fraudes corporativas dependiam de texto: um e-mail com domínio estranho, um erro de português que denunciava o golpe. A clonagem de voz e vídeo elimina essa margem de desconfiança. Quando o colaborador reconhece a voz do chefe ao telefone, a verificação mental normalmente termina ali — e é exatamente nesse ponto que o golpe se instala.
Como o ataque normalmente se monta
Reconhecimento: de onde vem a voz clonada
Antes de ligar, o criminoso pesquisa. Redes sociais corporativas, entrevistas em podcasts, apresentações em eventos e até vídeos internos vazados servem como matéria-prima. Quanto mais público o executivo, maior o material disponível para treinar o modelo.
O gatilho de urgência que quebra o processo normal de aprovação
O golpe raramente aparece do nada. Ele costuma vir depois de um e-mail de phishing que já preparou o terreno, seguido de uma ligação ou chamada de vídeo com prazo apertado — “feche isso antes do fim do dia” é o tipo de frase pensada para impedir que a vítima pare e confira
Protocolo de verificação fora de banda: a defesa que funciona
A tecnologia de detecção ajuda, mas o controle mais eficaz continua sendo processo, não software. Especialistas em fraude corporativa recomendam políticas de confirmação escalonada para qualquer solicitação financeira fora do padrão, com callback obrigatório para um número já verificado, nunca para o contato fornecido na própria ligação suspeita⁴.
Regras simples que qualquer CFO ou controladoria pode aplicar amanhã
- Verificação fora de banda: toda solicitação financeira urgente precisa ser confirmada por um canal diferente do que a originou — se veio por ligação, confirme por mensagem em um número já conhecido, nunca pelo que o interlocutor fornece na hora.
- Palavra de segurança interna: defina um código verbal simples, conhecido apenas pela equipe financeira e pela liderança, para autenticar pedidos sensíveis por telefone ou vídeo.
- Cultura sem punição para quem questiona: o colaborador precisa se sentir seguro para dizer “preciso verificar antes” a um pedido do próprio CEO, sem medo de represália.
- Restrição de material público de voz e vídeo: avalie o que realmente precisa estar disponível publicamente sobre a voz e a imagem de executivos-chave.
O que fazer se sua empresa já foi alvo (ou suspeita que foi)
Interrompa qualquer transferência em andamento imediatamente e acione o banco para tentar o bloqueio dos valores. Documente a ligação, o horário e qualquer identificador do número de origem. Depois, formalize um registro de ocorrência e acione uma consultoria especializada para investigar a extensão do vazamento de dados que tornou o golpe possível — muitas vezes a clonagem de voz é só a etapa final de um ataque que já começou semanas antes, com coleta de informações internas.
Ter um playbook de resposta pronto antes do incidente — com papéis definidos, canal direto com o banco e prazos claros de acionamento — reduz drasticamente o dano quando a tentativa realmente acontece.
Como mapear e reduzir esse risco sem parar a operação
Attack Surface Management aplicado a terceiros
Mapear a superfície de ataque não deveria parar nas fronteiras da sua própria rede. Um diagnóstico de Attack Surface Management pode incluir os fornecedores com acesso mais crítico, revelando exposições que nem eles sabem que têm.
Cláusulas contratuais e auditoria como parte da governança
Contrato bem redigido não substitui verificação técnica, mas cria a base jurídica para agir rápido se algo falhar — prazo de notificação, direito de auditoria e responsabilidade definida entre controlador e operador de dados.
Referências:
- CNN Brasil. Golpistas usam deepfake de diretor financeiro e roubam US$ 25 milhões, fev. 2024. Disponível em: https://www.cnnbrasil.com.br/economia/negocios/golpistas-usam-deepfake-de-diretor-financeiro-e-roubam-us-25-milhoes/
- Sumsub / Solo Iron. Deepfake: quando a fraude corporativa ganha rosto e voz. Disponível em: https://soloiron.com.br/deepfake-quando-a-fraude-corporativa-ganha-rosto-e-voz/
- Canaltech. Microsoft cria IA capaz de imitar vozes a partir de amostras de 3 segundos, jan. 2023. Disponível em: https://canaltech.com.br/inteligencia-artificial/microsoft-cria-ia-capaz-de-imitar-vozes-a-partir-de-amostras-de-3-segundos-235410/
- Migalhas. Deepfake de voz e CFOs falsos: a nova fraude corporativa de alto nível. Disponível em: https://www.migalhas.com.br/depeso/446123/deepfake-de-voz-e-cfos-falsos-a-nova-fraude-corporativa-de-alto-nivel