Em julho de 2024, criminosos tentaram aplicar um golpe contra a Ferrari usando um deepfake de voz — um áudio gerado por IA que imitava o CEO Benedetto Vigna pedindo uma transferência urgente. Não funcionou: um executivo desconfiado fez uma pergunta pessoal que só o CEO real saberia responder. Em outros casos, funcionou. Uma empresa de engenharia em Hong Kong perdeu US$ 25 milhões depois que um funcionário do financeiro autorizou 15 transferências durante uma videochamada em que todos os outros participantes — inclusive o "CFO" — eram deepfakes.
No Brasil, esse tipo de fraude saiu do radar técnico e virou problema de departamento financeiro. Fraudes com deepfake caseiro — vídeos e áudios gerados com ferramentas de IA acessíveis, sem exigir conhecimento técnico avançado — cresceram 400% no país em 2026. A inteligência artificial já aparece em 42,5% das ocorrências de fraude financeira registradas por aqui.
Os números mostram a curva de crescimento: deepfakes eram 0,1% das fraudes financeiras detectadas em março de 2025. Em 2026, esse número saltou para 6,5% dos casos. Mais de 28 milhões de brasileiros já foram vítimas de algum golpe envolvendo Pix — e uma fatia cada vez maior desses golpes nasce de uma ligação, vídeo ou áudio gerado por IA, não mais de um e-mail malformado fácil de identificar.
Por Que Isso Mudou o Jogo da Engenharia Social
Golpes de vishing (voice phishing) sempre existiram — ligações fingindo ser banco, fornecedor ou TI interna. O que mudou é a barreira técnica para imitar uma voz específica. Hoje, alguns segundos de áudio público — uma entrevista, um vídeo no LinkedIn, uma ligação gravada — bastam para clonar a voz de um executivo com qualidade suficiente para enganar por telefone ou numa chamada de vídeo com áudio ruim.
Isso muda o cálculo de risco de qualquer processo que dependa de "reconhecer a voz de alguém" como forma de autenticação. E a maioria dos processos financeiros internos ainda depende exatamente disso.
Casos Reais Já Aconteceram
- Reino Unido, empresa de energia alemã: um diretor recebeu uma ligação do "CEO" pedindo transferência imediata de US$ 243 mil para uma conta na Hungria. A voz clonada foi convincente o bastante para quase autorizar o pagamento sem confirmação por outro canal.
- Hong Kong, empresa de engenharia: um funcionário do financeiro participou de uma videochamada com "colegas" que reconhecia visualmente. Todos eram deepfakes. Resultado: 15 transferências, US$ 25 milhões.
- Grupo global de publicidade: golpistas criaram uma reunião falsa no Microsoft Teams usando voz clonada e imagens públicas do presidente da empresa, tentando convencer um executivo a transferir dinheiro e dados sensíveis.
- Ferrari: tentativa de golpe com voz clonada do CEO barrada porque o executivo-alvo fez uma pergunta de verificação fora do roteiro do golpista.
O padrão se repete: urgência, autoridade reconhecível (de voz ou imagem) e um pedido fora do processo normal que parece legítimo demais para questionar na hora.
Como Proteger Sua Empresa
- Crie uma palavra-código para pedidos financeiros sensíveis. Combinada previamente entre diretoria e financeiro, nunca usada por e-mail ou chat, só verbalmente, e trocada periodicamente.
- Proíba aprovação de transferência baseada só em ligação ou vídeo. Todo pedido fora do processo padrão exige confirmação por um segundo canal — ligar de volta para o número já cadastrado do executivo, nunca o número de quem ligou.
- Exija dupla aprovação acima de um valor definido. Nenhuma transferência relevante deve depender da decisão de uma pessoa só, por melhor que seja o processo de verificação dela.
- Atualize o treinamento de conscientização. Se o treinamento de phishing da empresa ainda não menciona deepfake e voz clonada, está desatualizado — financeiro e RH são os alvos mais visados.
- Teste a resistência real da equipe. Simulações controladas de vishing e pretexting mostram se o processo de verificação funciona na prática ou só existe no papel.
Engenharia Social com IA Ainda É Engenharia Social
A tecnologia por trás do golpe mudou, mas o alvo continua sendo o mesmo: a confiança humana. Empresas que já têm processos maduros contra engenharia social tradicional — verificação em dois canais, cultura de reporte, treinamento contínuo — largam na frente contra deepfake. Quem ainda trata vishing e phishing como "problema de TI", e não como processo financeiro, está exposto duas vezes.
Vale reforçar: golpistas também usam dados vazados para deixar o ataque mais convincente — nome do CEO, estrutura hierárquica, fornecedores reais. Se sua empresa já sofreu um vazamento de dados, esse material pode estar circulando e sendo usado para montar o pretexto perfeito. O mesmo raciocínio vale para golpes que chegam por canais internos de comunicação, como os golpes via Microsoft Teams já registrados contra empresas reais.
Um exercício de Red Team testa exatamente esse cenário: vishing direcionado, pretexting e, cada vez mais, simulação de voz sintética — medindo se o processo de verificação da sua empresa resiste a um ataque real antes que um golpista descubra primeiro.
Fale com a LDL Security sobre testes de Red Team e simulação de engenharia social →