Golpe do CEO 2.0: como o deepfake de voz está sendo usado para roubar empresas

Você recebe uma ligação. É a voz do seu diretor financeiro, com a urgência de sempre, pedindo uma transferência via PIX pra fechar um contrato "antes que a janela feche". O tom é idêntico, as pausas são as mesmas, até o jeito de tossir no meio da frase. Só que não é ele. É uma clonagem de voz gerada por IA, e a transferência, se sair, não volta.

Esse é o "golpe do CEO 2.0": uma versão turbinada por inteligência artificial do já conhecido Business Email Compromise (BEC), a fraude em que criminosos se passam por executivos pra convencer funcionários a fazer pagamentos urgentes. A diferença é que, antes, o golpe dependia de um e-mail bem escrito ou de um sotaque levemente estranho ao telefone. Hoje, com poucos segundos de áudio público (uma entrevista, um vídeo institucional, um webinar gravado), já dá pra treinar um clone de voz convincente o suficiente pra enganar quem trabalha com aquela pessoa todos os dias.

Não é ficção, é tendência que já bateu no Brasil

O crescimento desse tipo de fraude não é hipótese. Ataques envolvendo deepfakes cresceram 126% no Brasil em 2025, e o país concentra boa parte da atenção dos golpistas na América Latina: 39% dos deepfakes detectados na região miram justamente aqui, com foco em bancos, fintechs e apostas online. Mais de 60% das organizações já relataram aumento direto em perdas financeiras ligadas a fraudes entre 2024 e 2025.

O caso mais citado no mundo todo pra ilustrar o risco é o de uma empresa em Hong Kong: um funcionário do financeiro participou de uma "videoconferência" com quem acreditava ser o CFO e outros colegas (todos deepfakes gerados por IA) e, convencido, autorizou uma transferência de US$ 25 milhões. Não teve nada de rudimentar ali: voz, imagem e comportamento, tudo simulado em tempo real.

A gravidade do problema também chegou ao radar das próprias big techs. A Meta anunciou ações judiciais na Justiça brasileira contra redes que usam deepfakes pra golpes, incluindo casos em que imagens de figuras públicas foram manipuladas pra vender produtos e até cursos ensinando a replicar a tática. A empresa afirma estar investindo em ferramentas de IA pra detectar anúncios suspeitos, além de suspender contas, meios de pagamento e domínios envolvidos.

Por que esse golpe funciona tão bem

Três ingredientes tornam o "golpe do CEO 2.0" particularmente perigoso:

1. Urgência artificial: o golpista sempre cria um prazo curtíssimo ("precisa sair até o fim do expediente"), pra não dar tempo de a vítima parar e checar.
2. Autoridade: é a voz (ou o rosto) de quem manda. Questionar o chefe ao telefone não é algo natural pra maioria dos funcionários.
3. Canal único: o golpe geralmente chega por um único canal (ligação, WhatsApp, videochamada), sem dar margem de comparação. É exatamente esse ponto que a empresa precisa atacar.

Isso não é o phishing genérico de e-mail malformatado que todo mundo já aprendeu a reconhecer. É engenharia social de altíssima qualidade, potencializada por uma IA generativa cada vez mais barata e acessível, inclusive pra criminosos com pouca sofisticação técnica.

Como proteger sua empresa na prática

Nenhuma dessas medidas exige investimento pesado em tecnologia: são, sobretudo, mudanças de processo.

• Dupla checagem por canal diferente, sempre. Nenhuma transferência de valor relevante deve sair só porque uma ligação, áudio ou vídeo autorizou. Confirme por outro canal: um telefonema pra um número já cadastrado (nunca o número que ligou), uma mensagem em app corporativo, ou presencialmente.
• Protocolo formal de confirmação para pagamentos urgentes. Defina por escrito: acima de determinado valor, toda transferência exige aprovação de duas pessoas, sendo uma delas fora da cadeia direta de quem fez o pedido. Isso tira a decisão do calor do momento.
• Palavra-chave ou pergunta de verificação combinada previamente entre diretoria e financeiro, renovada periodicamente, pra usar em pedidos incomuns por telefone ou vídeo.
• Desconfie de urgência extrema. Um pedido que não pode esperar 15 minutos por uma ligação de confirmação já é, por si só, um sinal de alerta, mesmo que a voz pareça perfeita.
• Treine todo o time, não só o financeiro. Quem recebe esse tipo de contato geralmente é um analista, um assistente, alguém no meio da cadeia, não o dono da empresa. É essa pessoa que precisa saber que pode, e deve, questionar.
• Reduza a exposição pública desnecessária de voz e imagem dos executivos, ciente de que material institucional, entrevistas e lives são justamente a matéria-prima usada pra treinar os clones.
• Tenha um canal claro pra reportar tentativas suspeitas, sem medo de "incomodar" a diretoria. Quanto antes a fraude for identificada, maior a chance de reverter uma transferência ou bloquear a conta de destino.

O ponto central

Tecnologicamente, não dá mais pra confiar em "detectar" um deepfake de voz só de ouvido: a qualidade já superou esse limite pra boa parte das pessoas. A defesa real está no processo: nenhuma decisão financeira urgente deve depender de um único canal de comunicação, por mais convincente que ele pareça. A empresa que trata isso como política formal, e não como bom senso implícito, sai na frente.

Referências

Forbes Tech: Contra deepfakes e golpes de IA, Meta vai à Justiça Brasileira

TI Inside: Phishing, deepfakes e IA autônoma: os golpes que já estão moldando 2026