16. Golpes com inteligência artificial

O ministro que ligou

No começo de fevereiro de 2025, alguns dos empresários mais ricos da Itália receberam um telefonema do ministro da Defesa. Foi o que lhes pareceu. A voz era a de Guido Crosetto, um político conhecido, de timbre reconhecível, que aparece na televisão. A história contada ao telefone era grave: jornalistas italianos teriam sido sequestrados no Oriente Médio, e era preciso adiantar cerca de um milhão de euros para libertá-los, valor que, segundo a imprensa, o Banco da Itália reembolsaria depois.

Segundo a imprensa italiana e as agências de notícias, vários empresários foram procurados, e a imprensa citou nomes de grandes grupos da moda e da indústria entre os alvos. A maioria desconfiou, não pagou ou ligou para o gabinete verdadeiro do ministro. Um deles, o ex-dono de um clube de futebol de Milão, Massimo Moratti, segundo as reportagens, fez duas transferências que somaram quase um milhão de euros. O próprio ministro foi a público, avisou que não tinha telefonado a ninguém e que sua voz havia sido imitada por inteligência artificial. A polícia rastreou o dinheiro até uma conta nos Países Baixos e, segundo o ministro e as agências, o valor foi congelado. A promotoria de Milão abriu investigação por associação criminosa voltada a fraude agravada e por falsa identidade, e duas pessoas, de nacionalidade holandesa segundo as fontes de investigação, foram investigadas. Os investigadores acreditavam que elas poderiam estar agindo a mando de outros. Até onde conferi, trata-se de investigados, sem condenação.

O caso tem tudo o que torna o assunto confuso. Tem a tecnologia, que assusta. Tem a vítima rica e bem assessorada, que desmente o estereótipo do ingênuo. E tem um final raro, porque o dinheiro foi congelado. Mas olhe de perto o que a inteligência artificial fez nessa história. Ela não inventou o pretexto: o falso sequestro, o sigilo, a urgência, a autoridade, o pedido de transferência. Todos esses elementos já aparecem nos capítulos 1, 4, 5 e 7 deste livro, em golpes de décadas. O que a tecnologia trocou foi uma peça: o rosto sonoro da autoridade. Antes, o golpista dizia ser o ministro e a vítima tinha de decidir se acreditava. Agora, a voz que ela ouve é a voz que ela conhece.

Essa troca é pequena na forma e grande no efeito. Muda o que uma pessoa pode confiar nos próprios ouvidos. Mas muda menos do que a conversa pública sugere, e o resto do capítulo trata de separar o que mudou do que é só novidade de embalagem. Como nos outros capítulos, a abordagem aqui é de perito: o que acontece, o que é provado, o que é exagero e o que funciona. Não há nada sobre como produzir uma voz ou um rosto falsos, nem sobre como enganar um sistema de verificação.

O que você vai levar deste capítulo

A inteligência artificial, nos golpes, é um multiplicador de escala e de verossimilhança. Ela não criou crimes novos: barateia a imitação de uma voz, de um rosto e de um texto, e reduz o custo de atacar muita gente ao mesmo tempo.

A ameaça é real, mas pequena em proporção do total. No relatório de 2025 do FBI, as queixas que mencionam inteligência artificial ficaram em torno de 2% do total e as perdas em torno de 4%. A maior parte do prejuízo ainda vem de truques antigos.

Parar de confiar na voz, no rosto e no estilo de escrita é a consequência prática. A defesa que funciona não depende de detectar o falso. Depende de um segundo canal, de uma palavra combinada e de regras que não mudam quando o golpe fica mais convincente.

A palavra-senha de família é a defesa mais barata e mais eficaz contra a voz clonada, desde que seja escolhida, combinada e praticada antes de qualquer emergência.

O que muda e o que não muda

Para pensar com clareza, ajuda dividir um golpe em duas camadas. Na camada de baixo está o roteiro: o pretexto, a urgência, o isolamento, o pedido de pagamento irreversível. É a parte que os capítulos anteriores descrevem. Na camada de cima está a fantasia: a voz, o rosto, o texto, o documento que dá credibilidade ao roteiro. A inteligência artificial mexe na camada de cima.

Isso tem três consequências.

A primeira é que o custo da fantasia caiu. Imitar a voz de um parente, o rosto de um médico famoso ou o estilo de um e-mail corporativo exigia, antes, talento e trabalho artesanal, e produzia pouco. Hoje exige muito menos, e produz em quantidade. O golpe artesanal ganhou linha de produção.

A segunda é que a qualidade da fantasia subiu, e com ela o custo para a vítima de checar pelos sentidos. O português cheio de erros do e-mail falso, o sotaque estranho do falso funcionário, a imagem tremida do vídeo: todas essas pistas, em que muita gente treinou a desconfiança, estão desaparecendo. Conselhos que mandam olhar a qualidade do arquivo perdem validade.

A terceira é que o roteiro continua o mesmo, e isso é uma boa notícia. A defesa que funciona contra o roteiro continua funcionando: desligar e ligar de volta para um número conhecido, não pagar sob urgência, exigir um segundo canal para qualquer pedido de dinheiro, pedir a palavra combinada. Um golpe de voz clonada que pede um Pix para libertar um parente ainda depende de a vítima fazer o Pix. Todas as barreiras que vivem no processo permanecem de pé.

Ameaça real e exagero

Quem tenta entender o tema pela imprensa e pelo marketing de empresas de segurança encontra dois ruídos opostos. De um lado, o alarmismo: "ninguém pode confiar em mais nada", "a IA vai acabar com a verificação de identidade", números gigantescos de origem duvidosa. De outro, a minimização: "é tudo hype, golpe é golpe". A verdade está no meio, e os melhores dados que existem são os do FBI.

O relatório anual de 2025 do Internet Crime Complaint Center, o IC3, divulgado em abril de 2026, traz uma seção própria sobre inteligência artificial usada em crimes. O total de queixas do ano passou de um milhão, 1.008.597, com perdas relatadas de US$ 20,877 bilhões. Dentro disso, o IC3 contou 22.364 queixas que fazem referência a inteligência artificial, com perdas ajustadas de cerca de US$ 893 milhões. Em proporção, são em torno de 2% das queixas e 4% do dinheiro. O próprio relatório define a categoria de modo restrito, como informação reportada que contém uma referência à inteligência artificial, de forma que a vítima ou o analista precisam ter notado e registrado esse elemento. É um piso. Muita gente não sabe que foi enganada por uma voz sintética, e o próprio FBI observa isso a propósito das fraudes de investimento: a perda total nessa categoria passou de US$ 8 bilhões, e a parcela com indício de IA, de US$ 632 milhões, representa menos de 8% do total, o que mostra, nas palavras do relatório, que muitas vítimas não percebem o quanto a IA pode estar envolvida.

Os números por tipo de golpe ajudam a dar ordem de grandeza. Segundo o relatório, as empresas perderam mais de US$ 30 milhões em fraudes de e-mail empresarial com envolvimento de IA, as vítimas de golpes românticos com provável ligação com IA perderam mais de US$ 19 milhões, os golpes de emprego com IA somaram quase US$ 13 milhões, e os golpes de "emergência com parente", em que a voz clonada imita alguém querido em apuros, passaram de US$ 5 milhões. Convém ler esses números com humildade. São dados de queixas feitas a uma agência americana, não de um levantamento de toda a população, e uma série curta de anos ainda não permite falar em tendência.

Vale um parêntese sobre estatística, no espírito de honestidade que este livro adota. Circulam por aí números muito mais assustadores. Em pesquisas de apoio a este capítulo, encontrei uma publicação que atribuía à Polícia Federal a afirmação de que 42,5% das fraudes financeiras no Brasil em 2025 já teriam usado alguma ferramenta de inteligência artificial. Não localizei fonte oficial para esse número e não o uso. Levantamentos de empresas que vendem proteção contra fraude costumam usar definições largas, amostras sem controle e linguagem comercial. Isso não os torna falsos. Torna necessário perguntar, antes de repetir qualquer número, quem mediu, o que contou como "uso de IA" e quem ganha com o susto.

O que então é ameaça real, e o que é exagero? Resumo o julgamento em quatro pontos.

A voz clonada em golpe do parente ou da autoridade é real, tem casos documentados e tem uma barreira de defesa barata. Ameaça média, com defesa eficaz.

O deepfake de famoso em anúncio é real, em escala, no Brasil, e atinge sobretudo golpes de investimento e de produtos de saúde. Ameaça alta, porque o canal é de massa e a vítima nem precisa ser alvo individual.

A fraude de identidade e de verificação por rosto é real e tem investigação policial brasileira em andamento. Ameaça alta para bancos, plataformas e governo, mais do que para a pessoa comum, que sofre as consequências quando a conta é aberta em seu nome.

O phishing em escala com texto de qualidade é real, e a pesquisa mostra eficácia comparável à do atacante humano especialista, mas o efeito é de intensidade, não de natureza nova. Ameaça média, que enfraquece pistas e fortalece processo.

Já o cenário de "videochamada com várias pessoas falsas enganando a empresa inteira" é real, mas raro. O caso mais conhecido, o da Arup em Hong Kong, em 2024, foi tratado no capítulo 11 e é citado nesta página só de passagem. Um caso raro e de enorme valor chama atenção desproporcional. A empresa que se prepara para ele, com dupla aprovação e retorno de ligação, se prepara de graça para todos os outros.

A voz clonada e o parente em pânico

O caso

Duas histórias mostram o terreno. A primeira é americana e muito citada. Em 13 de junho de 2023, uma mulher do Arizona, Jennifer DeStefano, prestou depoimento em audiência do Senado dos Estados Unidos sobre os usos da inteligência artificial. Ela contou, segundo a cobertura da imprensa, que recebeu um telefonema em que ouviu a voz da filha adolescente em prantos e um homem dizendo ter sequestrado a menina e exigindo dinheiro. A filha estava a salvo e não havia sequestro. A mãe sustentou que a voz era a da filha. Eu a incluo porque ela falou em público, em audiência, e por isso a exposição é dela. As reportagens divergem sobre o valor exigido e a data do telefonema, e por isso não fixo nenhum dos dois.

A segunda é brasileira e é mais recente. Em 19 de maio de 2026, a Polícia Civil de São Paulo, por meio da Delegacia Seccional de São José do Rio Preto, e a seção paulista da Ordem dos Advogados do Brasil cumpriram uma operação, chamada de "SP Advocacia Mais Segura", contra um grupo suspeito de aplicar o golpe do falso advogado. Segundo o comunicado da Polícia Civil e reportagens da época, foram 26 mandados judiciais, entre prisão temporária, busca e apreensão e sequestro de bens, e oito pessoas haviam sido presas, segundo o balanço da Polícia Civil, sem divulgação de nomes. Os crimes citados são lavagem de dinheiro, associação criminosa e estelionato digital. A polícia disse que o grupo, que operava por central telefônica virtual, usava nomes de advogados reais, falsas decisões judiciais e dados públicos de processos para dar credibilidade à abordagem, e que, em alguns casos, empregou tecnologia para reproduzir a voz de advogados verdadeiros; a polícia não detalhou se havia inteligência artificial nesse ponto. O grupo teria movimentado cerca de R$ 10 milhões em seis meses, de outubro de 2025 a abril de 2026, e foram identificadas ao menos 12 vítimas, uma delas de R$ 35 mil, com estimativa policial de cerca de 700 no total. Os presos são suspeitos e não consta condenação. Repare no desenho: não é o golpe do parente em pânico, e sim o do falso advogado, que o capítulo 7 apresentou. A reprodução da voz entrou como um reforço de credibilidade num golpe que já existia.

Há ainda um alerta que circula no Brasil desde 2025 e que precisa ser tratado com cuidado. A Polícia Civil de São Paulo divulgou, em outubro de 2025, um aviso sobre a chamada "ligação muda": a vítima atende, ninguém fala, e a polícia diz que os segundos de voz da pessoa seriam gravados para alimentar uma imitação. A hipótese é controversa. Um veículo especializado afirmou que o método não tem comprovação técnica, e uma delegacia da Bahia, ao tratar do assunto, disse que não havia registros formais de golpes de voz clonada por esse caminho. Duas conclusões ficam de pé. Primeiro, ligações mudas existem e são um incômodo conhecido, e a origem delas costuma ser atribuída a sistemas automáticos de discagem, sem relação demonstrada com clonagem de voz. Segundo, nenhuma fonte que li demonstrou um caso concreto em que a voz de alguém tenha sido capturada por essa via. O conselho de aguardar a outra pessoa falar primeiro custa pouco e não faz mal, mas não deve virar a defesa principal. A principal é outra.

A anatomia

Em nível de princípio, a voz clonada age em dois pontos do roteiro universal.

O primeiro é a autoridade ou o vínculo. Uma voz conhecida dispensa explicações. Quem ouve o filho chorando não pergunta o que o filho estava fazendo na rua. O cérebro processa o timbre antes de processar o conteúdo, e o conteúdo chega já aceito. Esse é o mesmo mecanismo do "estado visceral" tratado no capítulo 2: emoção forte e urgência reduzem a capacidade de conferir.

O segundo é a supressão do canal de verificação. O golpe de voz quase sempre ocorre por telefone, mensagem de áudio ou chamada de uma conta desconhecida, num momento em que a vítima está sozinha e é instruída a não desligar, a não avisar ninguém e a pagar rápido. Quando a ligação cai, a pessoa a quem se quer ligar de volta não atende, porque está, na ficção, em perigo. O golpista precisa que a vítima fique no mesmo canal em que a voz é convincente.

O material de partida costuma ser público: vídeos em redes sociais, mensagens de voz, entrevistas, transmissões ao vivo. Quanto mais a pessoa fala em público, mais fácil é imitá-la. Isso não significa que alguém precise esconder a voz. Significa que a voz deixou de ser uma credencial. A qualidade do áudio do telefone, que é ruim, ajuda a esconder falhas da imitação, e esse é um motivo a mais para não confiar no timbre num telefonema de emergência.

A defesa

A defesa é de processo, e se parece com o que o capítulo 4 propôs contra o falso parente por mensagem. Ela se resume em três regras que a família combina antes.

Primeira, qualquer pedido de dinheiro por voz é verificado por outro canal. Desligue e ligue de volta para o número que você já tem do parente, ou para outra pessoa da família que possa confirmar onde ele está. Se a ligação foi do "sequestrador", ligue para o parente. Se ele não atender, ligue para quem estiver perto dele, e para a polícia. O golpe depende de você não fazer isso.

Segunda, a palavra-senha de família, de que falo logo adiante.

Terceira, a regra de que dinheiro pedido sob pressão não é enviado na hora. Mesmo diante de um sequestro real, o procedimento correto é acionar a polícia, não fazer o pagamento sozinho em dez minutos. O falso sequestro por telefone é um golpe antigo no Brasil, o capítulo 3 mostrou o de dentro dos presídios, e a voz clonada só o torna mais verossímil.

A palavra-senha de família

Esta é a defesa mais simples que o livro propõe, e a que o FBI incluiu, em maio de 2025, entre as recomendações de seu alerta público sobre mensagens de voz geradas por inteligência artificial: combinar uma palavra secreta com a família. O alerta, de 15 de maio de 2025, tratava de uma campanha em que criminosos, desde abril daquele ano, usavam mensagens de texto e de voz geradas por IA para se passar por altos funcionários do governo americano, com o objetivo de levar os destinatários a outras plataformas e tomar contas. O alerta também registra que a voz clonada pode ficar quase idêntica à original e orienta confirmar a identidade de quem liga, ligar para o número oficial, não clicar em links antes de confirmar e não mandar dinheiro, cartões-presente ou criptomoedas a quem não se conhece.

Para funcionar, a palavra-senha precisa de algumas características, e a maioria das famílias que tenta falha numa delas.

Ela deve ser escolhida em conjunto e combinada pessoalmente, não por mensagem. Se for combinada por WhatsApp e a conta de alguém já estiver comprometida, a palavra nasceu vazada.

Ela deve ser impossível de adivinhar a partir de informação pública. Nome do cachorro, cidade onde a família passa férias, data de aniversário, time de futebol e apelido de infância costumam estar em fotos e legendas de redes sociais. Uma frase sem relação com a vida pública da família, ou duas palavras sem sentido juntas, serve melhor.

Ela deve ser usada como pergunta, não como saudação. Quem liga pedindo ajuda não diz a palavra. Quem recebe o pedido é que diz: "qual é a palavra?". Se a pessoa do outro lado hesita, enrola, fica irritada ou diz que não é hora, a resposta já foi dada. A urgência verdadeira não dispensa a palavra, porque o parente verdadeiro sabe que ela existe justamente para isso.

Ela deve ter uma versão de coação, nos casos em que faz sentido. Uma segunda palavra combinada significa "estou sendo forçado a ligar". Para a maioria das famílias isso é exagero. Para quem tem exposição pública, profissão de risco ou histórico de ameaça, vale.

Ela deve ser treinada. Uma vez por semestre, alguém liga de um número desconhecido e testa. É constrangedor e é a única forma de a palavra existir na memória no dia em que for preciso. Pais e avós idosos são o público que mais precisa e o que menos pratica, por isso a prática precisa ser curta e sem humilhação.

E deve ser trocada depois de ser usada de verdade ou de qualquer suspeita de vazamento.

Há uma limitação honesta. A palavra-senha protege contra o golpista que não a conhece. Não protege contra quem a obteve de um parente sob ameaça, nem contra a pessoa que, em pânico, se esqueceu de perguntar. Por isso ela convive com a regra do retorno de ligação: uma das duas barreiras precisa falhar para o golpe passar, e a chance de falharem as duas ao mesmo tempo é bem menor.

Na empresa, o equivalente é a pergunta que só a pessoa verdadeira responde. Em julho de 2024, segundo reportagem da Bloomberg reproduzida pela Fortune, um executivo da Ferrari recebeu mensagens e depois uma ligação de alguém que imitava a voz do presidente-executivo, Benedetto Vigna, falando de um negócio com a China que exigiria uma operação cambial. O executivo percebeu pequenas inconsistências na voz e desconfiou do pedido. Pediu que o interlocutor se identificasse e fez uma pergunta sobre um livro que o presidente havia recomendado dias antes. O impostor não soube responder e a ligação foi encerrada. Os relatos divergem em detalhes do pedido e a Ferrari não identificou o executivo. O que interessa é a técnica: uma pergunta de contexto privado, que não está em nenhum perfil público. Ela funciona como palavra-senha improvisada, e vale mais quando é um procedimento da empresa do que quando depende da esperteza do funcionário.

O deepfake de famoso em anúncio

O caso

O segundo território da inteligência artificial nos golpes é o da vitrine, não o do telefone. É o anúncio patrocinado em que um rosto famoso, às vezes com a voz imitada, recomenda um investimento ou um produto de saúde. O capítulo 9 tratou do tema pelo ângulo da responsabilidade das plataformas, com o caso de Andrew Forrest e o processo da Havan, e aqui o ângulo é o da fantasia.

Em fevereiro de 2026, segundo o Tecnoblog, em reportagem de 26 de fevereiro, a Meta anunciou ações judiciais no Brasil e na China contra grupos que usavam imagens e vozes alteradas de celebridades em anúncios de produtos de saúde e em esquemas de investimento. A reportagem informa que a empresa acionou anunciantes brasileiros, uma empresa chinesa e uma empresa vietnamita, e cita, entre as pessoas cujas imagens teriam sido usadas, o médico Drauzio Varella, Lair Ribeiro, Maiara, Luiz Bacci e Maira Cardi. A própria reportagem esclarece que a Meta não nomeou o médico, e que a associação a Drauzio Varella é feita pelo veículo. A reportagem fala em duas empresas e quatro brasileiros no corpo do texto e em duas empresas e duas pessoas na descrição, e por isso não fixo o número de réus. A Meta alega, segundo o texto, que os réus usavam imagens e vozes alteradas de celebridades, que escondiam o conteúdo real dos anúncios para passar pela análise da plataforma e que ex-participantes de seu programa de parceiros ofereciam a venda e a recuperação de contas banidas. Tudo isso é alegação da Meta em ação judicial. Não localizei decisão nem informação sobre o andamento dos processos, e os réus são tratados aqui como demandados, não como condenados.

O médico há anos denuncia publicamente o uso de seu rosto e de sua voz em propaganda que ele não fez. Segundo a cobertura, ele considerou a iniciativa da Meta insuficiente. O que importa para o perito é o fato verificável: uma figura pública com décadas de credibilidade em saúde se tornou vitrine involuntária de produtos que ele diz nunca ter recomendado.

O FBI descreve o mesmo padrão nos Estados Unidos. No relatório de 2025, o IC3 afirma que "clubes de investimento" usam vídeos e vozes de celebridades, executivos e figuras de confiança gerados por IA para criar oportunidades de alto risco, com endossos falsos de aparência profissional em redes sociais e chamadas de vídeo.

A anatomia

A lógica do anúncio com deepfake é a de um atalho de confiança. O público brasileiro conhece rostos de apresentadores, médicos, cantores e empresários. Esses rostos são, ao longo de anos, uma forma de reputação acumulada. O golpe aluga essa reputação por algumas semanas, sem pagar nada ao dono.

O desenho tem quatro peças, em nível de princípio. A isca é o rosto conhecido dizendo algo que parece uma notícia ou um conselho: uma descoberta, um método, uma oportunidade que "o sistema não quer que você conheça". A porta é um clique que leva a uma página que imita um portal de notícias ou a um grupo de mensagens. A conversão acontece no grupo ou no atendimento, onde pessoas e roteiros de verdade tomam o lugar do vídeo. E a saída do dinheiro segue o padrão deste livro: Pix, boleto, cartão ou cripto para contas de terceiros.

O papel da IA, aqui, é fazer o rosto e a voz dizerem o que o dono nunca disse, com qualidade suficiente para passar nos poucos segundos de um anúncio em rolagem rápida. O vídeo não precisa ser perfeito. Precisa resistir ao olhar de quem está vendo o celular de pé, no ônibus. O estudo da UFRJ citado pela reportagem do Tecnoblog, que analisou cerca de 170 mil peças de anúncios de saúde, encontrou irregularidades ou fraude em 76% delas, segundo o texto. O capítulo 9 explora esse levantamento e o debate sobre o incentivo econômico das plataformas, e não o repito.

A defesa

Conselhos que dependem de "perceber que é falso" falham, pela razão já dada. As defesas que funcionam são estruturais.

Para a pessoa: famoso não pede dinheiro nem indica produto por anúncio com urgência. Se a recomendação importa, ela estará no canal oficial da pessoa, nas redes verificadas e no site da empresa, e uma busca de dois minutos mostra isso. Não presuma que a ausência de um desmentido significa que o endosso seja verdadeiro, e não presuma o contrário. Selo e histórico da página são pistas, como o capítulo 9 explicou, e não garantias. Para investimento, a regra do capítulo 15 se aplica integralmente: o rosto do famoso não substitui a consulta à lista de autorizadas da CVM. Para saúde, nenhum produto sério se vende com a imagem de um médico que nunca o recomendou, e quem vai usá-lo deve consultar o profissional que o acompanha e a Anvisa.

Para famosos e empresas: mantenha um canal oficial de desmentido e um endereço de denúncia fácil de achar, documente cada anúncio falso com data, endereço e captura, e reúna provas para ações cíveis e criminais. A divulgação não autorizada da imagem de uma pessoa para fins comerciais é, em regra, ilícita, e a prova bem feita ajuda tanto no processo contra o anunciante quanto no pedido à plataforma. O capítulo 17 trata da preservação de provas.

Documentos e rostos falsos contra a verificação de identidade

O caso

O terceiro território é o menos visível para o público, porque o alvo não é uma pessoa e sim um sistema. Bancos, fintechs, corretoras e serviços públicos digitais verificam quem você é por documento, selfie e prova de que há uma pessoa viva diante da câmera. Quando essas verificações falham, uma conta pode ser aberta ou tomada em nome de outra pessoa. O capítulo 6 mostrou o que as contas laranja fazem depois.

O caso brasileiro mais claro que conferi é a Operação Face Off, da Polícia Federal. Em 13 de maio de 2025, segundo reportagem do Olhar Digital, a PF cumpriu cinco mandados de prisão temporária e 16 de busca e apreensão, expedidos pela Justiça Federal de Brasília, em nove estados. A investigação apurava um grupo que alterava traços faciais para burlar a autenticação biométrica do Gov.br e assumir o controle de contas de terceiros, com acesso a dados pessoais. Os crimes citados são invasão de dispositivo informático qualificada e associação criminosa, e a reportagem usa a expressão "poderão responder", de modo que os investigados não são condenados. Não vou descrever o método. O que o caso mostra, em termos de princípio, é que o sistema de checagem de que um serviço público confia para dizer "é você mesmo" foi, segundo a PF, contornado por um grupo organizado.

No exterior, a autoridade financeira americana, a FinCEN, publicou em 13 de novembro de 2024 um alerta, o FIN-2024-Alert004, sobre fraudes que usam mídia sintética contra instituições financeiras, com indicadores de alerta para os bancos. O texto relata aumento de comunicações de operação suspeita ligadas a esse tipo de material desde 2023, e entre os usos está a criação ou alteração de documentos de identidade para passar por controles de verificação. Não abri a lista completa de indicadores do alerta, e o resumo que apresento vem do comunicado e de resumos de terceiros.

A anatomia

Em nível de princípio, o ataque à verificação de identidade tem duas partes. A primeira é conseguir os elementos da identidade: dados pessoais, fotos, documentos, às vezes obtidos de vazamentos. O capítulo 4 mostrou que o dado cadastral deixou de ser segredo. A segunda é apresentar esses elementos de forma que o sistema aceite: um documento que parece válido, um rosto que passa por vivo. A IA entra aqui para baratear a produção de documentos e imagens convincentes, mas o ponto central, que o perito precisa guardar, é este: a verificação de identidade pela imagem é uma barreira probabilística, não uma prova. Cada sistema aceita uma taxa de erro, e quem tenta mil vezes de mil jeitos encontra a brecha, a menos que o sistema também observe o comportamento e o contexto.

O alvo mais valioso é a abertura de conta em nome de terceiros. A conta é o motor do golpe: recebe o dinheiro da vítima, o repassa e some. O custo da verificação frágil recai sobre a vítima, que perde o dinheiro, e sobre a pessoa cujo nome foi usado, que descobre uma conta ou um empréstimo que não pediu.

A defesa

Para a pessoa cujo nome pode ser usado, as defesas são de higiene e têm limite: proteger a conta Gov.br com verificação em duas etapas, conferir periodicamente o cadastro de contas e crédito em seu CPF nos serviços oficiais e desconfiar de pedidos para gravar vídeos e selfies para "validação" fora de aplicativos oficiais. O dono do dado tem pouco controle sobre o ataque, e o capítulo 19 trata de como agir quando a conta é aberta em seu nome.

Para bancos, plataformas e serviços públicos, o ponto é desenho de sistema. A verificação por imagem deve ser uma camada entre várias, nunca a única. Sinais de risco independentes da imagem (dispositivo novo, localização, horário, velocidade de ações, relação entre conta recém-aberta e transferências altas) devem pesar, o limite de movimentação de contas novas deve crescer aos poucos, e operações de valor devem ter atrito, ou seja, uma segunda verificação por canal independente, com prazo. Quem trata o resultado "face compatível" como sinônimo de "pessoa verdadeira" está apostando contra uma taxa de erro que o atacante estuda. Esse é um tema sobre o qual a pesquisa e a prática evoluem rápido, e o que escrevo aqui é o princípio, não uma lista de controles.

Phishing em escala e o fim do português ruim

O quarto território é o mais banal e talvez o mais importante em volume: o texto. Durante anos, uma das pistas ensinadas para detectar mensagens fraudulentas era a qualidade ruim da escrita. Erros de português, tradução tosca, saudação genérica. A geração de texto por IA derrubou essa pista. A mensagem agora pode ser fluente, estar no tom certo, mencionar dados do destinatário e variar de uma pessoa para outra, em quantidade.

Um estudo de pesquisadores, entre eles o especialista em segurança Bruce Schneier, publicado em 2024 como pré-impressão e depois em periódico, comparou o desempenho de mensagens de phishing dirigido com 101 participantes. Segundo o resumo do trabalho, mensagens genéricas tiveram taxa de clique de 12%, enquanto mensagens escritas por especialistas humanos e mensagens totalmente automatizadas por IA chegaram, ambas, a 54%. Os autores também reportam que o sistema automatizado produziu perfis corretos de alvos em 88% dos casos e que, usada como defesa, a mesma classe de modelos detectou 97% dos e-mails maliciosos num teste com 381 mensagens. Não abri o texto completo, a amostra é pequena e as condições são de laboratório, de modo que trato os números como indicação de ordem de grandeza e não como taxa do mundo real.

O que isso significa na prática é menos assustador do que parece e mais exigente do que o conforto sugere. O atacante não precisa de talento literário para uma mensagem convincente, e por isso a mensagem perde valor como pista. Ao mesmo tempo, o resto da operação continua igual: o link ainda leva a uma página falsa, o pedido ainda é de código, senha ou pagamento, e a defesa por processo funciona. Autenticação em duas etapas resistente a phishing, gerenciador de senhas que não preenche em domínio errado e a regra de abrir o aplicativo do banco em vez de clicar no link continuam valendo, e valem mais.

Para as empresas, o e-mail empresarial comprometido é onde a IA mais faz diferença. O IC3 registrou, em 2025, mais de US$ 30 milhões em perdas de empresas com envolvimento de IA em fraudes desse tipo, número pequeno diante do total de fraude de e-mail empresarial, que o capítulo 11 tratou, mas que tende a crescer. A resposta é a do capítulo 11: dupla aprovação, conferência de dados bancários em canal independente e nenhuma alteração de pagamento por e-mail.

O que é exagero

Convém ser explícito sobre o que não está acontecendo, porque o exagero tem custo: gera cinismo e descrença, e quem acha que tudo é falso deixa de agir diante do verdadeiro.

Não é verdade que vídeo e áudio deixaram de valer como prova. Eles perderam o valor automático. Em processo, a prova digital sempre exigiu cadeia de custódia, origem e metadados, e isso se reforça. O capítulo 17 volta a isso.

Não é verdade que a IA tornou o golpe imbatível. Todas as defesas deste capítulo são de baixo custo e funcionam contra versões mais primitivas e mais sofisticadas. A palavra combinada não depende de a imitação ser ruim.

Não é verdade que existam detectores confiáveis para o cidadão comum. Ferramentas de detecção de conteúdo sintético existem, e a pesquisa nelas é ativa, mas nenhuma é infalível, e todas enfrentam um jogo de gato e rato em que o atacante também testa. Um detector que dá "provavelmente verdadeiro" a um conteúdo falso é pior do que nenhum, porque confere uma segurança que não existe. Confiar na decisão de uma ferramenta de detecção como defesa principal é repetir, em outra escala, o erro de confiar na qualidade do vídeo.

Não é verdade, também, que a pessoa deva parar de usar voz e imagem na internet. A defesa é tornar a voz e a imagem irrelevantes como credencial, e não escondê-las.

E há a minimização. Dizer que "é só um golpe velho com enfeite" ignora a escala e a rapidez. Um agressor que testa mil versões de uma mensagem, ou que clona a voz de milhares de pessoas com custo baixo, muda a economia do crime. O golpe é um produto, como o capítulo 1 afirma, e a IA baixou o custo de produção.

O lado jurídico

Os golpes com IA se enquadram, em regra, nos tipos que o livro já apresentou. O estelionato do art. 171 do Código Penal tem a modalidade de fraude eletrônica do §2º-A, introduzida pela Lei 14.155/2021, com reclusão de quatro a oito anos e multa, para golpes praticados com informações fornecidas pela vítima ou por terceiro induzido a erro por meio de redes sociais, contatos telefônicos, e-mail fraudulento ou outro meio análogo. O art. 171, §5º, que condicionava a ação à representação da vítima, foi revogado pela Lei 15.397/2026, segundo o texto compilado do Planalto, e não afirmo nada sobre retroatividade. A falsa identidade do art. 307 também costuma aparecer nas acusações. A invasão de dispositivo informático do art. 154-A (Lei 12.737/2012) aparece quando há tomada de contas, como na Operação Face Off. A lavagem de dinheiro (Lei 9.613/1998) acompanha a movimentação dos valores.

Três observações. Primeira: não localizei, para este capítulo, tipo penal brasileiro específico para o uso de IA em golpes contra o patrimônio. O PL 2.338/2023, do marco legal da inteligência artificial, foi aprovado pelo Senado em 10 de dezembro de 2024 e, em outubro de 2026, aguardava parecer na comissão especial da Câmara. Segunda: a voz e a imagem de uma pessoa são dados pessoais, e a biometria, quando usada para identificar, é dado pessoal sensível na Lei Geral de Proteção de Dados, o que sustenta obrigações de segurança para quem os trata. Terceira: a responsabilidade de bancos por fraude de terceiros, na Súmula 479 do STJ, e a das plataformas por anúncios pagos, discutida no capítulo 9, continuam sendo as portas para que a vítima busque reparação, caso a caso e dependendo de prova.

Verdades desconfortáveis

A primeira é que a nossa intuição sobre confiar em quem conhecemos foi montada para um mundo em que reproduzir uma voz era difícil. Não há "treino" que conserte um órgão do sentido. O que pode ser feito é combinar que a voz não basta, e isso custa uma pequena fricção em toda ligação importante, para sempre. Algumas famílias acharão isso paranoico. Prefiro chamar de higiene.

A segunda é que a conversa pública sobre IA e golpes é capturada por interesses. Empresas de segurança vendem medo, empresas de IA vendem confiança, plataformas minimizam os anúncios fraudulentos e autoridades divulgam alertas com mais entusiasmo do que evidência. Ao ler qualquer número, pergunte quem o produziu e por quê. O melhor dado deste capítulo, o do IC3, vem de uma agência policial e declara os próprios limites.

A terceira é que a defesa mais eficaz contra a voz clonada é a mais antiga, uma palavra combinada, e a que as famílias menos adotam. A distância entre saber e fazer é o verdadeiro problema. Quase ninguém tem a palavra. Quem a tem raramente testa.

A quarta é que a carga de proteção está sendo empurrada para o indivíduo. É razoável pedir que cada família tenha uma palavra-senha. Não é razoável que a única proteção contra um anúncio fraudulento com o rosto de um médico famoso seja o discernimento de quem rola o feed. As plataformas que lucram com o anúncio, os bancos que abrem a conta e as operadoras que entregam a ligação têm deveres que o indivíduo não consegue cumprir por eles. Essa é uma posição minha de análise, e a discussão jurídica sobre onde fica a linha é dos tribunais.

A quinta é que a velocidade da mudança torna qualquer capítulo sobre o tema perecível. O que escrevi vale como estado de outubro de 2026. Os princípios, que são o roteiro, o segundo canal e o processo, envelhecem devagar. Os detalhes da tecnologia envelhecem em meses.

Protocolo de defesa

Para a pessoa e a família

• Combine, pessoalmente, uma palavra-senha de família, que não esteja em nenhuma rede social nem em dado público. Quem recebe o pedido é quem pergunta a palavra. Teste duas vezes por ano, em tom de brincadeira séria, e troque depois de qualquer uso real.
• Regra do retorno: diante de qualquer pedido de dinheiro por voz, vídeo ou mensagem, desligue e ligue de volta para o número que você já tinha, ou confirme com outra pessoa da família. Nunca use o número ou o link que a pessoa passou.
• Nenhum pagamento sob urgência. Dê a si mesmo um intervalo fixo, de dez minutos, antes de qualquer transferência pedida por telefone, e use-o para o retorno de ligação.
• Falso sequestro: não fique na linha com o suposto sequestrador. Contate o familiar e a polícia por outro aparelho, se puder. Se não conseguir falar com o familiar, não pague até confirmar.
• Para anúncios com famosos: não clique. Procure o canal oficial da pessoa e o site da empresa. Para investimento, consulte a CVM e o Banco Central. Para produto de saúde, a Anvisa e o seu médico.
• Proteja a conta Gov.br e os aplicativos de banco com verificação em duas etapas, de preferência com chave de acesso ou aplicativo autenticador, e não grave vídeos nem selfies para "validação" fora de aplicativos oficiais.
• Se for alvo: guarde número, horário, áudio, prints e comprovantes, registre boletim de ocorrência e avise o banco. O capítulo 19 detalha as primeiras 24 horas.

Para quem cuida de empresa

• Defina que nenhuma ordem de pagamento, mudança de dados bancários ou liberação de acesso é aceita por voz, vídeo ou mensagem, sem retorno de ligação a um número já cadastrado e dupla aprovação por pessoas diferentes.
• Adote uma pergunta de verificação privada para executivos, ou um código rotativo, para pedidos urgentes feitos por telefone ou chamada de vídeo. A pergunta não deve poder ser respondida com base em perfil público.
• Treine o help desk e o financeiro com simulações de voz sintética feitas por equipe autorizada, em ambiente controlado, e meça a taxa de verificação cumprida, não a de "detecção".
• Trate a verificação de identidade por imagem como uma camada. Combine sinais de dispositivo, comportamento e contexto, e imponha atrito crescente a contas novas e a operações de valor.
• Mantenha um canal de denúncia de anúncios e perfis falsos de seus porta-vozes e uma rotina de coleta de provas, com data, endereço e captura.

Sinais de alerta

• Pedido de dinheiro ou de dados por voz ou vídeo, com urgência e sigilo, mesmo que a voz ou o rosto sejam conhecidos.
• Chamada de número desconhecido em que a "pessoa" não pode ser contatada por outro meio, ou pede que você não ligue para ninguém.
• Resistência ou irritação diante de uma pergunta de verificação ou da palavra combinada.
• Pedido para mudar de aplicativo, de número ou de plataforma no meio da conversa.
• Qualidade de áudio ruim ou com ruído de fundo contínuo, sem pausas naturais, num momento em que a pessoa deveria estar assustada ou ocupada.
• Anúncio com famoso que promete cura, método secreto ou retorno garantido, e leva a um grupo de mensagens.
• Pedido de selfie, vídeo ou documento por canal fora do aplicativo oficial.
• Mensagem fluente e personalizada que pede código, senha ou pagamento. A fluência não é mais pista.

Exercícios

1. A palavra-senha. Reúna a família, escolha uma palavra ou frase seguindo os critérios do capítulo e combine o procedimento de quem pergunta e o que fazer se a resposta falhar. Entrega: uma folha com as regras, sem a palavra escrita, e a data do primeiro teste combinado.
2. Auditoria da sua voz e do seu rosto. Liste onde há vídeos e áudios seus acessíveis ao público e, para cada um, escreva se isso muda alguma decisão. A resposta esperada não é apagar tudo, e sim identificar o que não pode mais funcionar como credencial. Entrega: a lista e três regras de família que decorrem dela.
3. Leitura crítica de um número. Escolha uma estatística sobre golpes com IA que você viu em reportagem ou em material de empresa. Descubra quem a produziu, como definiu "uso de IA", qual era a amostra e qual interesse a fonte tem. Entrega: uma página classificando o número como confiável, hipótese ou não verificável, com justificativa.
4. Procedimento para pedidos urgentes. Se você trabalha em empresa, escreva o procedimento de uma página para tratar uma ligação ou videochamada do "diretor" pedindo uma transferência urgente: quem verifica, por qual canal, quem aprova e o que se registra. Entrega: o procedimento e um teste de mesa com dois colegas.
5. Plano de provas. Se você é figura pública, dono de marca ou responsável por comunicação, monte o roteiro de coleta de provas para um anúncio falso com a sua imagem: quem captura, o que registra, onde guarda, a quem notifica. Entrega: o roteiro e um modelo de ficha de registro.

Prompt de estudo

Vou descrever, sem nomes reais, uma situação em que recebi um pedido urgente de dinheiro ou de dados por voz, vídeo ou mensagem, vindo de alguém que parecia conhecido. Atue como perito em fraudes. Diga quais elementos são compatíveis com golpe e quais não são, que perguntas de verificação eu poderia ter feito, que canal independente eu deveria ter usado e que provas devo guardar. Não me ensine a produzir imitações de voz ou imagem.

Quero criar com minha família uma palavra-senha e um procedimento de retorno de ligação. Faça perguntas sobre quem mora com quem, quem é mais idoso, quem tem exposição pública e como nos comunicamos, e proponha um procedimento de uma página com regras curtas, uma versão para ensinar a uma pessoa de 80 anos e um calendário de teste. Aponte as fraquezas do que eu propuser.

Fontes e leituras

• Federal Bureau of Investigation, Internet Crime Complaint Center. 2025 IC3 Annual Report, em ic3.gov: seção sobre inteligência artificial usada em crimes cibernéticos (22.364 queixas, cerca de US$ 893 milhões; fraudes de e-mail empresarial, golpes românticos, emprego, investimento e "emergência com parente"), totais do ano (1.008.597 queixas, US$ 20,877 bilhões) e definição de "AI Related". Conferido no texto do relatório.
• FBI, IC3. Alerta público I-051525-PSA, de 15 de maio de 2025, sobre mensagens de texto e de voz geradas por IA que se passam por altos funcionários do governo americano, em ic3.gov.
• Polícia Civil de São Paulo e OAB-SP, Operação "SP Advocacia Mais Segura" (19 de maio de 2026), conforme comunicado da Polícia Civil e reportagens da época (DGABC e Metrópoles). Polícia Civil de São Paulo, alerta sobre a "ligação muda" (outubro de 2025), conforme reportagens, e contraponto de veículo especializado e da Polícia Civil da Bahia.
• Polícia Federal, Operação Face Off (13 de maio de 2025), conforme reportagem do Olhar Digital.
• Tecnoblog, reportagem de 26 de fevereiro de 2026, sobre as ações da Meta contra anunciantes de deepfakes de celebridades; Forbes Brasil (março de 2026) e outras reportagens sobre as mesmas ações, usadas como cotejo.
• FinCEN. Alerta FIN-2024-Alert004, de 13 de novembro de 2024, sobre fraudes com mídia sintética contra instituições financeiras, em fincen.gov.
• Heiding, Lermen, Kao, Schneier e Vishwanath. Evaluating Large Language Models' Capability to Launch Fully Automated Spear Phishing Campaigns: Validated on Human Subjects, arXiv 2412.00586 (versão posterior em periódico, 2026). Lido apenas o resumo.
• Reportagens da Euronews, da ANSA e de agências sobre o caso Crosetto (fevereiro de 2025); Bloomberg, reproduzida pela Fortune em 27 de julho de 2024, sobre a tentativa de fraude contra a Ferrari; cobertura da audiência do Senado americano de 13 de junho de 2023 (depoimento escrito de Jennifer DeStefano, em judiciary.senate.gov).
• Presidência da República. Código Penal, arts. 154-A, 171 (§§2º-A, 2º-B, revogação do §5º pela Lei 15.397/2026) e 307, texto compilado consultado em outubro de 2026; Lei 14.155/2021; Lei 12.737/2012; Lei 9.613/1998. Súmula 479 do STJ.
• Senado Federal e Câmara dos Deputados. PL 2.338/2023, marco legal da inteligência artificial: aprovação no Senado em 10/12/2024 e situação na comissão especial da Câmara consultada em outubro de 2026.
• Capítulos 1, 2, 3, 4, 6, 7, 9, 11, 15, 17 e 19 deste livro, para o roteiro universal, a psicologia da vítima, a indústria, o falso parente, as contas laranja, os golpes contra idosos, os anúncios falsos, a engenharia social na empresa, os golpes de investimento, a preservação de provas e as primeiras 24 horas.