Golpe com inteligência artificial: como identificar e agir

Como agir diante de um possível golpe com IA

Uma voz conhecida pede um Pix urgente. O dono da empresa aparece em uma chamada de vídeo e manda trocar a conta de um fornecedor. Uma campanha comovente mostra pessoas que parecem reais. O problema é que áudio, imagem, vídeo e texto podem ter sido criados ou alterados com inteligência artificial.

Isso não significa que seja preciso virar perito em deepfake. A defesa mais confiável é não autorizar dinheiro, acesso ou dados usando apenas a mesma mensagem que trouxe o pedido. Pare, confirme a identidade por um canal independente, revise o destino e envolva outra pessoa quando a decisão tiver impacto.

Em pesquisa divulgada em 31 de agosto de 2026, o Cetic.br informou que 32% dos usuários de Internet com 16 anos ou mais relataram tentativa de golpe com seus dados pessoais. Entre quem vivenciou tentativas, aplicativos de mensagem foram citados por 84% e ligações por 79%. A pesquisa abrange golpes em geral; não afirma que todos usaram IA.

Este guia mostra como reconhecer golpes com IA sem depender de olhar bem a imagem, como organizar aprovações em um pequeno negócio e o que fazer se algo já aconteceu.

O que é um golpe com inteligência artificial?

É uma fraude na qual a IA ajuda a criar ou adaptar algum elemento da abordagem: texto personalizado, perfil falso, imagem sintética, imitação de voz, troca de rosto em vídeo, tradução, roteiro emocional ou grande volume de mensagens.

Deepfake é um termo amplo para mídia sintética ou manipulada que faz uma pessoa parecer dizer ou fazer algo que não ocorreu. A falsificação pode estar em vídeo, áudio ou imagem. Já clonagem de voz descreve a geração de fala que imita características de alguém.

A tecnologia não precisa ser perfeita. O golpista só precisa produzir material convincente o bastante para explorar pressa, autoridade, medo, oportunidade ou solidariedade.

Também é importante não culpar a IA por toda fraude. Uma conta real pode ter sido invadida; uma foto pode ter sido roubada; um áudio pode ser recortado; e uma pessoa pode escrever manualmente uma mensagem falsa. Para interromper o golpe, descobrir a técnica exata é menos importante do que validar o pedido.

Registro de incidente sem espalhar dados da vítima

Monte uma linha do tempo privada: primeiro contato, pedido recebido, número ou endereço usado, destinatário do pagamento e momento da comunicação ao banco ou serviço. Guarde arquivos originais e protocolos; não publique comprovantes com dados pessoais em redes sociais.

Exemplo fictício: alguém se passa por um fornecedor e pede Pix para uma nova conta. O registro precisa separar o que foi visto — número, texto, dados exibidos no comprovante — do que é suspeita, como “voz possivelmente sintética”. Não é necessário provar uso de IA para comunicar fraude.

Depois de acionar os canais oficiais, registre quem ficou responsável pelo acompanhamento. Interrompa contato com quem promete recuperar dinheiro mediante pagamento antecipado. Um protocolo de denúncia não garante restituição.

O que mudou — e o que continua igual

A IA reduz o custo de personalizar uma fraude. Uma mensagem pode citar o nome do cliente, imitar o estilo de escrita do responsável ou usar um áudio com voz semelhante. Vídeos falsos podem reforçar campanhas de doação, falsas oportunidades ou pedidos de um suposto executivo.

O núcleo da engenharia social, porém, continua conhecido. O Governo Digital reconhece que phishing, áudio e vídeo falsos podem ficar mais convincentes com IA. O CERT.br recomenda desconfiar, informar-se e verificar quando a mensagem envolve dinheiro, vantagem, dado pessoal ou pressão para agir sem tempo.

• Urgência que impede pensar.
• Pedido de segredo ou quebra de procedimento.
• Autoridade para constranger quem recebe.
• Mudança inesperada de conta, chave Pix ou senha.
• Link ou arquivo que leva a página falsa.
• Recompensa, ameaça ou história emocional desproporcional.
• Solicitação de código recebido por SMS ou aplicativo.

1. Voz clonada de familiar, sócio ou chefe

A ligação ou mensagem de áudio parece vir de alguém conhecido. A pessoa relata uma emergência, diz estar sem acesso ao banco ou exige uma transferência confidencial. O número pode ser novo, falsificado ou pertencer a uma conta comprometida.

Não discuta se a voz parece igual. Desligue e telefone para o número que você já tinha salvo. Se o pedido envolver a empresa, confirme com outro responsável e registre a aprovação.

2. Fraude do responsável ou do fornecedor

O criminoso se passa por sócio, gerente, contador ou fornecedor para mudar dados bancários, antecipar uma fatura ou liberar acesso. Áudio e vídeo sintéticos podem reforçar a falsa autoridade.

Mudança de favorecido merece conferência fora da mensagem recebida. Use o contato já cadastrado no contrato ou no sistema, não o telefone informado no e-mail suspeito.

3. Campanha de doação com pessoa inventada

Imagens e vídeos gerados por IA podem criar personagens, testemunhos e urgências médicas inexistentes. Em setembro de 2026, uma reportagem brasileira documentou uma campanha com um falso padre e outros personagens sintéticos para solicitar Pix.

Antes de doar, procure a campanha no canal oficial da instituição, verifique quem aparece como beneficiário do Pix e desconfie de perfis recém-criados, histórico inconsistente e ausência de responsáveis verificáveis.

4. Anúncio ou atendimento falso

Um vídeo com voz e rosto de especialista ou celebridade promete produto, investimento, curso, emprego ou suporte. A conversa migra para WhatsApp e termina em pagamento, instalação de aplicativo ou entrega de dados.

Entre no site digitando o endereço oficial ou usando um aplicativo já instalado. Não use o link do anúncio para confirmar o próprio anúncio.

5. Phishing muito bem escrito

A ausência de erro de português deixou de ser um bom filtro. IA pode adaptar tom, idioma e contexto. O e-mail pode imitar cobrança, nota fiscal, documento compartilhado ou aviso de conta.

Confira domínio do remetente, endereço real do link, contexto do pedido e atividade diretamente no serviço oficial. Senha, código de autenticação e chave de recuperação não devem ser enviados por mensagem.

6. Suporte técnico com acesso remoto

O contato informa que há fraude, vírus, bloqueio fiscal ou problema no banco e pede instalação de aplicativo, compartilhamento de tela ou código. Texto e voz naturais não tornam o suporte legítimo.

Encerre a conversa. Procure o telefone oficial no aplicativo, contrato ou site digitado por você. Banco, plataforma ou contador não precisam da sua senha para cancelar uma fraude.

Por que procurar defeitos de IA não basta

Lábios fora de sincronia, mãos estranhas, reflexos impossíveis, cortes na voz e fundo instável podem levantar suspeita. Mas esses sinais não provam que o conteúdo é falso — e a ausência deles não prova que é verdadeiro.

Ferramentas melhoram, vídeos reais perdem qualidade quando são reenviados e chamadas comuns podem falhar. Um detector automático também pode errar. Por isso, trate a inspeção visual como pista, nunca como autorização para pagar.

O teste decisivo é de procedência: confirme quem publicou, se o perfil ou domínio possui histórico coerente, se a pessoa ou instituição valida o pedido em canal oficial, se o recebedor combina com a história e se outra fonte independente confirma o fato.

Protocolo PARE para confirmar um pedido

O Tech Sem Nó propõe um processo simples para decisões com dinheiro, acesso ou dados.

P — Pause a ação. Não clique, não instale, não compartilhe código e não pague enquanto a identidade não estiver confirmada. Confirme por outro canal; a pressão para impedir a verificação é um sinal de risco, mas não permite concluir sozinha se o pedido é legítimo.

A — Autentique por outro canal. Use um número já salvo, abra o aplicativo oficial ou fale pessoalmente. Se a mensagem chegou por WhatsApp, não confirme apenas respondendo no mesmo WhatsApp: a conta pode estar comprometida.

R — Revise contexto e destino. Confira favorecido, CNPJ ou CPF exibido, valor, fatura, contrato e histórico. Para alteração de dados bancários, compare com o cadastro anterior e telefone para o contato conhecido.

E — Escale a decisão. Peça uma segunda aprovação para pagamento incomum, mudança de fornecedor, acesso administrativo ou exportação de dados. Em equipe pequena, isso pode ser uma mensagem ou ligação para o outro responsável — desde que a confirmação fique registrada.

Aplique o PARE a qualquer pedido incomum, mesmo sem evidência de IA. O processo protege também contra conta invadida, erro humano e fraude tradicional.

Como montar um processo simples de pagamento seguro

Uma pequena empresa não precisa comprar uma plataforma complexa para reduzir o risco. Comece com regras claras.

Uma palavra secreta familiar pode ajudar, mas não deve ser a única defesa: ela pode ser descoberta ou compartilhada. Retorno para número conhecido, confirmação por canal oficial e segunda aprovação são controles mais robustos.

• Defina um limite de dupla aprovação para pagamentos acima do valor escolhido ou fora da rotina.
• Trave mudanças de favorecido: nova chave Pix ou conta só entra após confirmação em contato conhecido.
• Separe pedido e liberação sempre que houver outra pessoa disponível.
• Use contas individuais e evite compartilhar senhas de e-mail, banco, anúncios e armazenamento.
• Ative passkeys ou verificação em duas etapas e guarde a recuperação de forma segura.
• Remova ex-colaboradores, aparelhos antigos e sessões desconhecidas.
• Registre o motivo e a aprovação de qualquer exceção ao processo.
• Treine com exemplos curtos e pratique o PARE sem constranger quem erra.

Como verificar áudio, vídeo, mensagem e campanha

Áudio ou ligação: encerre o contato e retorne para o número já conhecido. Faça uma pergunta ligada ao contexto atual que não esteja exposta nas redes, mas evite usar dados sensíveis como prova. Em empresa, siga o fluxo de aprovação mesmo que a conversa pareça autêntica.

Chamada de vídeo: falhas de imagem são pistas. Peça para encerrar e confirme fora da chamada. Não autorize transferência apenas porque viu um rosto na tela. Se houver pressão para manter segredo, trate como risco elevado.

Mensagem ou e-mail: examine o endereço completo do remetente, não apenas o nome exibido. Passe o cursor sobre links no computador sem clicar. Abra o serviço por favorito, aplicativo ou endereço digitado. Verifique se o pedido existe dentro da conta oficial.

Campanha de doação: busque o nome da pessoa e da instituição, consulte o canal oficial, faça pesquisa reversa de imagem quando útil e confira o beneficiário mostrado pelo banco antes de confirmar. O CERT.br recomenda verificar dados oficiais de campanhas e números de Pix.

Perfil em rede social: observe histórico, data de criação, mudanças bruscas de tema, interações artificiais e links externos. Esses elementos são sinais, não provas. Denuncie perfis falsos na plataforma e avise a organização ou pessoa imitada.

O que fazer se você clicou, entregou senha ou acesso

Agir rápido pode reduzir danos. Não apague tudo antes de guardar evidências e não envie mais dinheiro para liberar reembolso.

Se você clicou, mas não digitou nada, feche a página, não aceite notificações nem instalações, atualize navegador e sistema, verifique downloads e aplicativos recentes e monitore a conta relacionada ao tema da mensagem.

Se entregou senha, código ou acesso, use um dispositivo confiável para trocar a senha, altere-a também onde foi repetida, encerre sessões desconhecidas, ative verificação em duas etapas ou passkey, revise e-mail e telefone de recuperação e avise o administrador do serviço.

Se a conta do WhatsApp foi comprometida, siga o procedimento oficial para registrar novamente o número e recuperar o acesso. Nunca compartilhe o código de seis dígitos recebido.

O que fazer se você fez um Pix ou pagamento

Entre em contato imediatamente com o banco pelos canais oficiais, informe a fraude e solicite a abertura do procedimento cabível, incluindo o Mecanismo Especial de Devolução quando aplicável. Guarde comprovante, chave ou conta de destino, mensagens, links, números, horários e telas. Registre boletim de ocorrência conforme a orientação das autoridades e do seu banco.

O MED não garante devolução: a análise depende do caso e da existência de recursos. Este artigo não substitui orientação jurídica ou bancária.

Quando alguém se passa por você ou pela empresa

Avise clientes, fornecedores e equipe por canais oficiais; denuncie o perfil, anúncio ou número na plataforma; preserve URLs, prints, arquivos originais e horários; troque credenciais se houver suspeita de invasão; e registre ocorrência quando houver prejuízo, extorsão ou furto de identidade.

Se houve possível vazamento de dados, acione o plano de resposta a incidentes, limite acessos, identifique quais dados e pessoas foram afetados e preserve registros. A necessidade de comunicação à ANPD e aos titulares depende do contexto e do risco; procure orientação adequada.

Checklist de prevenção para a equipe

Use esta lista para transformar a orientação em um procedimento simples de trabalho.

• Pagamento incomum exige confirmação fora da mensagem recebida.
• Mudança de chave Pix ou conta de fornecedor é verificada em contato conhecido.
• Há dupla aprovação acima de um limite definido.
• Ninguém compartilha senha ou código de autenticação.
• E-mail, WhatsApp, banco e nuvem usam autenticação forte.
• Ex-colaboradores e dispositivos antigos são removidos.
• A equipe sabe preservar provas e acionar banco, plataforma e responsável interno.
• Clientes sabem quais são os canais oficiais da empresa.
• Campanhas e anúncios são confirmados no perfil ou site oficial.
• O protocolo PARE foi praticado com um exemplo realista.

Perguntas frequentes

Como saber se uma voz foi clonada por IA? Pausas estranhas, entonação repetitiva e ruído podem levantar suspeita, mas não são prova. A confirmação mais segura é desligar e ligar para o número conhecido, além de seguir o processo normal de aprovação.

Pedir para a pessoa mexer a cabeça confirma um deepfake? Não. Desafios visuais podem falhar tanto em vídeos falsos quanto em conexões reais. Use outro canal e não aprove dinheiro ou acesso apenas com base na imagem.

Uma chamada de vídeo pode ser falsa? Sim. Áudio e vídeo podem ser manipulados ou transmitidos por alguém que imita outra pessoa. Trate qualquer solicitação incomum como um pedido a verificar.

O banco devolve um Pix feito em golpe? Não há garantia. Contate o banco imediatamente e peça orientação sobre o MED e outros procedimentos. Quanto antes a instituição for avisada, mais cedo poderá analisar e adotar medidas cabíveis.

Verificação em duas etapas impede voz clonada? Ela protege a conta contra parte das invasões, mas não impede alguém de imitar uma voz. Segurança de conta e processo de confirmação são camadas diferentes e complementares.

Detectores de IA são confiáveis? Podem ajudar na triagem, mas produzem falsos positivos e falsos negativos. Não use o resultado de um detector como única autorização para pagar, publicar ou acusar alguém.

Toda mensagem perfeita foi escrita por IA? Não. Texto correto não prova origem legítima nem artificial. Verifique remetente, link, contexto, destino e canal oficial.

Comece pelo protocolo PARE

Golpes com inteligência artificial parecem novos porque voz, vídeo e texto ficaram mais convincentes. A defesa mais importante, porém, continua simples: nenhuma aparência substitui procedência.

Quando dinheiro, acesso ou dados estiverem em jogo, use o protocolo PARE: pause, autentique por outro canal, revise contexto e destino e escale a decisão. Em uma pequena empresa, alguns minutos de verificação e uma segunda aprovação podem impedir um prejuízo difícil de reparar.

Escolha hoje um limite para dupla aprovação e ensine o protocolo PARE a quem recebe pedidos ou faz pagamentos. Depois, revise as contas mais críticas com o checklist de segurança ao usar IA.