Golpes com voz clonada por inteligência artificial cresceram 148% no Brasil em 2025, e o uso de deepfakes subiu 830% entre 2024 e 2025, segundo a Serasa Experian. O golpista usa poucos segundos de áudio público do dono ou gestor para simular um pedido urgente de Pix pelo WhatsApp da empresa. A defesa mais eficaz e mais barata é uma palavra-código que só a equipe financeira conhece.
Você provavelmente já recebeu um áudio de WhatsApp que parecia genuíno, mas não era. Agora imagine esse áudio com a voz exata do seu sócio, pedindo para o financeiro fazer uma transferência “urgente” antes do fim do expediente. É esse o golpe que mais cresce contra empresas brasileiras em 2026 — e ele não mira só grandes corporações.
Pequenas e médias empresas costumam achar que não são alvo de fraude sofisticada, mas é exatamente o contrário: times enxutos, sem protocolo formal de verificação e com o dono acessível nas redes sociais (vídeos de evento, entrevista, reunião gravada) são o alvo mais fácil de clonar e o mais fácil de convencer sob pressão.
Neste artigo você entende como o golpe da voz clonada funciona na prática, os sinais que separam uma ligação real de uma fraude por IA, um protocolo simples para blindar o financeiro da empresa e um exemplo real de como isso quase deu errado numa metalúrgica catarinense.
Como funciona o golpe da voz clonada contra empresas?
A inteligência artificial de clonagem de voz precisa de pouquíssimo material — cerca de 15 segundos de áudio público já bastam para treinar um modelo capaz de reproduzir tom, sotaque e cadência de fala de uma pessoa real. O golpista coleta esse áudio em vídeos institucionais, entrevistas, podcasts ou até stories antigos, gera a voz sintética e liga (ou manda áudio) para alguém do financeiro simulando uma emergência: fornecedor que precisa ser pago na hora, imposto vencendo, ou o próprio dono “sem sinal” pedindo para não ligar de volta. Em versões mais avançadas, o golpe já usa vídeo com rosto clonado em chamada, reproduzindo até expressões faciais em tempo real.
Segundo a Serasa Experian, o Brasil registrou 6.937.832 tentativas de fraude apenas no primeiro semestre de 2025 — uma a cada 2,3 segundos — e ferramentas de IA já estão presentes em 42,5% das fraudes financeiras do país. O motivo do crescimento é simples: a barreira técnica para clonar uma voz caiu, enquanto o volume de áudio e vídeo público de empresários e gestores nas redes sociais só aumenta.
Por que pequenas e médias empresas viraram alvo prioritário?
Fraude corporativa sofisticada costumava mirar apenas grandes empresas, com equipes de compliance e protocolos rígidos de aprovação. O cenário mudou porque a IA baixou o custo do ataque a quase zero: o mesmo golpista consegue tentar dezenas de empresas por dia, sem precisar de conhecimento técnico avançado. PMEs entram na mira porque, em geral, reúnem três fatores que facilitam o golpe:
- O dono ou sócio tem presença pública (Instagram, YouTube, palestras, entrevistas) que fornece o áudio-fonte da clonagem;
- O processo de aprovação de pagamento é informal, muitas vezes concentrado em uma ou duas pessoas de confiança;
- A cultura interna valoriza resposta rápida ao “chefe”, o que reduz a chance de alguém questionar um pedido urgente;
- Não existe um protocolo formal e testado de verificação para pedidos financeiros fora do padrão.
Quais sinais indicam que a ligação ou o áudio pode ser um deepfake?
Nenhum sinal isolado é garantia, mas a combinação de vários deles deve acender o alerta antes de qualquer transferência:
| Situação | Comportamento normal | Sinal de golpe com IA |
|---|---|---|
| Urgência | Pedido de pagamento segue o fluxo normal de aprovação | Pressão para agir “agora”, sem tempo para checar |
| Canal | Combinações financeiras relevantes por canal já conhecido e validado | Áudio ou ligação inesperada, muitas vezes fora do horário comercial |
| Contato | Pessoa responde normalmente se você ligar de volta | Alega estar “sem sinal”, “em reunião” ou “sem bateria” para evitar contato direto |
| Contexto | Sabe detalhes internos específicos e recentes da empresa | Fica vago em detalhes que só quem está por dentro saberia |
| Dado bancário | Conta de destino já é conhecida e usada antes | Pede transferência para conta nova, pessoa física, “só dessa vez” |
Como montar um protocolo simples contra o golpe da voz clonada?
A defesa mais eficaz contra deepfake não é tecnológica, é comportamental: uma palavra-código combinada entre sócios e financeiro, que nunca é dita por telefone, WhatsApp ou vídeo — só presencialmente ou por um canal 100% seguro já validado. Sem essa palavra, nenhum pedido urgente é executado, ponto final. Um protocolo básico e barato de implantar inclui:
- Palavra-código exclusiva para autorizar qualquer pagamento fora do fluxo padrão, trocada periodicamente;
- Regra de dupla checagem: todo pedido “urgente” de transferência exige confirmação por um segundo canal (ligar de volta no número já salvo, nunca no número que ligou);
- Limite de valor que qualquer pessoa pode aprovar sozinha, mesmo sob pressão do “chefe”;
- Treinamento curto da equipe financeira sobre como o golpe funciona, repetido a cada poucos meses;
- Redução de áudio/vídeo público desnecessário de quem tem poder de aprovar pagamentos, quando possível.
Automação também ajuda: um agente de IA configurado no atendimento da empresa pode aplicar essa dupla checagem de forma padronizada — por exemplo, sinalizando automaticamente qualquer solicitação de pagamento fora do fluxo cadastrado para revisão humana antes de seguir adiante, em vez de depender só da atenção de quem está na correria do dia a dia.
Exemplo prático: o golpe que quase funcionou numa metalúrgica em Joinville
Diego é sócio de uma metalúrgica de médio porte em Joinville (SC). Numa sexta-feira à tarde, a analista financeira recebeu um áudio no WhatsApp corporativo com a voz dele — tom, jeito de falar, até a forma de chamar a analista pelo apelido — pedindo uma transferência de R$ 18 mil para “fechar um fornecedor antes do fim de semana”, alegando estar em reunião e sem poder ligar. A urgência e a semelhança da voz quase convenceram a equipe a agir na hora.
O que salvou a empresa foi um detalhe simples: a política interna exigia que qualquer transferência acima de R$ 5 mil fosse confirmada por ligação no número de Diego já salvo no sistema, nunca respondendo no mesmo chat. Ao ligar, a analista falou com o Diego de verdade — que não tinha mandado áudio nenhum. A empresa registrou boletim de ocorrência e reforçou o treinamento da equipe. Diego não trata isso como caso isolado nem promete que não vai acontecer de novo — mas sabe que o protocolo de dupla checagem foi o que evitou o prejuízo.
Quais erros mais comuns deixam a empresa vulnerável a esse golpe?
- Não ter protocolo escrito: combinar “informalmente” que vão desconfiar de pedidos estranhos não funciona sob pressão real;
- Confirmar pelo mesmo canal do golpe: responder no mesmo áudio ou WhatsApp que iniciou o contato não prova nada — o golpista está do outro lado;
- Achar que só empresa grande é alvo: o custo baixo da clonagem de voz torna qualquer empresa com presença digital um alvo viável;
- Não treinar a equipe periodicamente: um treinamento único, feito uma vez, perde efeito com o tempo;
- Ignorar o histórico de fraude: não registrar tentativas anteriores impede identificar padrões e alertar outras áreas da empresa.
Perguntas frequentes sobre golpe de voz clonada por IA
Como o golpista consegue clonar a voz do dono da empresa?
Com cerca de 15 segundos de áudio público — de vídeos institucionais, entrevistas, palestras ou redes sociais — um modelo de IA já reproduz tom, sotaque e cadência de fala com qualidade suficiente para enganar quem ouve rápido e sob pressão.
Existe algum software que detecta deepfake de voz com segurança?
Existem ferramentas de detecção, mas nenhuma é infalível contra os modelos mais recentes. Por isso a palavra-código e a dupla checagem por canal já validado continuam sendo a defesa mais confiável, porque não dependem de identificar a fraude pelo ouvido.
O golpe da voz clonada também acontece por vídeo, não só por áudio?
Sim. As versões mais avançadas já clonam o rosto em chamadas de vídeo, reproduzindo expressões em tempo real, o que torna a ligação de vídeo isolada uma prova insuficiente sem uma segunda forma de confirmação.
Quem deve conhecer a palavra-código dentro da empresa?
Só quem participa diretamente da aprovação de pagamentos — sócios e financeiro. Quanto mais gente souber, maior o risco de vazamento; por isso ela deve ser trocada periodicamente e nunca comunicada por WhatsApp, e-mail ou ligação.
Vale a pena registrar boletim de ocorrência mesmo quando o golpe não deu certo?
Vale, porque o registro ajuda a rastrear padrões de atuação de quadrilhas e pode ser usado como prova caso a mesma empresa seja alvo de novas tentativas.
Se a sua empresa ainda não tem um protocolo formal contra golpes com IA, vale revisar isso antes que aconteça, não depois. Fale com a NexusAI e chame a gente no WhatsApp para entender como automatizar a checagem de pedidos financeiros com mais segurança.
