Golpes do Chefe com deepfake: a nova onda de fraudes digitais que está custando bilhões

Automação em escala industrial. A fraude está migrando de golpes isolados de alto valor para ataques automatizados baseados em volume . Golpes de personificação cresceram mais de 1.400% apenas em 2025 . A mudança é tão pronunciada que o número de vítimas está aumentando mesmo onde as perdas totais estão estáveis — a marca registrada da fraude industrializada e automatizada por IA, otimizada para volume .

Fraude de identidade sintética. Isso custou ao setor global de serviços financeiros estimados US$ 22 bilhões em 2024, US$ 31 bilhões em 2025, e projeta-se que ultrapasse US$ 40 bilhões em 2026 — com a tecnologia deepfake como o principal impulsionador . A fraude sofisticada usando identidades geradas por IA aumentou 180% em relação ao ano anterior .

Os deepfakes agora representam 11% de toda a atividade fraudulenta global, de acordo com dados compilados pela Vectra AI . A fraude de identidade com deepfake está a caminho de um aumento de 495% em 2026 em comparação com 2025 . Apenas o setor de serviços financeiros enfrentou um aumento de 2.137% nas tentativas de fraude com deepfake desde 2022 .

Como os 'Golpes do Chefe' usam clonagem de voz por IA e vídeo sintético

Em um Golpe do Chefe, os fraudadores se passam por um executivo sênior — CEO, diretor ou CFO — para enganar as equipes financeiras e fazê-las aprovar transferências urgentes. As técnicas se enquadram em algumas categorias:

Clonagem de voz por IA. Os criminosos usam uma amostra de áudio curta (muitas vezes extraída de teleconferências públicas de resultados, reuniões gravadas ou clipes de redes sociais) para sintetizar uma voz convincente . A voz clonada é usada em chamadas telefônicas ou mensagens de voz orientando um subordinado a transferir fundos. Em janeiro de 2026, um empresário suíço perdeu vários milhões de francos suíços após uma série de chamadas telefônicas usando uma voz clonada por IA que se passava por um parceiro de negócios de confiança .

Videochamadas deepfake. O caso da Arup é o exemplo mais famoso, mas não é isolado. Em março de 2025, um diretor financeiro em Cingapura autorizou transferências de aproximadamente R$ 250 milhões após receber instruções do que parecia ser o CFO da empresa durante uma videochamada . Os atacantes usaram réplicas de vídeo e áudio geradas por IA do CFO e de outros executivos .

Personificação de emergência familiar. Uma variante paralela usa clonagem de voz para se passar por um parente — muitas vezes um filho ou neto — alegando um acidente de carro, prisão, sequestro ou emergência médica para exigir pagamentos urgentes . Perdas documentadas com golpes de deepfake de emergência familiar ultrapassam US$ 5 milhões .

Táticas multicanal. Golpistas usam WhatsApp, e-mail, Microsoft Teams e chamadas telefônicas para criar uma sensação de autoridade e urgência. Eles geralmente pesquisam informações publicamente disponíveis para tornar a personificação mais convincente e pressionam as vítimas com falsa urgência e confidencialidade . Em julho de 2026, promotores federais dos EUA acusaram 14 réus em um esquema de fraude com deepfake de US$ 47 milhões que teve como alvo mais de 1.200 idosos, personificando funcionários de bancos e membros da família .

Por que os sistemas de verificação de identidade dos bancos estão falhando

Bancos e fintechs passaram a última década construindo verificação de identidade remota em torno de um padrão simples: mostrar um documento de identidade, tirar uma selfie, talvez fazer uma breve verificação de prova de vida. Em 2026, esse padrão está falhando de maneiras mensuráveis.

KYC de documento + selfie está sendo derrotado. A verificação padrão de documento mais selfie é vencida por ferramentas de troca de rosto e injeção de câmera. Ataques de injeção — onde os atacantes alimentam um vídeo deepfake pré-gravado diretamente em um feed de câmera ao vivo — aumentaram 783% apenas em 2024 . Trocas de rosto com deepfake burlam as verificações padrão de prova de vida em 58% dos casos .

Identidades sintéticas burlam a integração. Fraudadores alteram fotos em carteiras de identidade perdidas ou roubadas e usam deepfakes para passar nas verificações remotas. Eles então abrem contas usadas para empréstimos, fraudes de cartão de crédito e lavagem de dinheiro . Uma em cada 100 tentativas de verificação agora envolve alguma forma de deepfake .

Ataques de injeção e repetição são mercantilizados. Os atacantes usam ferramentas como OBS Virtual Camera ou drivers personalizados para rotear um fluxo de vídeo pré-gravado ou gerado por IA em uma sessão de verificação . O software agora é vendido como ferramenta de commodity .

A escala é avassaladora. As tentativas de fraude com deepfake nos EUA aumentaram 1.100% apenas no primeiro trimestre de 2025 . Estima-se que 85% dos casos de fraude de identidade agora usam ferramentas de IA generativa . O Relatório de Fraude de Identidade de 2026 da Entrust descobriu que os deepfakes estão ligados a uma em cada cinco tentativas de fraude biométrica, e as selfies com deepfake aumentaram 58% em 2025 .

Alertas da SEBI sobre Golpes do Chefe (julho de 2026)

A Securities and Exchange Board of India (SEBI), equivalente à CVM brasileira, emitiu um comunicado formal em 17 de julho de 2026 (Comunicado à Imprensa nº 40/2026) alertando todas as empresas listadas e entidades regulamentadas sobre o Golpe do Chefe . Pontos-chave do comunicado:

• A SEBI afirmou que os fraudadores estão usando clonagem de voz com deepfake e videochamadas geradas por IA para se passar por executivos seniores e enganar os departamentos financeiros para transferir fundos .
• O comunicado foi motivado por alertas do Centro Indiano de Coordenação de Crimes Cibernéticos (I4C) .
• A SEBI instou as empresas a implementar processos de verificação mais rigorosos para todas as transferências de fundos, incluindo confirmação fora do canal (por exemplo, retornar a chamada para um número conhecido e verificado de forma independente) e aprovação de múltiplas pessoas para pagamentos acima de determinados limites .
• O regulador alertou que os golpistas pesquisam informações publicamente disponíveis para criar personificações convincentes e muitas vezes pressionam as vítimas com falsa urgência e confidencialidade .

O alerta da SEBI faz parte de uma tendência mais ampla. No quarto trimestre de 2025, a Rede de Execução de Crimes Financeiros dos EUA (FinCEN) emitiu um comunicado alertando as instituições financeiras sobre o uso de deepfakes em fraudes de identidade . O Parlamento Europeu, a INTERPOL e vários reguladores nacionais emitiram alertas semelhantes .

O que as empresas podem fazer agora

Reguladores e especialistas em segurança recomendam consistentemente o mesmo conjunto de controles:

• Verificação fora do canal. Nunca aprove uma transferência bancária com base apenas em uma chamada telefônica, videochamada ou e-mail. Retorne a chamada para a pessoa em um número conhecido e verificado de forma independente — não o número que ligou para você .
• Aprovação de múltiplas pessoas. Exija que pelo menos duas pessoas aprovem pagamentos acima de um determinado limite .
• Limites de transação. Defina limites diários ou por transação que exijam escalonamento .
• Treinamento da equipe. As equipes financeiras precisam saber que uma voz ou rosto familiar em uma chamada não é mais uma prova confiável de identidade .
• KYC contínuo. O antigo modelo de 'verificar uma vez na integração' não é suficiente. O monitoramento contínuo da identidade e do comportamento está se tornando necessário .

Como um observador do setor disse: "A confiança está sendo transformada em arma na era digital. Com a clonagem de voz, as tecnologias deepfake e as plataformas de fraude como serviço se tornando facilmente acessíveis, os investigadores precisam de plataformas forenses integradas, compartilhamento de inteligência em tempo real e novas estruturas de evidências" .

A conclusão é simples, mas desconfortável: as pistas sensoriais em que sempre confiamos para saber com quem estamos falando — uma voz familiar, um rosto reconhecível — não são mais confiáveis. As organizações precisam construir processos de verificação que assumam que todo canal de comunicação pode estar comprometido.