42,5% dos golpes no Brasil já usam IA — relatório PF 2026
Fraude virou linha de produção: vídeos sintéticos, vozes clonadas, e-mails impecáveis e identidades fabricadas em pipeline industrial.
Segmento: Empresas e Operações · Nível de risco: CRÍTICO
Núcleo de Inteligência Blindfy · Revisão técnica Blindfy
Cenário
Um vídeo do CEO em call de Microsoft Teams aprova transferência urgente de R$ 800k para um "novo fornecedor estratégico". Áudio bate, lábios sincronizam, o fundo é a sala dele em São Paulo, contexto da empresa correto. O CFO executa. Trinta minutos depois descobre que o CEO estava em voo internacional e nunca participou da call. Era deepfake combinado com injeção de virtual camera — produzido em 15 minutos a partir de vídeos públicos do executivo no LinkedIn.
Como o golpe acontece
Operadores combinam quatro vetores: (a) raspagem de áudio e vídeo público do alvo em redes sociais e eventos, (b) geração via modelos open-source de deepfake (HeyGen, Sora-clones), (c) injeção em call de vídeo via virtual camera durante reuniões ao vivo, (d) scripts orquestrados por LLM que respondem a perguntas inesperadas em tempo real.
Erro comum
Confiar no reconhecimento visual e na "voz familiar". O ataque é projetado exatamente para explorar esse reconhecimento — quanto mais carismático e exposto o executivo, maior o material de treino disponível.
Impacto
A Polícia Federal aponta 42,5% das fraudes registradas em 2025 com algum componente de IA. R$ 1,2 bi atribuído a deepfakes em 2025, com projeção de 70% das fraudes online usando IA em 2026. Médias por incidente: R$ 80k a R$ 5M, dependendo do volume da operação.
O que funciona
Protocolo de validação por canal alternativo para qualquer movimentação acima de R$ 50k: liga para o número conhecido do executivo (não o do call), espera retorno por canal oficial. Defina código verbal interno para situações de "urgência" e divulgue só entre aprovadores. Treinamento contínuo do financeiro contra urgência fabricada.
Checklist de proteção
- Definir limiar financeiro que exige validação por canal alternativo
- Estabelecer código verbal interno para aprovação de urgência
- Treinar time financeiro contra "pressão por urgência" mensalmente
- Validar identidade do solicitante por chamada de telefone (não pela call do vídeo)
- Manter cadastro de aprovadores com canais alternativos documentados
- Adotar dois aprovadores obrigatórios acima de limiar
- Auditar exposição pública de áudio/vídeo de C-level a cada trimestre
Fontes editoriais
- CERT.br / NIC.br — Cartilha de Segurança para Internet
- ENCCLA / Ministério da Justiça — Enfrentamento a golpes digitais
Não é mais "se vai acontecer". É "quando". Quem não tem protocolo de validação out-of-band em 2026 está aberto para o primeiro deepfake que passar.
