Voz clonada e deepfake: como proteger sua empresa

A empresa se protege de golpes com voz clonada e deepfake (vídeo ou áudio falsificado por inteligência artificial) com regras que não dependem de.

A empresa se protege de golpes com voz clonada e deepfake (vídeo ou áudio falsificado por inteligência artificial) com regras que não dependem de reconhecer a falsificação: confirmar qualquer pedido de dinheiro ou dado por um canal já conhecido, combinar uma palavra-código para emergências reais e exigir dupla aprovação em pagamentos e Pix. A voz pode parecer convincente. O processo é que não pode ter atalho.

O golpista usa urgência, autoridade e sigilo (“o diretor está em reunião, não ligue para ninguém”). Quem segue um roteiro fixo de verificação tira o efeito dessas três pressões. Este guia reúne os cenários mais comuns, o roteiro de verificação, as orientações oficiais que confirmamos e o que fazer se o golpe já aconteceu.

Resumo rápido

Voz e vídeo, isoladamente, não bastam para confirmar identidade. Toda ordem de pagamento por áudio, vídeo ou mensagem exige confirmação em outro canal.

Defina palavra-código com familiares e com a equipe financeira, e use só em situações reais.

Pagamentos e Pix acima de um limite devem ter dupla aprovação por pessoas diferentes, sem exceção para “pedido do chefe”.

Se pagou, acione o banco na hora. O Banco Central prevê o Mecanismo Especial de Devolução (MED) do Pix, pedido pelo app ou canal do banco.

Ative a verificação em duas etapas no WhatsApp e nunca informe o código recebido por SMS.

Como esses golpes funcionam

Voz clonada é a imitação da voz de uma pessoa por um programa de IA treinado com gravações dela, como áudios de redes sociais, vídeos e entrevistas. Deepfake é o conteúdo de vídeo, imagem ou áudio criado ou alterado por IA para parecer real. Os dois dão credibilidade a golpes que já existiam.

O golpe do “CEO” ou do financeiro

O criminoso se passa por diretor, sócio ou fornecedor e pede um pagamento fora do fluxo normal: uma transferência urgente, a troca da conta de um fornecedor, o pagamento de um boleto “confidencial”. O contato chega por mensagem, ligação com voz clonada ou até chamada de vídeo. O pedido pode explorar sigilo e pressa.

O alvo costuma ser quem tem acesso ao dinheiro: financeiro, contabilidade, secretaria executiva, tesouraria. Os dados para montar a história vêm de redes sociais, do site da empresa e de vazamentos.

O falso parente no WhatsApp

Aqui o golpista pode usar um número novo (“troquei de celular”) ou uma conta clonada, e pede Pix para pagar uma conta urgente. Com voz clonada, o áudio reforça a história. A Febraban descreve o padrão: criminosos tomam contas, enviam mensagens aos contatos se passando pela pessoa e pedem dinheiro emprestado, com urgência falsa e Pix para contas de terceiros. Na empresa, o mesmo roteiro aparece com o “dono” pedindo um favor ao funcionário.

Sinais de alerta

Não confie em detalhes técnicos como “a voz soou estranha”. Confie no comportamento do pedido.

Urgência para pagar “agora”, antes de uma reunião ou do fim do expediente.
Pedido de sigilo e de que você não confirme com mais ninguém.
Mudança de conta bancária, chave Pix ou favorecido em pagamento rotineiro.
Contato por um número, e-mail ou canal que a pessoa nunca usou antes.
Pedido para pular um passo do processo “só desta vez”.
Pagamento para conta de terceiro ou pessoa física quando o fornecedor é empresa.
Insistência em manter a conversa na mesma ligação ou no mesmo chat, sem permitir retorno.

Procedimentos de verificação que funcionam

O roteiro abaixo não exige tecnologia nova. Exige ser aplicado sempre, inclusive ao presidente.

Situação	Sinal típico	Verificação
Ordem de pagamento “do diretor”	Áudio ou vídeo pedindo urgência e sigilo	Ligar de volta para o número cadastrado do diretor. Não responder pelo mesmo canal. Exigir segundo aprovador.
Troca de conta de fornecedor	E-mail ou mensagem com novos dados bancários	Confirmar por telefone do cadastro antigo com contato já conhecido. Só alterar com registro formal.
Familiar pedindo Pix	Número novo, voz parecida, urgência	Perguntar a palavra-código. Ligar para o número antigo ou pedir a alguém próximo que ligue.
Videochamada de “executivo”	Imagem estranha, pedido fora do padrão	Encerrar e retornar por canal conhecido. Nenhum pagamento sem aprovação no sistema.
Pedido de código recebido por SMS	Alguém se passa por atendimento	Nunca informar. O código é só seu.

Palavra-código

Uma palavra ou frase combinada antes, que só as pessoas envolvidas conhecem. A Febraban recomenda combinar com família e amigos uma senha ou palavra-chave para situações reais de perigo. Adaptar essa prática à diretoria e ao financeiro é uma recomendação de controle interno, não uma regra bancária. Regras: não escreva em chats, não repita em mensagens, troque depois de usar e não use dados públicos (nome do pet, data de aniversário).

Retorno por canal conhecido

Desligue e ligue de volta para um número que você já tinha, não para o que ligou. Se a pessoa está em viagem, use outro meio previamente cadastrado ou fale com alguém que a acompanha. A Febraban orienta, no caso de falso sequestro e pedidos de parentes, confirmar a identidade de quem está do outro lado e pedir a alguém próximo para ligar de outro telefone.

Dupla aprovação

Nenhum pagamento sai com a aprovação de uma só pessoa acima de um limite definido pela empresa. O segundo aprovador confere o pedido contra o contrato, a nota ou a ordem de compra, e não contra a mensagem recebida. Quem pede e quem aprova nunca são a mesma pessoa.

Regras de pagamento e Pix na empresa

Cadastro de favorecidos. Só pague para contas previamente cadastradas. Alteração de dados bancários passa por formulário, confirmação por telefone do cadastro antigo e aprovação de duas pessoas.
Limites e horários. Defina limites por usuário e por transação. Consulte o banco sobre os controles disponíveis para sua conta empresarial; não presuma que regras de pessoa física sejam iguais.
Sem exceção para urgência. Escreva na política que ordem urgente também segue o roteiro. O diretor verdadeiro vai entender.
Registro. Guarde mensagens, áudios, números e horários de qualquer pedido suspeito, mesmo que tenha sido recusado.
Treino. Faça simulações curtas com a equipe financeira, com um pedido falso de áudio, e discuta o que aconteceu.

Empresas que usam IA para monitorar fraude em pagamentos podem ver os conceitos em agentes de IA para prevenção de fraudes no Pix em tempo real. A tecnologia ajuda, mas não substitui a dupla aprovação.

Proteja o WhatsApp e as contas da empresa

Muitos golpes de falso parente e de falso diretor começam com a conta de alguém clonada. O que fazer:

Ative a verificação em duas etapas, nas configurações da conta. A Febraban orienta ativar a confirmação em duas etapas e nunca informar o código a ninguém. O WhatsApp tem página de ajuda sobre o recurso.
Nunca informe o código de seis dígitos recebido por SMS. O WhatsApp explica o que fazer ao receber código sem ter solicitado.
Limite quem vê sua foto de perfil e informações pessoais.
Para o atendimento da empresa no WhatsApp, siga as recomendações de como integrar IA no WhatsApp com segurança.
Reduza o que a empresa publica: organogramas com e-mail de cada gestor e áudios longos dos diretores facilitam o trabalho do criminoso.

Se sua empresa estuda usar o assistente de IA do WhatsApp, veja também o guia da Meta AI. Ele não substitui nenhuma das verificações acima.

Se o golpe aconteceu: o que fazer na primeira hora

Acione o banco imediatamente pelo aplicativo ou canal de atendimento e relate que foi golpe. Informe horário, valor, chave Pix e conta de destino.
Solicite o MED. O Mecanismo Especial de Devolução é o procedimento do Pix para tentar recuperar valores em situações de fraude. Conteste pelo aplicativo do banco ou procure seu atendimento oficial. Descreva o ocorrido e peça o protocolo; não espere obter um laudo sobre o áudio.
Observe o prazo. A página de segurança do Pix do Banco Central informa até 80 dias após a transação para solicitar a devolução à instituição. Esse é um limite para o pedido, não um motivo para esperar.
Se o banco não resolver, a orientação do Banco Central inclui registrar reclamação no BC e procurar Procon ou Judiciário, conforme o caso.
Registre boletim de ocorrência na delegacia ou no serviço de delegacia online do seu estado, quando houver. Anexe prints, áudios, números e comprovantes. O Banco Central recomenda registrar o BO em paralelo ao contato com o banco. Preserve os arquivos originais, além das capturas de tela.
Troque senhas e encerre sessões das contas envolvidas e avise contatos se a conta de WhatsApp foi tomada.
Comunique a diretoria e o jurídico. Se houve incidente com dados pessoais, avalie com o responsável por privacidade a necessidade de comunicar à ANPD e aos titulares, conforme o risco e a regulamentação aplicável.

O MED envolve análise pelas instituições e não promete devolução integral em todos os casos. Por isso a velocidade conta.

Exemplo: escritório de contabilidade em Goiânia

Em um escritório de contabilidade em Goiânia (GO), a analista financeira recebe um áudio que parece ser do sócio principal, pedindo o pagamento de uma guia “atrasada” para uma conta diferente da usual, com o aviso de que ele está em reunião e não pode atender. O caso é ilustrativo.

Com o roteiro, a analista não responde no chat. Liga para o número do sócio que está no cadastro e não consegue falar. Aciona o segundo aprovador, que confere a guia no sistema e vê que o favorecido não é o cadastrado. O pagamento não sai. Ela registra o áudio e o número de origem e comunica a diretoria. Nenhuma tecnologia detectou o áudio falso. Quem barrou foi o processo.

Erros comuns

Tentar “ouvir se é falso”. Voz e vídeo bons enganam. Verifique o pedido, não a qualidade do áudio.
Responder pelo mesmo canal. Se a conta está clonada, você fala com o criminoso.
Abrir exceção para o chefe. O golpe do falso diretor vive disso.
Usar palavra-código previsível ou enviá-la por mensagem.
Demorar para acionar o banco por vergonha ou para “tentar resolver sozinho”.
Esquecer de guardar provas antes de apagar as conversas.

Perguntas frequentes

Existe ferramenta que detecta voz clonada com certeza?

Não presuma certeza. Um detector pode errar ou não cobrir o conteúdo recebido. Sua política de pagamentos precisa funcionar mesmo quando não for possível saber como o áudio foi produzido. Mantenha a confirmação por canal conhecido.

Palavra-código serve para empresa?

Serve para pequenos grupos, como diretoria e financeiro, em pedidos fora do padrão. Para pagamentos, o controle principal continua sendo a dupla aprovação e o cadastro de favorecidos.

O MED devolve todo o dinheiro?

Não. O Banco Central informa que a recuperação depende da análise da fraude e da existência de recursos nas contas envolvidas. Ela pode ser parcial ou não acontecer. Peça o MED o quanto antes.

Preciso de boletim de ocorrência para pedir o MED?

A orientação do Banco Central é procurar o banco imediatamente e registrar o BO em paralelo. Não adie o primeiro contato enquanto prepara o registro policial. Siga as instruções oficiais para enviar a documentação e mantenha os protocolos.

Como tratar a ocorrência com a equipe?

Priorize conter a perda, preservar provas e entender por que o controle falhou. Revise acessos, limites e aprovações. Questões disciplinares dependem dos fatos e da análise de RH e jurídico; a investigação precisa permitir relatos rápidos e completos.

Golpes com voz clonada e deepfake: como a empresa se protege