Empresas falsas, documentos adulterados e golpes de engenharia social não surgiram com a inteligência artificial. O que mudou foi a capacidade de produzir rapidamente sites, vozes, imagens, documentos e comunicações capazes de parecer coerentes entre si. Quando várias dessas camadas são combinadas, uma fraude que antes entregava sinais evidentes pode passar por verificações superficiais e chegar até departamentos financeiros, fornecedores e pequenos negócios com aparência profissional.
A IA não criou a empresa de fachada, o documento falso ou a engenharia social. Ela reduziu o custo e aumentou a qualidade de vários componentes usados nesses golpes.
Deepfake de voz ou vídeo também não deve ser tratado como prova isolada de uma nova modalidade criminosa. O risco maior está na combinação entre identidade sintética, cadastro empresarial plausível, domínio parecido, documentação aparentemente correta e comunicação convincente.
A defesa precisa sair da aparência e avançar para verificações independentes. CNPJ, domínio, telefone, conta bancária, pessoa de contato e alterações de pagamento devem ser confirmados por fontes e canais que não dependam exclusivamente das informações fornecidas pelo próprio interessado.
O golpe antigo ganhou documentos, vozes e rostos melhores
Fraudes empresariais sempre dependeram de construir confiança suficiente para que alguém libere dinheiro, mercadoria, crédito ou acesso. Durante muito tempo, parte desses golpes era relativamente fácil de perceber porque os elementos não combinavam. O e-mail tinha erros grosseiros, o site parecia improvisado, a documentação não resistia a uma consulta e a pessoa do outro lado evitava qualquer interação mais elaborada.
Ferramentas de inteligência artificial mudaram principalmente essa etapa. Hoje é mais barato produzir texto profissional, adaptar documentos, gerar imagens, sintetizar uma voz e até criar vídeos capazes de convencer alguém durante alguns segundos ou minutos. O relatório Identity Fraud Report 2025–2026, da Sumsub, descreveu uma mudança de perfil nas tentativas analisadas pela empresa. Em vez de apenas maior volume, a companhia registrou aumento de ataques coordenados e com múltiplas etapas.
A própria metodologia do relatório precisa ser entendida. Os números da Sumsub refletem dados internos de sua plataforma, países com atividade significativa e pesquisas com profissionais e usuários. Não são uma estatística oficial de toda a fraude brasileira. O relatório analisou mais de 4 milhões de tentativas de fraude entre 2024 e 2025 e identificou crescimento global de 180% nas fraudes consideradas sofisticadas e coordenadas.
No Brasil, há outra evidência de expansão da infraestrutura usada para golpes. A Serasa Experian informou que identificou 20.840 anúncios, perfis, páginas e aplicativos falsos no primeiro semestre de 2026, alta de 27,2% em relação ao mesmo período de 2025. Os sites falsos mais que dobraram nessa base, enquanto anúncios falsos responderam pela maior parte das ocorrências.
A leitura correta não é que a IA tenha criado uma epidemia inteiramente nova. O que ela faz é tornar mais fácil construir várias peças convincentes para uma fraude que continua dependendo de princípios conhecidos, como urgência, autoridade aparente, promessa de vantagem e validação insuficiente.
Identidade roubada e identidade sintética não são exatamente a mesma coisa
Uma identidade roubada utiliza dados de uma pessoa real. CPF, nome, endereço, fotografia ou credenciais podem ser usados sem autorização para abrir contas, realizar compras ou tentar assumir uma relação comercial existente.
Identidade sintética funciona de maneira diferente. Ela combina informações verdadeiras, falsas ou geradas para criar uma identidade que parece plausível, mas não corresponde integralmente a uma pessoa real. Em determinados esquemas, um dado verdadeiro pode servir como âncora enquanto outras informações são fabricadas para construir histórico e aparência de legitimidade.
No ambiente empresarial, essa lógica pode ganhar outra camada. Em vez de apenas fingir ser uma pessoa, o fraudador pode clonar elementos de uma empresa existente ou criar uma estrutura empresarial que parece regular em uma verificação superficial.
Ter um CNPJ válido, por exemplo, não prova sozinho que a pessoa que entrou em contato representa aquela empresa, nem que a conta bancária fornecida pertence ao fluxo financeiro habitual daquele negócio. Da mesma forma, um documento societário aparentemente correto não confirma que o arquivo recebido é autêntico.
A Redesim oferece consulta pública de CNPJ e também mantém o serviço de Proteção do CPF, pelo qual uma pessoa pode impedir novas inclusões do próprio CPF em quadros societários. O mecanismo não resolve fraudes empresariais por si só, mas mostra como o uso indevido de identidade em estruturas empresariais é um problema concreto.
Por que várias evidências falsas podem parecer uma prova verdadeira
O golpe se torna mais convincente quando cada elemento confirma o anterior. Um e-mail chega de um domínio quase idêntico ao verdadeiro. A assinatura apresenta nome e cargo existentes. O site usa cores, logotipo e informações públicas da empresa. O interlocutor envia um documento aparentemente regular. Uma busca rápida encontra um CNPJ ativo. Depois, uma ligação ou videoconferência parece confirmar a identidade da pessoa.
Cada verificação, isoladamente, parece ter aumentado a confiança. O problema é que todas podem ter origem na mesma estrutura fraudulenta.
Deepfakes entram exatamente nesse ponto. Voz clonada e vídeo sintético podem ser usados para reforçar uma história que já foi preparada por outros meios. Uma chamada de vídeo continua sendo uma evidência útil, mas deixou de ser prova absoluta de identidade quando utilizada sozinha.
Sistemas de prova de vida tentam responder a parte desse problema. Alguns exigem movimentos ou ações do usuário. Outros analisam sinais passivos, profundidade, iluminação, padrões faciais e características do fluxo de vídeo. Mesmo assim, segurança não deveria depender de uma única barreira.
No contexto empresarial, a lógica mais robusta é combinar identidade da pessoa, existência da empresa, histórico da relação, dados bancários, comportamento da operação e confirmação por canais independentes.
Se uma operação envolve crédito, alteração de conta bancária, pagamento elevado ou novo fornecedor, confirme as informações por um canal obtido independentemente. Não use apenas o telefone, link ou contato enviado pela própria pessoa que está solicitando a operação.
A validação precisa acontecer fora do canal usado pelo interessado
A primeira camada é consultar diretamente dados cadastrais em fontes oficiais. CNPJ e situação cadastral podem ser verificados na Receita Federal e na Redesim. Dependendo do tipo de empresa e da operação, registros em juntas comerciais, órgãos reguladores ou autorizações específicas também podem ser relevantes.
O domínio de internet merece análise separada. Uma diferença de uma letra, hífen ou extensão pode passar despercebida. O endereço do site encontrado em pesquisa independente deve ser comparado ao domínio utilizado no e-mail recebido.
Telefone também precisa de uma fonte externa. Em vez de ligar para o número incluído no próprio pedido de pagamento, procure o canal institucional já conhecido ou publicado em fonte confiável. Esse procedimento é conhecido em muitas empresas como callback independente.
Conta bancária e chave Pix merecem atenção especial quando mudam de repente. Um fornecedor que sempre recebeu em determinada conta e pede alteração pouco antes de um pagamento grande cria uma situação que justifica nova confirmação. O mesmo vale quando o favorecido não corresponde à pessoa jurídica esperada ou quando aparece uma empresa intermediária sem explicação clara.
Dupla aprovação para pagamentos, limites diferenciados, cadastro formal de fornecedores e registro das alterações ajudam a reduzir a dependência de uma única pessoa. Pequenos negócios muitas vezes consideram esses processos burocráticos até o momento em que uma transferência urgente chega por mensagem com aparência perfeita.
Pequenas empresas precisam de processo, não de software milagroso
Ferramentas de KYC, KYB, biometria e análise comportamental ajudam organizações que processam grande volume de cadastros. KYC é voltado à identificação de clientes ou pessoas. KYB aplica lógica semelhante à verificação empresarial, incluindo existência legal, estrutura societária e riscos relacionados à entidade.
Isso não significa que uma pequena empresa precise montar uma infraestrutura bancária de prevenção a fraude. A maior melhoria pode estar em formalizar cinco ou seis verificações antes de determinadas operações.
Novo fornecedor, mudança de conta, adiantamento fora do padrão, crédito elevado, compra urgente ou solicitação de pagamento feita por executivo são exemplos de eventos que podem exigir confirmação adicional.
O Ministério da Justiça e Segurança Pública mostrou a importância dessa validação ao firmar em 2026 um acordo relacionado à publicidade de produtos financeiros. Entre as exigências anunciadas para determinados anunciantes estão comprovação de identidade, existência legal, autorização para atuar quando aplicável e legitimidade para representar a instituição anunciada.
O princípio é o mesmo. Aparência profissional não basta quando existe uma fonte externa capaz de confirmar o fato.
Quando a suspeita aparece, interromper o fluxo vale mais que tentar provar tudo sozinho
Se uma inconsistência surge antes do pagamento, a prioridade é interromper a operação e validar por outro canal. O funcionário não precisa provar a fraude naquele momento. Precisa impedir que a pressão por rapidez elimine a verificação.
Se o pagamento já foi realizado, o banco ou instituição financeira deve ser contatado imediatamente. Dependendo do meio utilizado, podem existir procedimentos de contestação, bloqueio ou tentativa de recuperação.
E-mails, mensagens, comprovantes, números de telefone, domínios, dados bancários e arquivos recebidos devem ser preservados. Apagar conversas por vergonha ou tentar confrontar o fraudador pode destruir informação útil.
Quando dados pessoais de clientes, funcionários ou parceiros também tiverem sido expostos, o episódio pode envolver obrigações adicionais de segurança e proteção de dados. A necessidade de comunicação à Autoridade Nacional de Proteção de Dados depende da natureza e do risco do incidente.
Registrar ocorrência policial também pode ser necessário. Para a empresa, o episódio deveria resultar em revisão do processo que permitiu a operação, e não apenas em uma advertência genérica para que todos “prestem mais atenção”.
O avanço mais relevante da IA no crime não precisa ser a invenção de um golpe inteiramente novo. Basta melhorar as peças que antes denunciavam um golpe ruim. Texto mal escrito, documento tosco, voz estranha e site amador deixaram de ser filtros confiáveis. Quando aparência perde valor como prova, a segurança precisa migrar para verificação independente de fatos e para processos que continuem funcionando mesmo diante de uma apresentação extremamente convincente.
.png)
