Fraude está entre as buscas mais populares na Arábia Saudita hoje, terça-feira, 10 de novembro de 2026. Há cinco dias, promotores federais dos EUA em Nova York anunciaram acusações contra uma quadrilha que usou IA para clonar a voz e a imagem de diretores executivos e advogados, e convenceu funcionários a transferir mais de 129 milhões de dólares, cerca de 483 milhões de riais sauditas, entre 2024 e 2026. A lição para qualquer empresa: nunca envie dinheiro porque a voz parece a do chefe. Todo pedido de transferência fora do processo normal é confirmado por uma ligação que você mesmo faz para um número já cadastrado, mais a aprovação de uma segunda pessoa, sem exceção para negócios confidenciais. (Tratamos o panorama geral no nosso artigo sobre deepfakes e fraude com IA, e os e-mails falsos no nosso artigo sobre e-mails de phishing.)
O que aconteceu, em números
Na quinta-feira, 5 de novembro de 2026, a Procuradoria Federal do Distrito Sul de Nova York tornou pública uma denúncia contra 3 pessoas presas na Espanha e no Reino Unido, cujos pedidos de extradição estão pendentes. Tudo na denúncia são alegações ainda não provadas em tribunal. O comunicado citou 6 empresas vítimas, entre outras:
- Um sistema hospitalar do Missouri: US$ 4.829.580.
- Um banco de Rhode Island: US$ 2.684.580.
- Um sistema hospitalar da Califórnia: US$ 2.968.497.
- Uma empresa de tecnologia financeira do Reino Unido: US$ 11.578.474.
- Uma gestora de fundos mútuos de Massachusetts: US$ 4.639.918.
- Uma fabricante de ração para animais da Flórida: US$ 5.242.747.
Só essas seis somam cerca de 31,9 milhões de dólares. Repare que as vítimas não eram pequenos negócios descuidados: incluem um banco, uma fintech e uma gestora de fundos, organizações com equipes financeiras e controles.
Como a ligação acontece, passo a passo
Segundo o comunicado da promotoria, o roteiro se repetia na mesma ordem:
- O CEO liga: o golpista se passa pelo diretor executivo, usa IA para imitar a voz ou a imagem dele na chamada e pede ajuda ao funcionário com uma operação financeira confidencial.
- O advogado entra: o falso CEO manda o funcionário falar com advogados de grandes escritórios internacionais que estariam no negócio, e os golpistas também se passam por esses advogados.
- A transferência: o falso advogado ordena uma transferência alta para uma conta bancária controlada pela quadrilha, em países como EUA, Espanha, Portugal, Grécia, Emirados Árabes Unidos, Singapura, Áustria, Eslováquia e China.
- O encobrimento: quando o dinheiro chega, é convertido em criptomoedas para esconder a origem.
O detalhe mais revelador: um dos acusados guardava um roteiro escrito à mão chamado Lawyer Call, com frases feitas para convencer os funcionários a não comentar as ligações com os colegas. O sigilo não é um detalhe secundário dessa fraude. É a ferramenta que desliga todos os controles internos.
Por que reconhecer a voz não basta
O conselho de ouvir com atenção não funciona mais. O relatório anual 2025 do Centro de Denúncias de Crimes na Internet do FBI diz que o conteúdo sintético feito com IA está cada vez mais difícil de detectar e mais fácil de produzir, e que a clonagem de voz é usada para pedir transferências. Só em 2025:
- O centro recebeu 22.364 denúncias que mencionavam IA, com perdas de US$ 893.346.472.
- Empresas relataram mais de 30 milhões de dólares perdidos em fraudes de comprometimento de e-mail corporativo envolvendo IA.
- O comprometimento de e-mail corporativo como um todo custou US$ 3.046.598.558 em 24.768 denúncias.
São números dos EUA, mas o método não tem fronteiras, e as contas da própria quadrilha incluíam os Emirados Árabes Unidos. Na Arábia Saudita, o Banco Central Saudita (SAMA) observa que os métodos de fraude variam, mas o objetivo é o mesmo, roubar seu dinheiro ou usar sua conta bancária em operações ilegais, e recomenda buscar informações só em fontes oficiais. Dentro de uma empresa, a fonte oficial é um número que você já tem cadastrado, não o número que ligou para você.
5 regras que protegem as transferências da sua empresa
- Retornar a ligação é obrigatório. Todo pedido de transferência por telefone, vídeo ou WhatsApp, mesmo com a voz do CEO, é confirmado por uma ligação que o funcionário faz para o número do CEO nos registros da empresa, nunca retornando para o mesmo número nem entrando em um link de reunião enviado por quem pede.
- Nenhuma exceção por sigilo. Escreva na política da empresa: nenhum negócio confidencial fica isento do processo de aprovação. Diga à equipe que o CEO de verdade nunca pedirá para esconder uma transferência do gerente financeiro. Qualquer pedido para não contar aos colegas significa parar na hora.
- Duas aprovações acima de um limite. Defina um valor acima do qual a transferência precisa de um segundo aprovador que não estava na ligação, de preferência imposto no seu sistema financeiro e nas permissões da conta bancária, não só escrito em um manual.
- Uma palavra de verificação interna. Combine com todos que podem pedir transferências uma pergunta ou palavra usada só em pedidos de pagamento e nunca escrita em e-mail ou chat. Um golpista consegue clonar uma voz, mas não consegue saber o que nunca ouviu.
- Denuncie em horas, não em dias. Se o dinheiro já saiu, ligue para o banco na hora e peça o bloqueio. Em 2025 a Equipe de Recuperação de Ativos do FBI trabalhou com bancos em 3.900 incidentes e congelou US$ 679.013.183, uma taxa de sucesso de 58%, e o fator principal foi a rapidez das vítimas em denunciar.
A visão da Origami
Lemos este caso como um problema de processo mais do que de tecnologia. A quadrilha não invadiu os sistemas de nenhuma vítima. Explorou uma única coisa: um funcionário que podia movimentar dinheiro sozinho e que obedecia a uma voz conhecida. Quando falsificar voz e rosto fica barato, a única regra que se sustenta é a que não depende de o funcionário julgar o que ouve.
Por isso, quando criamos sistemas sob medida de contabilidade, compras ou pagamentos para empresas sauditas, colocamos o fluxo de aprovação dentro do próprio sistema: limites de valor, segunda aprovação e um registro de cada pedido e de quem aprovou, para que nenhuma ligação convincente consiga contorná-lo. Se quiser revisar seu fluxo de aprovação de pagamentos, fale conosco ou veja nossos serviços.
Resumo: o que fazer esta semana
- Reúna todos que podem enviar ou aprovar pagamentos e explique este caso em 10 minutos.
- Coloque a regra de retornar a ligação e a regra de nenhuma exceção por sigilo em uma política escrita assinada pela equipe.
- Verifique as permissões da conta bancária: uma única pessoa consegue enviar qualquer valor sem segunda aprovação?
- Deixe o número da central de fraudes do seu banco com a equipe financeira antes de precisar dele.
Fontes
- Departamento de Justiça dos EUA, Procuradoria Federal do Distrito Sul de Nova York — comunicado de 5 de novembro de 2026: as acusações, o método de se passar pelo CEO e pelos advogados, as perdas das seis empresas e os países onde as contas foram abertas.
- Centro de Denúncias de Crimes na Internet do FBI — relatório anual 2025 do IC3: denúncias e perdas ligadas à IA, perdas com comprometimento de e-mail corporativo e resultados de congelamento de fundos.
- Banco Central Saudita (SAMA) — alerta sobre mensagens e ligações suspeitas: métodos de falsificação de identidade, seu objetivo e a recomendação de confiar só em fontes oficiais.
Perguntas frequentes
Como saber se uma ligação com a voz do meu CEO é falsa?
Muitas vezes não dá para saber pela voz, porque a IA já a imita com precisão. Julgue o pedido: uma transferência urgente, um negócio confidencial, um pedido para não contar aos colegas ou um pagamento fora do processo normal. Qualquer um desses sinais significa encerrar a ligação e ligar para o CEO no número cadastrado.
O golpista pode usar uma videochamada, e não só a voz?
Sim. O comunicado do Departamento de Justiça dos EUA diz que a quadrilha imitava a voz ou a imagem dos executivos nas chamadas. Então não trate o vídeo como prova suficiente e aplique a regra de retornar a ligação a todo pedido de transferência, seja qual for o canal.
O que fazer se meu funcionário já enviou o dinheiro?
Ligue imediatamente para o seu banco e peça para bloquear e recuperar a transferência; depois documente tudo: o número de quem ligou, o horário da ligação e as mensagens. A rapidez importa: em 2025 a equipe do FBI e os bancos congelaram mais de 679 milhões de dólares em 3.900 incidentes porque as denúncias chegaram cedo.
Essa fraude só mira grandes empresas?
Não. As seis empresas do comunicado vão de hospitais e um banco a uma fabricante de ração para animais, e o mesmo método funciona em qualquer negócio em que um funcionário possa enviar dinheiro sozinho. Uma pequena empresa pode estar mais exposta, porque a equipe conhece bem a voz do dono e não há segunda aprovação.
