Voz clonada do CEO levou US$ 129 milhões de empresas: como o golpe funcionava

A Procuradoria dos Estados Unidos em Manhattan tornou pública, em 5 de novembro, uma acusação contra três homens suspeitos de usar inteligência artificial para imitar a voz e a imagem de executivos e convencer funcionários a fazer transferências. Segundo a acusação, o grupo desviou cerca de US$ 129 milhões entre 2024 e fevereiro de 2026.

Os acusados são Jacob Soall, de 41 anos, Sharon Hazan, de 54, e Guy Sheetrit, de 42. Soall e Hazan foram presos pela polícia espanhola em junho e agosto, e Sheetrit pela polícia britânica em setembro. Os Estados Unidos pediram a extradição dos três. As acusações incluem fraude eletrônica, lavagem de dinheiro e roubo de identidade agravado, e ainda não foram julgadas: os réus são presumidos inocentes.

O roteiro do golpe

O que chama atenção no caso é que a tecnologia era sofisticada, mas o roteiro era antigo. De acordo com a acusação, descrita pelo The Next Web, funcionava assim:

• Um funcionário da área financeira recebia uma ligação de alguém que parecia ser o CEO da empresa, com voz ou imagem imitada por IA.
• O falso chefe pedia ajuda com um negócio sigiloso, que não podia ser comentado com mais ninguém.
• Em seguida, orientava o funcionário a falar com um advogado de um grande escritório internacional.
• Outro integrante do grupo fazia o papel desse advogado e passava os dados bancários para uma transferência alta e urgente.

Segundo a acusação, Soall costumava se passar por advogados britânicos e guardava um roteiro escrito à mão chamado "Lawyer Call". Hazan e Sheetrit são acusados de lavar o dinheiro, que passava por contas na Espanha, Grécia, Emirados Árabes, Singapura e China antes de ser convertido em criptomoedas.

Quem caiu

A lista de vítimas mostra que o alvo não era um setor específico, e sim qualquer empresa com alguém autorizado a transferir dinheiro. Um sistema hospitalar no Missouri perdeu cerca de US$ 4,8 milhões. Uma fintech do Reino Unido perdeu cerca de US$ 11,6 milhões. Também foram atingidos um banco em Rhode Island, um sistema hospitalar na Califórnia, um fundo mútuo em Massachusetts e uma fabricante de ração na Flórida.

Em um dos casos citados, um contador do hospital do Missouri ouviu uma voz que reconhecia como a do próprio CEO pedindo uma transferência urgente e confidencial. É exatamente esse reconhecimento que a IA explora: o funcionário não está sendo descuidado, ele está obedecendo a uma voz que conhece.

O mesmo golpe, em versão brasileira

No Brasil, o roteiro já circula em formato mais simples. Em vez de ligação com vídeo, chega um áudio de WhatsApp com a voz do dono, do gerente ou de um parente pedindo um Pix urgente, muitas vezes de um número novo, com a justificativa de que o celular quebrou. Bastam alguns segundos de gravação, que muitas vezes estão disponíveis em vídeos nas redes sociais, para treinar uma imitação convincente.

A primeira versão conhecida desse tipo de fraude foi em 2019, quando criminosos imitaram a voz de um executivo para levar US$ 243 mil. Sete anos depois, o valor do caso de Nova York é mais de 500 vezes maior, e a ferramenta para clonar uma voz ficou ao alcance de qualquer pessoa.

Quatro controles que custam pouco

Nenhum desses controles depende de tecnologia cara. Todos partem da mesma ideia: voz e imagem deixaram de ser prova de identidade.

• Retorno por canal conhecido. Pedido de pagamento por ligação, áudio ou vídeo só é atendido depois que o funcionário liga de volta para o número que já estava salvo, nunca para o número que fez o contato.
• Duas pessoas para pagamento fora do padrão. Transferência acima de um valor definido, ou para um destinatário novo, precisa da aprovação de uma segunda pessoa.
• Sigilo e urgência são alerta, não ordem. A equipe precisa saber, por escrito, que nenhum pedido legítimo da diretoria proíbe a conferência. Quanto mais o pedido insiste em segredo e pressa, mais motivo para conferir.
• Palavra combinada. Uma senha verbal, combinada pessoalmente entre quem pede e quem paga, resolve a maior parte dos casos sem depender de nenhum sistema.

Vale também revisar quem, na empresa, consegue fazer pagamentos sozinho e a partir de qual canal. Quanto mais curto esse caminho, mais fácil para quem quer explorá-lo.

O que observar daqui para frente

O próximo passo do caso é a extradição dos três acusados para os Estados Unidos, que ainda está em andamento. A pena máxima para as acusações mais graves é de 20 anos de prisão. Mais do que o desfecho judicial, o processo deve trazer a público detalhes de como as vozes eram produzidas e de como as vítimas foram escolhidas, informação útil para quem desenha controles internos.

Para empresas pequenas e médias, o recado é direto: se hoje um pagamento pode ser autorizado por uma mensagem de voz, a regra precisa mudar antes que alguém teste essa porta.