Do e-mail torto ao golpe perfeito: como o phishing evoluiu

Por muito tempo, o phishing foi aquela história caricata do e-mail mal escrito prometendo uma herança milionária. As pessoas aprenderam a ignorar. Os golpistas, a evoluir. Os ataques passaram a imitar com precisão a identidade visual de bancos e órgãos públicos, mas ainda dependiam do texto, que sempre deixava espaço para a desconfiança.

Todavia, com a inteligência artificial, esse espaço foi fechado. O golpe passou a chegar pelo telefone, pela videochamada, pela mensagem de voz. E a voz que falava, o rosto que aparecia na tela, podia ser o de qualquer pessoa de confiança.

Vishing: quando o golpe ganhou voz

O vishing combina voice (voz) e phishing. É a mesma engenharia social do golpe clássico, mas executada por ligações ou mensagens de voz. Antes, dependia da habilidade de improviso do criminoso. Porém, com ferramentas de IA capazes de clonar uma voz a partir de poucos segundos de áudio, o vishing se tornou algo muito mais preciso e escalável.

Hoje, um trecho de vídeo público já é suficiente para recriar digitalmente a voz de qualquer pessoa, com as mesmas inflexões, pausas e sotaques.

A urgência como combustível do golpe

Todo ataque de vishing cria uma pressão artificial: “preciso agora”, “não temos tempo”, “será tarde demais”. Quando alguém está sob pressão emocional, o ceticismo diminui e a ação impulsiva aumenta — é exatamente esse mecanismo que os golpistas exploram. Frases de urgência deveriam acender um alerta, mas, na prática, costumam fazer o contrário.

Deepfakes: o rosto falso que convence de verdade

Deep learning com fake: deepfake é um vídeo, imagem ou áudio manipulado por IA de forma tão convincente que é praticamente impossível distingui-lo do real. Apesar disso, muita gente ainda associa o termo apenas a vídeos virais de entretenimento. Contudo, a aplicação criminosa já causa prejuízos reais e documentados ao redor do mundo, incluindo transferências milionárias autorizadas após videochamadas falsas com executivos que nunca fizeram aquelas ligações.

Como um deepfake é criado em termos simples

A IA aprendeu como cada músculo facial se move ao produzir determinados sons. Com isso, ela anima o rosto de qualquer pessoa para sincronizar com um áudio desejado. O resultado é convincente especialmente em telas pequenas e videochamadas com qualidade reduzida, exatamente o cenário mais comum no dia a dia corporativo.

Clonagem de voz: como poucos segundos de áudio se tornam uma arma

Ferramentas gratuitas na internet já conseguem clonar uma voz com base em três a dez segundos de áudio. O material vem de onde todos nós deixamos rastros sonoros sem perceber: YouTube, podcasts, lives, stories, reuniões gravadas. Um profissional que aparece regularmente em conteúdo público está, involuntariamente, fornecendo matéria-prima para ataques.

Spear vishing: o ataque que combina tudo

Os golpes mais sofisticados combinam técnicas. Primeiro, o criminoso coleta informações reais sobre a vítima nas redes sociais. Em seguida, clona a voz de alguém de confiança. Por fim, executa o ataque num momento de pressão. Esse processo é personalizado, dirigido e tem altíssima taxa de sucesso justamente porque usa informações verdadeiras para parecer legítimo.

Os alvos preferidos dos golpistas

Qualquer pessoa pode ser alvo, mas alguns perfis concentram mais risco: profissionais com poder financeiro, que aprovam transferências ou pagamentos; times de RH e TI, que têm acesso a dados sensíveis e sistemas críticos; executivos seniores, visados diretamente ou usados como “personagens” em ataques contra subordinados; pessoas mais velhas, frequentemente alvo do golpe da urgência familiar simulada; e usuários de plataformas digitais, como bancos digitais e corretoras, especialmente com spoofing de número.

Apesar disso, estar fora desses perfis não garante segurança. Garante, porém, que um pouco mais de atenção já faz grande diferença.

Por que esses golpes funcionam tão bem

O cérebro humano foi treinado a confiar em estímulos sensoriais. Ver e ouvir alguém falar são sinais poderosos de que uma situação é real, e os deepfakes exploram exatamente esse atalho cognitivo. Some a isso informações verdadeiras sobre a vítima, pressão hierárquica e fadiga do fim do dia, e você tem uma combinação capaz de derrubar a guarda até das pessoas mais alertas.

Sinais de alerta que você precisa reconhecer

Em chamadas e mensagens de voz

Fique atento a urgência extrema sem tempo para confirmar por outro canal; pedido fora do padrão habitual de comunicação daquela pessoa; pausas irregulares ou ruídos artificiais na fala; número desconhecido com voz familiar; e quando a pessoa encerra a conversa rapidamente após o pedido, sem espaço para perguntas.

Em videochamadas suspeitas

Desconfie quando a imagem travar em movimentos bruscos ou expressões intensas; bordos do rosto borrados ou com halo ao se mover; piscar de olhos irregular ou fora de sincronia com a fala; e justificativa de “problemas de conexão” para qualidade ruim.

Como se proteger na prática

Combine com pessoas próximas uma palavra de segurança secreta para confirmar identidade em situações suspeitas. Apesar de ser simples, essa prática ainda é pouco adotada. Pedidos incomuns por voz ou vídeo devem ser verificados por mensagem ou ligação pelo número salvo — um passo simples que evita a maioria dos golpes.

Desconfie sempre da urgência: instituições legítimas não exigem decisões imediatas e irreversíveis. A pressa é fabricada e reconhecê-la é metade da proteção. Revise também sua presença online, pois menos vídeo e áudio público significa menos matéria-prima disponível para clonagem. Por fim, ative a autenticação de dois fatores: mesmo que uma senha seja obtida, essa camada impede o acesso. Contudo, muitos ainda ignoram esse recurso por considerá-lo incômodo.

O papel das organizações: cultura de segurança como prioridade

Medidas individuais são importantes, mas insuficientes em escala corporativa. Basta um colaborador ceder a um golpe bem executado para comprometer toda a estrutura de segurança. Contudo, muitas organizações ainda respondem a essas ameaças com políticas escritas para um cenário desatualizado.

O que as organizações devem fazer

As organizações precisam investir em treinamentos regulares e contextualizados, não apenas anuais; protocolos de verificação em múltiplas etapas para decisões financeiras; políticas claras sobre como as lideranças se comunicam e o que fazer quando algo foge ao padrão; canais seguros e sem julgamento para reportar suspeitas; e simulações periódicas de phishing e vishing para construir resiliência real.

A solução começa pela educação: conheça a Universidade da Privacidade

A melhor defesa contra deepfakes, clonagem de voz e vishing não está apenas em ferramentas tecnológicas, ela começa nas pessoas. Com esse propósito, a DPOnet criou a Universidade da Privacidade, uma plataforma educacional desenvolvida para transformar a cultura de privacidade e segurança dentro das organizações.

Por meio de trilhas de aprendizagem estruturadas, conteúdos atualizados e linguagem acessível, a plataforma capacita colaboradores e líderes a reconhecerem ameaças, agirem com mais consciência no dia a dia digital e construírem uma cultura organizacional mais resiliente. Mas, mais do que ensinar o que acontece hoje, a Universidade da Privacidade prepara as pessoas para o que vem a seguir, porque as ameaças não ficam paradas.

Segurança começa com conhecimento. E conhecimento, com a decisão de aprender.