O que está acontecendo?
Ferramentas de inteligência artificial conseguem reproduzir características da voz e da imagem de uma pessoa. Criminosos podem usar materiais de redes sociais, entrevistas ou vídeos institucionais para simular um sócio, diretor, cliente ou fornecedor e induzir alguém a realizar um pagamento ou revelar informações.
O contato costuma combinar aparência de autoridade, urgência ou sigilo e mudança do procedimento normal. Pode envolver pedido de Pix, antecipação de pagamento, troca da conta de fornecedor, envio de documentos ou acesso a sistemas. Voz sintética e vídeo manipulado podem ser combinados com contas invadidas e informações reais obtidas anteriormente.
Em pesquisa divulgada pela Gartner em 22 de setembro de 2026, 41% dos 297 responsáveis por cibersegurança entrevistados relataram pelo menos um incidente de engenharia social envolvendo deepfake em chamada de áudio nos 12 meses anteriores; 36% relataram ocorrência em videochamada. A pesquisa foi realizada entre março e maio de 2026. Os percentuais descrevem essa amostra, não todas as empresas brasileiras.
A Anatel também alerta para fraudes com vídeos, áudios e imagens manipulados capazes de imitar pessoas conhecidas. A atualidade da pauta não significa que tenha sido medido seu volume de buscas.
Quem pode ser afetado?
O risco alcança empresas de qualquer porte, principalmente quando poucas pessoas concentram poderes de pagamento ou quando pedidos urgentes são aceitos sem confirmação independente.
- Sócios e administradores cuja imagem ou voz sejam imitadas.
- Empregados dos setores financeiro, contábil, administrativo e de recursos humanos.
- Contabilidades e prestadores terceirizados.
- Fornecedores que recebem pedidos de alteração cadastral.
- Clientes e empregados cujos dados estejam nos sistemas envolvidos.
Quais direitos, deveres e riscos estão envolvidos?
O golpe pode envolver fraude patrimonial, uso indevido de identidade, acesso indevido a contas e outros ilícitos. O enquadramento depende da execução e das provas; não se pode presumir a responsabilidade de um empregado, banco ou fornecedor apenas porque a fraude ocorreu.
Imagem e voz relacionadas a pessoa identificada ou identificável são dados pessoais. O enquadramento como dados sensíveis exige examinar seu tratamento como dados biométricos vinculados a uma pessoa natural; nem toda fotografia ou gravação de voz é automaticamente um dado biométrico sensível.
Um deepfake, isoladamente, não significa que houve incidente comunicável à ANPD. É necessário apurar se houve comprometimento de dados pessoais e se os critérios de comunicação são preenchidos. Havendo a obrigação, aplicam-se os prazos e procedimentos do regulamento; consulte o guia sobre vazamento de dados na empresa.
Além da perda financeira, pode haver exposição de dados, comprometimento de e-mail, alteração de cadastros, violação de sigilo e repetição do ataque contra clientes e parceiros.
Quais documentos e provas preservar?
Preserve a sequência completa do contato e os arquivos originais. Reencaminhamentos ou conversões podem modificar metadados e dificultar uma análise técnica.
- Áudios, vídeos e gravações disponíveis licitamente.
- Número, perfil, endereço eletrônico e conta usados no contato.
- Mensagens anteriores e posteriores, com datas e horários.
- Comprovante da transferência, chave Pix e dados do beneficiário.
- E-mails com cabeçalhos completos e pedidos de alteração bancária.
- Registros de acesso, autenticação e alertas de novos dispositivos.
- Documentos enviados, logs e registros de confirmação interna.
- Protocolos do banco, da plataforma e das autoridades.
- Política de pagamentos e autorizações vigentes na data.
Restrinja o acesso às evidências e documente quem as coletou e quando. Evite divulgar dados pessoais ou informações sigilosas da investigação.
Como prevenir golpes com voz ou vídeo falsos?
Recomendações de prevenção: os controles abaixo são sugestões de governança, e não uma lista universal de exigências legais para todas as empresas. Devem ser adaptados ao porte, à operação e aos riscos.
- Canal independente: confirme a ordem pelo número previamente cadastrado, nunca pelo contato fornecido na mensagem suspeita.
- Dupla aprovação: defina operações e valores que exigem duas pessoas autorizadas.
- Procedimento de confirmação: solicitações excepcionais precisam de protocolo interno; uma palavra secreta, sozinha, não substitui os demais controles.
- Alteração bancária: confirme mudanças de conta com representante já cadastrado e registre a validação.
- Limites de transação: ajuste poderes e limites às funções de cada pessoa.
- Autenticação multifator: proteja contas e sistemas, preferindo métodos resistentes a phishing quando disponíveis.
- Treinamento por comportamento: ensine a pausar, confirmar e reportar, mesmo quando a voz e o rosto pareçam conhecidos.
- Plano de resposta: defina quem financeiro, tecnologia, jurídico e direção devem acionar.
- Exposição pública: avalie a divulgação de imagem e voz, sem presumir que retirar vídeos seja viável ou suficiente.
- Terceiros: informe contabilidade e fornecedores sobre os procedimentos oficiais de pagamentos e alterações cadastrais.
A defesa não deve depender apenas de identificar falhas visuais no vídeo. Um software detector pode auxiliar, mas não substitui validação independente e controles de autorização.
O que fazer se a empresa já pagou?
Comunique imediatamente a instituição financeira pelos canais oficiais, informe a fraude, solicite as medidas cabíveis e guarde o protocolo. Não espere concluir toda a investigação para fazer esse contato.
No Pix, o Banco Central informa que o pedido de devolução pelo Mecanismo Especial de Devolução (MED) deve ser registrado na instituição em até 80 dias da transação, quando houver fraude, golpe ou crime. Esse prazo não é motivo para aguardar: a rapidez do aviso importa para a tentativa de localizar recursos.
- Contenha acessos comprometidos e altere senhas a partir de dispositivo seguro.
- Registre boletim de ocorrência e notifique a plataforma utilizada.
- Preserve logs e dispositivos antes de apagar mensagens ou restaurar equipamentos.
- Solicite análise técnica do ambiente quando necessário.
- Avalie comprometimento de dados pessoais e a necessidade de comunicação.
- Avise parceiros em risco de novas abordagens pelos canais oficiais.
- Verifique seguro aplicável e seus prazos de aviso, se houver cobertura.
Providências administrativas e extrajudiciais
A empresa pode solicitar à plataforma o bloqueio da conta fraudulenta e a preservação de registros, identificando conteúdo, endereço eletrônico, datas e risco. O pedido não garante a entrega imediata de todos os registros: algumas informações dependem de ordem judicial e das regras aplicáveis.
Se a identidade do gestor ou da empresa estiver sendo usada para abordar terceiros, divulgue orientação objetiva sobre como confirmar comunicações legítimas. Evite acusações não comprovadas e exposição de dados da investigação.
Havendo incidente de dados pessoais, documente os fatos, os titulares potencialmente afetados, a avaliação de risco, as medidas de contenção e a decisão fundamentada sobre comunicação à ANPD e aos titulares.
Quando avaliar medida judicial?
Uma medida judicial pode ser examinada para preservar ou obter registros, identificar responsáveis, interromper uso indevido de identidade ou marca, retirar conteúdo fraudulento específico, tentar bloquear valores rastreáveis ou reparar prejuízos comprovados.
O cabimento e a urgência dependem do caso, inclusive do risco de perda das provas, dissipação dos recursos ou continuidade da fraude. Nem toda ocorrência exige ação judicial imediata.
Quando buscar orientação individual?
A análise jurídica é especialmente útil quando houve pagamento, alteração bancária, envio de documento sigiloso, acesso a contas corporativas, possível comprometimento de dados pessoais ou uso continuado da identidade de um gestor. Também pode apoiar a revisão de contratos, poderes de aprovação, políticas de IA e procedimentos internos.
Perguntas frequentes
Uma videochamada prova a identidade da pessoa?
Não. Voz, imagem e movimentos podem ser manipulados. Operações relevantes precisam de confirmação independente.
Imagem e voz são dados pessoais?
Sim, quando relacionadas a pessoa identificada ou identificável. O enquadramento como dados biométricos sensíveis depende do tratamento e do contexto.
Todo golpe com deepfake deve ser comunicado à ANPD?
Não. É preciso avaliar a existência de incidente envolvendo dados pessoais e os critérios de risco ou dano relevante previstos na legislação e no regulamento.
O empregado que acreditou no vídeo deve pagar o prejuízo?
Não existe resposta automática. A avaliação considera conduta, procedimentos, treinamento, autorizações, sofisticação da fraude e regras trabalhistas aplicáveis.
O MED garante a devolução do Pix?
Não. É um mecanismo de tentativa de recuperação, sujeito à análise das instituições e à disponibilidade de recursos.
A empresa precisa proibir ordens pelo WhatsApp?
Pode definir os canais admitidos. O ponto central é evitar que uma única mensagem autorize pagamento ou alteração sensível sem validação adequada.
Um detector de deepfake resolve o problema?
Não sozinho. Pode auxiliar na avaliação, mas procedimentos de confirmação e autorização continuam necessários.
Conclusão
A imitação da voz ou da imagem de um gestor pode transformar confiança pessoal em vetor de ataque. Governança, controles financeiros, segurança da informação e resposta rápida precisam atuar em conjunto. Um pedido urgente deve ser confirmado mesmo quando a pessoa na chamada pareça familiar.
Fontes
- LGPD — artigos 5º, 46 e 48.
- ANPD — regulamentações, incluindo a Resolução CD/ANPD nº 15/2024.
- Banco Central — funcionamento do MED.
- Anatel — alerta sobre deepfakes.
- Gartner — pesquisa divulgada em 22/09/2026 (fonte técnica complementar).
Apuração: 4 de outubro de 2026.
Leia também
- Uso de IA sem autorização: riscos para a empresa
- Golpe com número falso do banco
- Meus dados foram vazados: como agir?
- Governança jurídica de inteligência artificial
Análise jurídica de riscos e incidentes
A orientação individual permite avaliar os fatos, os documentos e as providências adequadas à organização.
Solicitar consulta jurídica