Chamadas de Voz Deepfake e Fraude de CEO: O Golpe Potencializado por IA que Todo CFO Deve Conhecer

O Ataque que Não Requer um E-mail Hackeado

A fraude de CEO tradicional funciona por e-mail: um atacante falsifica um endereço de e-mail executivo e instrui um funcionário a transferir dinheiro urgentemente. As empresas melhoraram em detectar esses. Os atacantes se adaptaram. Agora eles clonam a voz do executivo usando áudio disponível publicamente — uma entrevista no YouTube, uma palestra em conferência, um vídeo da empresa — e ligam diretamente para o alvo. O funcionário ouve seu CEO. A fraude tem sucesso.

As ferramentas de clonagem de voz que eram projetos de pesquisa há dois anos agora estão disponíveis como aplicativos para consumidores. Gerar um clone de voz convincente requer apenas 30 segundos de áudio fonte. A tecnologia produz áudio em tempo real que pode ser usado ao vivo em uma chamada telefônica. Os ataques são particularmente eficazes em cenários de alta pressão e prazos curtos: 'Preciso que você transfira US$ 85.000 para esta conta antes do fechamento de hoje'.

A Defesa Requer Processo, Não Apenas Tecnologia

• Política de verificação de transferências bancárias: todas as transferências bancárias acima de um limite definido exigem um retorno de chamada para um número de telefone conhecido e pré-registrado — nunca para um número fornecido na solicitação
• Regra de urgência sem exceções: solicitações urgentes legítimas seguem o mesmo processo de verificação que as não urgentes. Os atacantes criam urgência para contornar os controles. A urgência é um sinal de alerta, não uma razão para pular a verificação.
• Confirmação fora de banda: se uma solicitação chegar por telefone, confirme-a por um canal diferente (e-mail, mensagem de texto ou pessoalmente). Se chegar por e-mail, confirme por telefone para um número conhecido.
• Palavra de segurança de voz: estabeleça uma palavra ou frase de desafio que os executivos usem ao comunicar instruções sensíveis — desconhecida para qualquer pessoa fora de um pequeno círculo
• Treinamento da equipe financeira: realize exercícios simulados de vishing para que sua equipe tenha experimentado a pressão de uma chamada fraudulenta antes de encontrar uma real
• Limite o áudio público de executivos: seja criterioso sobre quantos dados de voz dos principais tomadores de decisão estão disponíveis publicamente online