Phishing com IA: o golpe que sabe seu nome, seu banco e seu chefe — e os sete testes que a inteligência artificial ainda não passa

Análise independente do Leitura Singular — sem recomendação personalizada. Os números de golpe, devolução e perda citados têm fonte primária e data de consulta no bloco final; refletem a data de publicação e envelhecem rápido. Se você acha que caiu num golpe agora, pule para a seção “Os primeiros 30 minutos”.

O e-mail chegou com o seu nome certo, o nome do seu banco certo e o nome do seu chefe — e não foi um golpista que escreveu

Durante vinte anos, o phishing foi um crime de volume. O criminoso mandava o mesmo texto para um milhão de endereços, errava o seu nome, errava o seu banco, escrevia “prezado cliente” com uma vírgula no lugar errado, e contava com o fato de que entre um milhão de pessoas alguém clica. O que mudou entre 2024 e 2026 não é que o phishing ficou mais frequente. É que ele parou de errar o seu nome. Um modelo de linguagem lê o seu LinkedIn, o seu Instagram e os vazamentos em que o seu CPF apareceu, e escreve uma mensagem que só poderia ter vindo de alguém que o conhece — em português correto, no tom do seu gerente, citando o projeto em que você está trabalhando. O que antes custava horas de um golpista atento custa hoje centavos e alguns segundos, e por isso passou a ser feito em escala.

Este texto faz três coisas. Mostra, com os números do FBI e de um experimento controlado em Harvard, o que a inteligência artificial mudou de fato no golpe — e o que ela não mudou. Mede o tamanho do problema no Brasil com os dados da Febraban, do Banco Central e do CERT.br, incluindo o número que quase ninguém publica: de cada R$ 100 que o Banco Central reconhece como golpe no Pix, R$ 9 voltaram para a vítima em 2025. E entrega o que interessa: os sinais que a IA ainda não consegue imitar, o que fazer nos primeiros trinta minutos depois de cair, e as cinco defesas que custam zero e fecham a maior parte das portas.

Resposta direta

A IA não inventou golpe novo. Ela tornou barato o golpe caro — o que era feito à mão contra executivos passou a ser feito por máquina contra qualquer pessoa. Os sinais clássicos (erro de português, remetente estranho, saudação genérica) morreram. Os que sobreviveram são de comportamento, não de forma: o pedido de urgência, o pedido de segredo, o pedido de uma ação que a instituição real nunca faz, e a recusa em ser confirmado por outro canal. Nenhuma dessas quatro coisas a IA consegue esconder, porque são o próprio golpe.

O que a IA mudou de fato: o phishing deixou de ser volume e virou pontaria

A melhor evidência do que mudou está numa tabela que o FBI publica todo ano e que quase ninguém lê inteira. O Internet Crime Complaint Center (IC3) classifica as queixas por tipo de crime, e a linha de phishing conta uma história em duas colunas que se contradizem. De 2023 para 2025, o número de queixas de phishing caiu de 298.878 para 191.561 — um terço a menos. No mesmo período, a perda reportada por essas queixas subiu de US$ 18,7 milhões para US$ 215,8 milhões — onze vezes mais. Dividindo um pelo outro, a perda média por queixa de phishing foi de US$ 63 em 2023 para US$ 1.127 em 2025. O phishing de 2025 acerta menos gente e tira dezoito vezes mais de cada uma. Isso não é o comportamento de um crime de volume; é o comportamento de um crime de alvo.

A perda média é uma conta minha a partir das duas colunas do relatório, e vale a ressalva: o IC3 registra o que as vítimas reportam, e vítima de golpe pequeno reporta menos. Mas a direção não depende disso — a mesma subnotificação existia em 2023. O FBI também passou, em 2025, a marcar as queixas em que a vítima descreve uso de IA: foram 22.364, com US$ 893 milhões de perda, incluindo US$ 30 milhões em fraudes contra empresas com voz clonada de executivo e US$ 5 milhões em golpes de “parente em apuros” com voz clonada de familiar. O relatório diz, com a cautela de quem só conta o que lhe chega, que o conteúdo sintético “está ficando cada vez mais difícil de detectar e mais fácil de produzir”. E há um dado de idade que o e-mail que originou este texto já antecipava: quem tem 60 anos ou mais fez 201.266 queixas e perdeu US$ 7,7 bilhões em 2025 — 37% de toda a perda reportada, numa faixa que é um quinto das queixas.

O que explica a virada é um experimento, e ele foi feito com pessoas de verdade. Em 2024, Fred Heiding, Bruce Schneier e outros três pesquisadores montaram um sistema que pesquisava sozinho o alvo na internet, escrevia o e-mail e o enviava, e o testaram contra participantes humanos. O phishing genérico — o de sempre — teve 12% de cliques. O phishing escrito por especialistas humanos, com pesquisa manual sobre cada alvo, teve 54%. O phishing inteiramente automatizado por IA teve os mesmos 54%. A informação que o sistema levantava sobre cada pessoa estava certa e era útil em 88% dos casos. E o custo: a automação, segundo os autores, pode aumentar a lucratividade do golpe em até 50 vezes para audiências grandes, porque elimina a hora de trabalho humano que antes limitava o golpe personalizado a alvos que valessem a pena.

E não é só e-mail. Em agosto de 2025 a Anthropic publicou o relato de um único operador que usou o modelo Claude para automatizar a cadeia inteira de uma extorsão — reconhecimento, roubo de credenciais, invasão e a redação dos pedidos de resgate, calibrados pela análise financeira de cada vítima — contra pelo menos 17 organizações, com pedidos que “às vezes passaram de US$ 500 mil”. O mesmo relatório descreve um vendedor de ransomware que, nas palavras da empresa, “parece ter dependido da IA para desenvolver malware funcional”, vendendo o produto por US$ 400 a US$ 1.200. O dado que importa aqui não é o tamanho do dano, é a barreira de entrada: pessoas sem a competência técnica que o crime exigia passaram a tê-la alugada.

Como o golpe é montado — as quatro camadas e o que cada uma ainda entrega

Vale abrir a máquina, porque saber o que ela faz é o que permite saber o que ela não faz. Um golpe personalizado por IA tem quatro camadas, e elas não têm a mesma maturidade.

O caso da Arup é o melhor exemplo da quarta camada porque a empresa confirmou tudo publicamente. Em janeiro de 2024, uma funcionária do escritório de Hong Kong da consultoria de engenharia britânica recebeu um convite para uma videochamada com o diretor financeiro e outros colegas. Todos eram gerados por IA. Ela fez quinze transferências para cinco contas locais, num total de HK$ 200 milhões — cerca de £ 20 milhões, ou US$ 25 milhões. A polícia de Hong Kong classificou o caso como “obtenção de propriedade por engano” e não fez prisões. O diretor de informação da Arup, Rob Greig, disse depois que a empresa sofre “ataques regulares, incluindo fraude de fatura, phishing, falsificação de voz por WhatsApp e deepfakes”, e que “o número e a sofisticação desses ataques vêm subindo acentuadamente”. A frase honesta e útil é a última: uma das maiores empresas de engenharia do mundo, com 18 mil funcionários e política de segurança, caiu — e caiu na camada em que a tecnologia é mais nova, não na mais velha.

O Brasil em números: o golpe que mais cresce é o que mais se parece com atendimento

O Brasil não tem um IC3, mas tem três fontes que, lidas juntas, dão o tamanho do problema. A Febraban recebe dos bancos associados os relatos de clientes e publica o ranking; o Banco Central publica, mês a mês, o que o Pix contestou e o que devolveu; e o CERT.br registra as notificações voluntárias de páginas falsas. Nenhuma das três mede “golpe com IA” separadamente — e é bom dizer isso antes de qualquer número circulando por aí com percentual de IA nos golpes brasileiros: não encontrei fonte primária brasileira que meça isso, na consulta de 14 de setembro de 2026. O que se mede é o golpe; a IA aparece dentro dele.

O padrão da tabela é o mesmo do FBI, visto de outro ângulo. As duas linhas que mais cresceram — a falsa venda e a falsa central — são exatamente as que dependem de parecer atendimento legítimo: uma loja que responde, um funcionário que sabe seus dados. A única que caiu é a mais antiga e mais tosca, a do WhatsApp clonado. Em março de 2026 a Febraban voltou a alertar sobre o “golpe do falso gerente” com uma frase que serve de régua para tudo o que vem neste texto: nenhum funcionário de banco liga para o cliente e pede dados financeiros, tampouco que faça transações para resolver supostos problemas na conta. Os bancos, pela mesma Febraban, investem cerca de R$ 5 bilhões por ano em segurança — e em 9 de setembro de 2026 lançaram a campanha “Pare, Pense e Desconfie”, cujo objetivo declarado é fazer a pessoa “ativar a desconfiança mesmo quando não há indícios evidentes de fraude”. Essa frase é a admissão pública de que os indícios evidentes acabaram.

O segundo termômetro é o Observatório Febraban, feito pelo IPESPE: na 17ª edição, de julho de 2025, 39% dos brasileiros disseram já ter sido vítimas de golpe ou tentativa envolvendo a conta bancária, o maior percentual desde 2021. E a Global Anti-Scam Alliance, que ouviu 1.170 adultos no Brasil para o relatório de agosto de 2026, mediu o funil inteiro: 81% receberam ao menos uma tentativa nos últimos doze meses, 39% interagiram com o golpista, 10% perderam dinheiro ou dados — e só 4% registraram ocorrência policial. O CERT.br, que só conta o que alguém se dá ao trabalho de notificar, recebeu 18.359 notificações de fraude entre janeiro e agosto de 2026, a maior parte de páginas falsas de banco, cartão e webmail — e o número mensal subiu de 1.711 em janeiro para 3.039 em agosto.

O número que quase ninguém publica: o que o MED devolve

Há uma crença confortável de que, se o golpe for no Pix, “o banco devolve”. O Banco Central publica a série que testa essa crença, e ela não sobrevive. O Mecanismo Especial de Devolução (MED) existe desde 2021; em outubro de 2025 ganhou um botão de contestação dentro dos aplicativos, e em 2026 passou a rastrear o dinheiro além da primeira conta que o recebeu — o chamado MED 2.0. O efeito do botão aparece na série: as contestações mensais saltaram de cerca de 1,2 milhão para 3,4 milhões em outubro de 2025. Mas o que interessa à vítima é outra coluna.

Os totais anuais são somas minhas dos meses publicados pelo Banco Central; a taxa é a divisão de uma coluna pela outra. O motivo de o resto não voltar está na mesma série: a maior parte do valor não devolvido tem a marcação “saldo insuficiente” — o dinheiro já tinha saído da conta receptora quando o bloqueio chegou. O MED 2.0 existe para seguir esse dinheiro para a conta seguinte, e a alta de 9,0% para 14,5% é o primeiro sinal de que funciona. Mas a leitura correta continua sendo: contestar é obrigatório e recupera, em média, um sétimo. A defesa é antes.

Os sete testes que a IA ainda não passa

Chamo de testes, não de sinais, de propósito. Sinal é algo que você olha na mensagem; a IA aprendeu a fazer a mensagem passar em qualquer olhar. Teste é algo que você faz — e o golpe, por ser golpe, não consegue passar, por mais perfeito que seja o texto. Os sete abaixo são a versão operacional da régua da Febraban, e valem para e-mail, SMS, WhatsApp, ligação e videochamada.

Os sete têm uma coisa em comum, e é ela que os torna resistentes à IA: nenhum depende de perceber que a mensagem é falsa. Todos funcionam mesmo que a mensagem seja verdadeira — um gerente de verdade não se ofende por você ligar de volta; um chefe de verdade prefere que você confirme uma transferência de R$ 200 mil; a Receita de verdade tem o mesmo boleto no portal. O teste não custa nada quando a mensagem é legítima e custa o golpe inteiro quando não é. É a definição de uma boa defesa. E há uma razão mais funda para o teste 2 ser o eixo dos outros seis: Viktor Frankl escreveu que entre o estímulo e a resposta existe um intervalo, e que é nele que mora a liberdade de escolher. O golpe personalizado é uma máquina de fechar esse intervalo — a urgência existe para que não haja tempo entre ler e transferir. Cada um dos sete testes é uma forma de reabri-lo.

Caiu: os primeiros 30 minutos

A ordem importa porque o dinheiro, no Pix, anda em segundos, e o bloqueio cautelar do banco receptor dura até 72 horas. O que se faz nos primeiros minutos decide se a vítima está no grupo dos 14,5% ou no dos 85,5%.

Se a perda foi por cartão ou por um serviço, e não por Pix, o caminho é a contestação com a operadora e, se ela negar, o consumidor.gov.br e o Procon. E vale saber o que não funciona: pagar a alguém que promete “recuperar” o dinheiro perdido é o segundo golpe, aplicado sobre a lista de vítimas do primeiro — o FBI contou 10.516 queixas e US$ 1,4 bilhão de perda nesses golpes de recuperação em 2025, e a Febraban descreve a versão brasileira como golpe da devolução.

Antes: as cinco defesas que custam zero

Nenhuma delas exige comprar nada, e juntas fecham a maior parte das portas que o golpe personalizado usa. Estão em ordem de efeito por minuto gasto.

O que essas cinco defesas têm em comum é que nenhuma delas exige detectar o golpe. Elas funcionam quando você já acreditou nele — o limite segura o valor, a passkey não tem o que entregar, a palavra combinada não está na internet, o segundo canal é regra e não decisão. É a margem de segurança de Buffett aplicada a outra coisa: parte-se do princípio de que a própria conta vai falhar um dia, e dimensiona-se para o dia em que falha.

Este texto nasceu de um pedido

O tema chegou pelo formulário de contato do site, num e-mail que pedia um texto sobre golpes de phishing personalizados por inteligência artificial. Achei o tema bom e o fiz do jeito da casa — com as fontes primárias abertas, os números do Brasil e sem link para material promocional. Se você quer ver um assunto tratado aqui, o caminho é o mesmo: escreva para roliveira.sagan@gmail.com. Leio tudo, analiso, e decido se vira peça ou não — nem toda sugestão vira, e quando não vira eu respondo dizendo por quê.

Fontes

Todos os números deste texto vieram de documento primário aberto na sessão de escrita. Consultados em 14 de setembro de 2026.

• FBI, Internet Crime Complaint Center, 2025 Internet Crime Report — 1.008.597 queixas e US$ 20,877 bilhões de perda em 2025 (+26%); phishing/spoofing: 298.878 (2023), 193.407 (2024), 191.561 (2025) queixas e US$ 18,7 mi, US$ 70,0 mi e US$ 215,8 mi de perda (p. 7–8); descritor “AI Related”: 22.364 queixas e US$ 893.346.472 (p. 7 e 39); US$ 30 mi em BEC com IA e US$ 5 mi em golpes de familiar com voz clonada (p. 39); 60+: 201.266 queixas e US$ 7,7 bilhões (p. 6); golpes de recuperação: 10.516 queixas e US$ 1,4 bilhão (p. 12). A perda média por queixa e o percentual de 37% (7,7 de 20,877) são cálculos meus a partir das colunas do relatório.
• Heiding, F.; Lermen, S.; Kao, A.; Schneier, B.; Vishwanath, A., Evaluating Large Language Models’ Capability to Launch Fully Automated Spear Phishing Campaigns: Validated on Human Subjects, arXiv, 30/11/2024 — 54% de cliques (IA automatizada) = 54% (especialistas humanos) contra 12% (controle); 56% com humano revisando; perfis corretos em 88% dos casos; lucratividade até 50× maior; detecção acima de 90% por LLM.
• The Guardian, UK engineering firm Arup falls victim to £20m deepfake scam (17/05/2024) — confirmação da Arup e da polícia de Hong Kong: HK$ 200 milhões, 15 transferências para 5 contas, videochamada com voz e imagem falsas; declarações de Rob Greig. ⚠ Fonte jornalística que reproduz os comunicados oficiais; a Arup e a polícia não publicaram nota própria em endereço estável.
• Anthropic, Detecting and countering misuse of AI: August 2025 — extorsão automatizada contra ao menos 17 organizações com pedidos acima de US$ 500 mil; ransomware vendido por US$ 400 a US$ 1.200 por operador “dependente da IA para desenvolver malware funcional”.
• Febraban, Golpe da Falsa Venda é o mais aplicado contra clientes bancários no 1º semestre do ano (11/11/2025) — 174 mil relatos (+314%), 139 mil de falsa central/falso funcionário (+195,7%), 73 mil de WhatsApp (−9,9%); ranking completo; R$ 5 bilhões/ano em segurança.
• Febraban, Febraban faz alerta sobre o golpe do falso gerente (06/03/2026) — “nenhum funcionário de banco liga para o cliente e pede dados financeiros, tampouco que faça transações para resolver supostos problemas na conta”.
• Febraban, Febraban lança nova campanha antifraudes protagonizada por Rafael Portugal (09/09/2026) — “Pare, Pense e Desconfie”; objetivo de “ativar a desconfiança mesmo quando não há indícios evidentes de fraude”; cerca de R$ 5 bilhões por ano em cibersegurança; Celular Seguro; Projeto Tentáculos.
• Febraban Tech, Quase 4 em cada 10 brasileiros já sofreram golpe (22/07/2025) — 17ª edição do Observatório Febraban/IPESPE: 39%, maior da série desde 2021; clonagem de cartão 45%, WhatsApp 34%, falsa central 31%, Pix falso 24%.
• Banco Central do Brasil, Dados Abertos do Pix, Estatísticas de Fraude no Pix (MED) — série mensal jan/2022 a abr/2026: valor das contestações aceitas R$ 6,687 bi (2024), R$ 7,770 bi (2025), R$ 2,682 bi (jan–abr/2026); devolvido integral + parcial R$ 542,6 mi, R$ 696,1 mi e R$ 388,8 mi; contestações mensais de 1.243.173 (set/2025) para 3.455.817 (out/2025). Somas anuais e taxas calculadas por mim a partir dos meses publicados.
• Banco Central do Brasil, Relatório de Gestão do Pix 2023–2025 (2026) — autoatendimento do MED (“botão de contestação”) em outubro de 2025 (p. 10); cadastro de dispositivos desde novembro de 2024 com limites de R$ 200 por transação e R$ 1.000 por dia para aparelho não cadastrado; limite igual a R$ 0 a critério do cliente; bloqueio cautelar de até 72 horas (p. 11); MED com rastreio além da primeira conta a partir de 2026 (p. 11); a descrição da engenharia social por “pressão”, “senso de urgência”, “medo, ansiedade ou ganância” (p. 13).
• CERT.br, Estatísticas de Incidentes Notificados — janeiro a agosto de 2026: 431.524 notificações, 18.359 na categoria fraude (4,25%), de 1.711 em janeiro a 3.039 em agosto; definição de phishing como “páginas falsas” de bancos, cartões, meios de pagamento, webmail e nuvem. Notificações voluntárias — é piso, não medida.
• Global Anti-Scam Alliance, O Estado dos Golpes no Brasil 2026 (06/08/2026) — 1.170 adultos: 81% alvo de ao menos uma tentativa em 12 meses, 39% interagiram, 10% perderam dinheiro ou dados, 4% registraram ocorrência, 34% alvo mais de uma vez. ⚠ O valor total de perda divulgado na imprensa (R$ 21,2 bilhões) está no relatório completo, restrito a membros; não o confirmei na fonte e por isso não o uso no texto.
• Lei 14.155, de 27/05/2021 (DOU de 28/05/2021) — art. 171, § 2º-A do Código Penal: reclusão de 4 a 8 anos e multa para a fraude cometida “com a utilização de informações fornecidas pela vítima ou por terceiro induzido a erro por meio de redes sociais, contatos telefônicos ou envio de correio eletrônico fraudulento”; § 2º-B: aumento de 1/3 a 2/3 se o servidor estiver fora do país; § 4º: aumento de 1/3 ao dobro contra idoso ou vulnerável; art. 155, § 4º-B: furto mediante fraude eletrônica, mesma pena.
• APWG, Phishing Activity Trends Report, 1st Quarter 2025 — 1.003.924 ataques de phishing no trimestre; pagamento e finanças com 30,9%; “milhões de e-mails por dia” com QR code levando a páginas falsas.

⚠ O que este texto NÃO afirma: um percentual de golpes brasileiros que usam IA. Circulam números (“42,5%”, “70%”) atribuídos a apresentações de fornecedores em eventos do setor; não encontrei fonte primária que os sustente na consulta de 14/09/2026, e por isso não entram. Também não afirma que o MED “não funciona”: a série mostra que ele devolve pouco e que a taxa dobrou desde o botão de contestação — as duas coisas ao mesmo tempo.

Perguntas frequentes

Como saber se um e-mail foi escrito por inteligência artificial?

Na prática, não dá — e tentar é o erro. O experimento de Harvard mostrou que o e-mail escrito por IA teve o mesmo desempenho do escrito por especialistas humanos (54% de cliques). O que se testa não é a autoria, é o pedido: urgência, segredo, ação que a instituição real nunca faz, e a recusa em ser confirmado por outro canal. Um e-mail legítimo passa nos quatro testes; um golpe, por definição, não passa.

O golpe da voz clonada funciona com poucos segundos de áudio?

Sim, e é por isso que o FBI registrou US$ 5 milhões de perda em 2025 só em golpes de “familiar em apuros” com voz clonada. A defesa não é reconhecer a voz — é pedir o que a voz não sabe: uma palavra combinada em família ou um detalhe de conversa privada, e desligar para ligar de volta no número que você tem salvo. A voz clonada resiste a tudo, menos a ser chamada por um caminho que ela não abriu.

Se eu cair num golpe de Pix, o banco devolve o dinheiro?

Em média, uma parte pequena. Pela série do Banco Central, o MED devolveu 9,0% do valor das contestações aceitas em 2025 (R$ 696 milhões de R$ 7,77 bilhões) e 14,5% de janeiro a abril de 2026, depois do botão de contestação e do MED 2.0. O motivo principal de não devolver é “saldo insuficiente”: o dinheiro já saiu da conta receptora. Por isso contestar no app nos primeiros minutos é obrigatório — e por isso a defesa é antes.

Golpe por e-mail ou telefone é crime específico no Brasil?

É. A Lei 14.155, de 2021, criou a fraude eletrônica no art. 171, § 2º-A do Código Penal: reclusão de 4 a 8 anos e multa quando o golpe usa informações obtidas da vítima “por meio de redes sociais, contatos telefônicos ou envio de correio eletrônico fraudulento”. A pena aumenta de um terço a dois terços se o servidor está fora do país, e de um terço ao dobro se a vítima é idosa. O boletim de ocorrência é o que faz a lei alcançar o caso.

Qual é a defesa mais eficiente contra golpe no celular?

Cadastrar o dispositivo no banco e reduzir os limites do Pix. Por regra do Banco Central desde novembro de 2024, aparelho não cadastrado tem teto de R$ 200 por transação e R$ 1.000 por dia; e o cliente pode fixar o próprio limite diário e noturno em qualquer valor, inclusive zero. Um golpe de R$ 30 mil não acontece numa conta cujo limite é R$ 2 mil — e nenhuma dessas duas medidas exige que você perceba o golpe a tempo.

Vale a pena pagar alguém para recuperar o dinheiro perdido num golpe?

Não. Quem oferece “recuperação” mediante pagamento está aplicando o segundo golpe sobre a lista de vítimas do primeiro; o FBI registrou 10.516 queixas e US$ 1,4 bilhão de perda em golpes de recuperação em 2025, e a Febraban lista o “golpe da devolução” entre os dez mais relatados. Os caminhos que existem são gratuitos: contestação no app do banco (MED), boletim de ocorrência, Registrato do Banco Central e, para cartão e serviços, consumidor.gov.br.

Veredito

A inteligência artificial não inventou golpe novo. Ela pegou o golpe mais caro que existia — o personalizado, o que sabe o seu nome, o seu banco e o seu chefe — e o tornou barato o bastante para ser aplicado em qualquer pessoa, no dado do FBI, no experimento de Harvard e nas duas linhas que mais crescem no ranking da Febraban. Os sinais de forma morreram com isso: o português está certo, o remetente está certo, a voz é a voz. O que sobreviveu foi o roteiro, porque o roteiro é o próprio golpe: urgência, segredo, um pedido que a instituição real nunca faz, e a recusa em ser confirmado por fora. Os sete testes deste texto não pedem que você perceba a mentira — pedem que você faça uma coisa que só a verdade aguenta. E as cinco defesas de custo zero funcionam no dia em que você não percebe nada, que é o dia para o qual se dimensiona qualquer defesa séria. O Banco Central devolveu 9% em 2025. O resto é o que se decide antes.

Conteúdo editorial independente, sem patrocínio do fabricante. Preços e especificações mudam sem aviso — confirme na fonte oficial antes de contratar ou comprar.