Recebes uma chamada às 17h de uma sexta-feira. É a voz do teu sócio — ou do administrador, ou do dono da empresa. Está apressado, irritado até. "Estou numa reunião a fechar um negócio, preciso que faças já uma transferência de 14.000€ para este IBAN, o fornecedor está à espera, depois explico." A voz é dele. O tom é dele. A pressa é dele. Fazes a transferência?
Este é o guião de uma fraude que já não é ficção nem coisa só de multinacionais. A voz pode ser falsa — clonada por inteligência artificial a partir de uns segundos de áudio. E a parte incómoda é que a defesa não é comprar software. É mudar um hábito.
Como é que a voz do patrão se clona em segundos
Vamos desmistificar, porque literacia de IA é isto: perceber o que a tecnologia faz de facto, sem drama e sem magia.
As ferramentas de clonagem de voz aprendem o "timbre" de uma pessoa a partir de uma amostra curta. Hoje, poucos segundos de áudio limpo chegam para produzir uma imitação convincente ao telefone. E onde é que se arranja a voz do teu administrador? Não é preciso invadir nada: um vídeo no LinkedIn, uma entrevista num podcast, uma mensagem de voz reencaminhada, um webinar. Está tudo lá, público.
O atacante junta duas coisas simples: a voz clonada e um contexto credível. Sabe o nome do fornecedor porque viu o site. Sabe que a empresa está a fechar um negócio porque leu uma publicação. Liga na sexta ao fim do dia, quando toda a gente quer ir para casa e ninguém quer ser o chato que atrasa o chefe. A tecnologia faz a voz; a engenharia social faz o resto — pressão, urgência, autoridade.
Não há aqui nada de mágico. Há um crime antigo — a "fraude do CEO", que já se fazia por email há anos — com uma camada nova de IA que remove o último sinal de alarme que ainda te restava: "mas a voz era mesmo dele".
Porque é que o instinto falha
O teu cérebro foi treinado a vida toda a confiar numa voz conhecida. Reconhecer o timbre de alguém era, até há bem pouco tempo, prova suficiente de identidade. A IA generativa quebrou essa regra sem avisar ninguém.
Some-se a isto a hierarquia. Quem trabalha na contabilidade ou na tesouraria de uma PME não vai, por norma, discutir uma ordem direta do dono. A fraude explora exatamente essa deferência: cria uma situação em que verificar parece desrespeitar. É por isso que a solução tem de ser um processo, não bom senso individual. Bom senso cansa às 17h de sexta. O processo, não.
O protocolo que trava a fraude (e custa zero)
A defesa contra deepfake de voz não se compra numa loja de software. Monta-se numa reunião de dez minutos e comunica-se a toda a gente que mexe em dinheiro. Estes são os quatro pontos:
- Código-palavra interno. Combina uma palavra que só as pessoas com poder de pagamento conhecem, nunca escrita em lado nenhum digital. Um pedido de transferência urgente por voz só avança se quem pede souber a palavra. Um atacante com a voz clonada não a tem.
- Call-back para um número conhecido. Nunca confirmes pelo canal em que recebeste o pedido. Desliga e liga tu para o número do teu administrador que já tens na agenda — não para o número que aparece, não para um contacto novo que a "voz" te dita. Se a pessoa é quem diz ser, atende no número dela.
- Dupla aprovação acima de um limite. Define um valor — por exemplo 1.000€ ou 2.000€ — acima do qual nenhuma transferência sai com uma só assinatura. São precisas duas pessoas. Uma voz ao telefone não é uma segunda pessoa.
- Zero exceções por urgência. A urgência é a arma. Escreve na regra, preto no branco, que "é urgente" nunca é motivo para saltar a verificação. Quem manda na empresa tem de ser o primeiro a respeitar isto — senão a exceção do chefe abre a porta a todas as outras.
Um exemplo real, com números
Imagina uma PME com faturação a rondar os 2 milhões por ano. Uma transferência fraudulenta de 14.000€ não a leva à falência, mas dói: é o lucro de várias semanas a evaporar-se numa tarde, mais o tempo de tentar (quase sempre em vão) recuperar o dinheiro, mais a queixa, mais o susto de perceber que aconteceu por um telefonema de trinta segundos.
Agora o outro lado da conta. O protocolo acima custa: uma reunião, um código-palavra combinado, e talvez trinta segundos extra por cada pagamento grande — o tempo de fazer um call-back. Trinta segundos contra catorze mil euros. É das melhores relações custo-benefício que vais encontrar em toda a tua gestão. Não precisa de orçamento, não precisa de fornecedor, não precisa de projeto de IT.
O que a IA faz a teu favor: processo auditado, não confiança cega
Aqui está a lição de literacia que liga tudo. A mesma IA que gera a fraude não te defende dela — o que te defende é teres os pagamentos dentro de um processo verificável, em vez de dependerem de memória e confiança.
É a mesma filosofia com que construímos software na Leiritech: IA grounded e read-only. Traduzindo do técnico: um assistente que responde a partir dos teus próprios dados reais — as tuas faturas, o teu stock, os teus pagamentos — sem inventar, e que apenas lê, não executa transferências sozinho. Quando alguém pergunta ao ERP em linguagem natural, por exemplo no WhatsApp com o Nemea — "que pagamentos foram aprovados hoje e por quem?" — a resposta sai do sistema, com registo de quem aprovou o quê e quando. Isso é auditoria por origem, não confiança na palavra de uma voz ao telefone.
Repara na ordem: primeiro o processo humano (código-palavra, call-back, dupla aprovação); o software só torna esse processo mais fácil de cumprir e de fiscalizar. Integra-se, aliás, com o ERP que já tens — um PHC, por exemplo — sem arrancar nada.
Onde a IA não te salva — e os custos honestos
Sê realista sobre os limites, que também é literacia. Nenhum software deteta com fiabilidade se uma voz ao telefone é real ou clonada — a qualidade das clonagens está boa demais e a piorar (para nós). Não existe uma "app anti-deepfake" que resolva isto por ti. Quem to prometer, está a vender fumo.
O custo real desta defesa não é dinheiro, é disciplina: manter o protocolo vivo quando a fraude não aparece há meses e a tentação de "desta vez despacha-se sem call-back" volta. E, em matéria de RGPD, cuidado com o reflexo de gravar todas as chamadas "para segurança": gravar voz é tratar dados pessoais e tem regras — não faças disso a tua estratégia. A tua estratégia é a verificação por um segundo canal, não a vigilância.
Começa hoje, em pequeno
Não precisas de um projeto. Precisas de três decisões esta semana: define o valor a partir do qual há dupla aprovação, combina um código-palavra com quem paga, e escreve a regra do call-back num sítio onde toda a gente a veja. Fala com a tua tesouraria antes que a fraude fale — porque, se falar primeiro, a conversa é bem mais cara.
E quando quiseres que os pagamentos e as aprovações passem a viver dentro de um processo auditado — perguntável em linguagem natural, read-only, integrado com o ERP que já usas — fala connosco: hello@leiritech.com ou leiritech.pt. Sem hype. Só o que a coisa faz e em que assenta.
