A clonagem de voz por IA transformou o comprometimento de e-mail corporativo em um problema telefônico
O comprometimento de e-mail corporativo (BEC) custou às empresas dos EUA US$ 3,05 bilhões em 2025, segundo o Centro de Reclamações de Crimes na Internet do FBI — a maior categoria de perdas cibernéticas reportadas. Por uma década, as defesas corporativas se basearam numa premissa: um e-mail pode ser falsificado, mas uma ligação telefônica é mais difícil de imitar. Essa premissa não se sustenta mais. A clonagem de voz, que exige apenas segundos de áudio público, transformou o BEC de um problema de texto em um problema telefônico.
Como funcionava a defesa antiga
O BEC clássico depende de uma conta de e-mail falsificada: o atacante se passa por um executivo e pede uma transferência urgente. As equipes de segurança treinaram funcionários para verificar solicitações incomuns por um segundo canal, geralmente uma ligação para um número conhecido. Esse controle funcionava porque sintetizar uma voz convincente exigia ferramentas caras.
O que mudou
Ferramentas de clonagem de voz de consumo agora produzem uma imitação utilizável a partir de um clipe público curto. Atacantes combinam isso com reconhecimento extraído de LinkedIn e documentos públicos para identificar quem aprova transferências.
O mecanismo não é novo: o caso de 2019 em que fraudadores clonaram a voz do CEO da controladora alemã de uma empresa de energia britânica para roubar 220.000 euros já demonstrou isso. O que mudou até 2025 foi o custo e a velocidade de produzir um clone convincente.
O que os números mostram
O relatório de 2025 do FBI estima as perdas totais reportadas por fraude de pagamento nos EUA em US$ 20,877 bilhões, alta de 26%. O BEC permaneceu a maior categoria de perdas empresariais, com US$ 3,05 bilhões. O órgão registrou mais de 22.000 reclamações explicitamente ligadas a fraude habilitada por IA, com perdas de cerca de US$ 893 milhões.
Por que a verificação escrita por si só já não basta
O problema central é que atacantes agora conseguem satisfazer as duas partes de um procedimento de verificação padrão: um e-mail falsificado torna a solicitação inicial plausível, e uma voz clonada na ligação de confirmação torna a verificação seguinte plausível também.
O que realmente funciona agora
Verificação fora de banda que não dependa só de reconhecimento de voz: ligar de volta para um número pré-verificado ainda é útil, mas deve ser combinado com uma frase ou código acordado previamente.
Autorização dupla com limite monetário rígido: qualquer transferência acima de certo valor exige aprovação de duas pessoas por dois sistemas separados.
Tratar a urgência em si como o principal sinal de alerta: políticas que permitem explicitamente atrasar qualquer solicitação marcada como urgente, sem penalidade, removem a principal alavanca da fraude.
Conclusão
O controle que importou na última década de BEC — "ligar para verificar" — presumia que o telefone era mais difícil de falsificar que o e-mail. Essa premissa acabou.