EUA acusam trio de burla com IA que imitava CEOs: como proteger a sua empresa

O Ministério Público federal de Nova Iorque acusou três homens de usarem inteligência artificial para imitar a voz e, por vezes, a imagem de presidentes executivos (CEO) e de advogados de grandes escritórios. Segundo a acusação, conseguiram assim que funcionários de várias empresas transferissem cerca de 129 milhões de dólares para contas controladas pelo grupo. Algumas dessas contas estavam em Portugal. Neste artigo explicamos o que se sabe do caso, como funcionava o esquema e que regras simples podem impedir que o mesmo aconteça na sua empresa.

O que aconteceu

A 5 de novembro de 2026, a Procuradoria dos EUA para o Distrito Sul de Nova Iorque e o FBI anunciaram o levantamento do segredo de uma acusação contra Jacob Soall, de 41 anos, Sharon Hazan, de 54, e Guy Sheetrit, de 42. O caso foi noticiado pela Associated Press, pela CyberScoop, pela NBC News, pelo The Guardian e pela Courthouse News.

Segundo a acusação, o esquema decorreu entre julho de 2024 e fevereiro de 2026 e visou milhares de empresas em todo o mundo. Soall e Hazan foram detidos em Espanha, a 17 de junho e a 5 de agosto de 2026. Sheetrit foi detido no Reino Unido a 7 de setembro. Os EUA pediram a extradição dos três.

Respondem por sete crimes, entre eles associação criminosa para fraude, fraude eletrónica, usurpação de identidade agravada e branqueamento de capitais. Somadas, as penas máximas chegam aos 104 anos de prisão, segundo a CyberScoop. Para já, são apenas acusações. Os arguidos presumem-se inocentes, e os advogados de Sheetrit disseram à CyberScoop que o cliente «não tem qualquer ligação a este caso».

Como funcionava o esquema, segundo a acusação

De acordo com os procuradores, o método tinha quase sempre os mesmos passos:

1. Escolher o alvo certo. O grupo procurava funcionários com autoridade para aprovar transferências elevadas, normalmente na contabilidade ou nas finanças.
2. Primeiro contacto por email. Segundo a CyberScoop, a mensagem chegava muitas vezes através de uma empresa de assinatura eletrónica. O falso CEO falava de uma «transação financeira confidencial», muitas vezes uma aquisição, e pedia ao funcionário que assinasse um acordo de confidencialidade.
3. Chamada com a voz do CEO. Depois havia uma chamada telefónica ou uma videochamada. Nela, o grupo usava IA para imitar a voz e, por vezes, a cara do verdadeiro presidente executivo.
4. O «advogado». O falso CEO mandava o funcionário falar com advogados de grandes escritórios internacionais, alguns entre os 50 maiores do mundo. Esses advogados também eram falsos. A NBC News refere que Soall fazia de advogado britânico e lia um guião intitulado «Lawyer Call».
5. A transferência. Por fim, o falso advogado indicava a conta para onde o dinheiro devia seguir. O dinheiro passava por contas nos EUA, em Espanha, em Portugal, na Grécia, nos Emirados Árabes Unidos, em Singapura, na Áustria, na Eslováquia e na China. Depois era convertido em criptomoedas.

Entre as vítimas indicadas pela acusação estão uma fintech do Reino Unido, que perdeu mais de 11,5 milhões de dólares, uma empresa de comida para animais da Florida (5,2 milhões), um grupo hospitalar do Missouri (4,8 milhões), um fundo de investimento do Massachusetts (4,6 milhões), um grupo hospitalar da Califórnia (quase 3 milhões) e um banco de Rhode Island (cerca de 2,7 milhões).

Não é a primeira vez

A chamada «fraude do CEO» já existia por email. A IA juntou-lhe voz e imagem convincentes. O caso mais conhecido é o da consultora de engenharia britânica Arup. Em 2024, a empresa confirmou ao The Guardian ter sido vítima de uma burla em Hong Kong. Um funcionário transferiu 200 milhões de dólares de Hong Kong (cerca de 25 milhões de dólares americanos) depois de uma videochamada em que apareciam versões falsas do diretor financeiro e de colegas.

A diferença agora é a escala. Segundo a acusação, este grupo não fez um golpe isolado: repetiu o mesmo guião durante um ano e meio contra hospitais, bancos e empresas comuns.

O que isto significa para uma PME em Portugal

Não é preciso ser uma multinacional para ser alvo. A voz de um administrador aparece em vídeos no site, em entrevistas, em podcasts ou nas redes sociais, e isso pode bastar para a imitar. O nome de quem trata dos pagamentos está muitas vezes no LinkedIn. Uma «aquisição confidencial» ou um «pagamento urgente a um advogado» são pretextos que funcionam em qualquer empresa.

A boa notícia é que nenhum destes passos derrota um processo bem definido. A burla depende de o funcionário fazer a transferência sem confirmar o pedido por outro canal.

Sete regras para travar a burla da voz falsa

1. Confirmar sempre por outro canal. Se o pedido chega por email, chamada ou videochamada, ligue para o número que já tinha da pessoa, e nunca para um número indicado na mensagem. Isto vale também quando a voz e a cara parecem verdadeiras.
2. Exigir duas aprovações. Acima de um valor definido pela empresa, nenhuma transferência deve sair com a aprovação de uma só pessoa, por mais urgente que pareça.
3. Não aceitar exceções por «confidencialidade». Um pedido para não falar com ninguém é, por si só, um sinal de alarme. A regra deve dizer que o sigilo nunca dispensa a verificação.
4. Combinar uma palavra de código. Para pedidos fora do normal, uma palavra combinada em pessoa entre a administração e as finanças trava uma voz clonada em segundos.
5. Desconfiar de contas novas e de bancos noutros países. Uma conta nova ou num país sem ligação ao negócio deve obrigar sempre a uma segunda verificação. Use também a confirmação do nome do beneficiário que os bancos já mostram. Explicámos como funciona em «Transferência para um IBAN falso: o que fazer».
6. Formar quem paga. As pessoas das finanças e da contabilidade devem saber que vozes e vídeos podem ser falsificados e que a hesitação faz parte do processo. Os cinco sinais de um email de phishing continuam a ser o primeiro filtro.
7. Proteger o domínio de email. Muitas burlas começam com um email que parece vir da sua empresa. Os registos SPF, DKIM e DMARC dificultam que alguém envie emails em nome do seu domínio. Veja o nosso guia sobre SPF, DKIM e DMARC.

E se o dinheiro já saiu?

O tempo conta. Contacte de imediato o seu banco e peça a retenção ou a devolução da transferência. Apresente queixa à Polícia Judiciária e guarde os emails, os números de telefone e as gravações que tiver. Se suspeitar que uma caixa de email da empresa foi comprometida, mude as palavras-passe e reveja as regras de reencaminhamento. Sobre os direitos face ao banco, veja também o que decidiu o Tribunal de Justiça da UE sobre o reembolso em casos de phishing e o alerta da PJ sobre as burlas por WhatsApp.

Comece pelo que está exposto

Parte da proteção está fora do site: processos de pagamento, formação e verificação. Outra parte está no domínio e no email da empresa. Se não sabe se o seu domínio tem SPF, DKIM e DMARC bem configurados, ou se o seu site tem falhas que facilitem a vida a quem quer passar por si, faça a auditoria gratuita da MarcaWeb. Em poucos minutos fica com uma nota de segurança e uma lista do que corrigir.