Golpe com deepfake de CEO desviou US$ 129 mi: como a fraude funciona

US$ 129 milhões, perto de R$ 710 milhões, foi quanto um grupo teria desviado de hospitais, bancos e empresas ao imitar a voz e a imagem de executivos com inteligência artificial. A acusação contra três homens foi anunciada em 5 de novembro de 2026 pela Procuradoria do Distrito Sul de Nova York, em conjunto com o FBI, segundo o comunicado do Departamento de Justiça dos EUA.

Os acusados são Jacob Soall, de 41 anos, Sharon Hazan, de 54, e Guy Sheetrit, de 42. Eles estão presos na Espanha e no Reino Unido, e a extradição para os Estados Unidos ainda não foi concluída. Todos são presumidos inocentes até o julgamento.

O roteiro em três ligações

A promotoria descreve um padrão repetido entre 2024 e 2026, voltado a funcionários das áreas financeira e contábil com poder para aprovar pagamentos altos:

1. O e-mail do chefe. Uma mensagem que parecia vir do presidente da empresa pedia ajuda numa operação confidencial, às vezes com acordo de sigilo para assinar.
2. A chamada com o advogado. O funcionário era encaminhado a um suposto advogado de um grande escritório, com voz e, em alguns casos, rosto clonados por IA. Segundo a acusação, Soall usava um roteiro escrito à mão chamado “Lawyer Call”, com frases para impedir que a vítima comentasse o caso com colegas.
3. A conta nova. O falso advogado indicava contas para a transferência. O dinheiro era convertido em criptomoedas e repartido.

Vítimas e valores citados pela promotoria

Os seis casos detalhados somam cerca de US$ 32 milhões. O restante do total corresponde a vítimas que o comunicado não identificou. Um banco de Nova York chegou a autorizar uma remessa de US$ 2,85 milhões, mas a transferência foi barrada a tempo, segundo o Olhar Digital.

Linha do tempo do processo

• 17 de junho de 2026: Soall é preso na Espanha.
• 5 de agosto de 2026: Hazan é preso na Espanha.
• 7 de setembro de 2026: Sheetrit é preso no Reino Unido.
• 5 de novembro de 2026: denúncia tornada pública em Nova York, com sete acusações para cada um, entre elas fraude eletrônica, roubo agravado de identidade e lavagem de dinheiro.

As penas máximas chegam a 20 anos por acusação de fraude e de lavagem, mas a sentença, se houver condenação, cabe ao juiz. Hazan já tinha sido condenado em 2008, no mesmo distrito, por conspiração para fraude bancária, e teria dito a interlocutores que lavou mais de US$ 400 milhões em três anos.

Como travar um pedido falso de transferência

O golpe não depende de invasão de sistema. Ele explora a pressa e o sigilo, e por isso as defesas mais eficazes são regras internas simples, que a IA não consegue imitar:

• Confirmação por outro canal. Pedido urgente de pagamento recebido por e-mail ou vídeo é confirmado num telefone que já estava no cadastro, nunca no número que veio na mensagem.
• Dupla aprovação para conta nova. Nenhum beneficiário recém-cadastrado recebe valor alto com a assinatura de uma só pessoa.
• Sigilo é sinal de alerta. Ordem de “não comente com ninguém” é justamente o que o roteiro “Lawyer Call” buscava. A política da empresa deve autorizar o funcionário a consultar o gestor em qualquer caso.
• Palavra-código. Algumas equipes combinam uma senha verbal para operações fora do padrão. Uma voz clonada não sabe a resposta.

Os mesmos sinais aparecem em fraudes de recrutamento com avatar, tema de entrevistas com avatar, deepfakes e autenticação no RH.

O que ainda está em aberto

Os pedidos de extradição seguem pendentes na Espanha e no Reino Unido, e o comunicado não informa se outros participantes já foram identificados. Também não há data para a primeira audiência em Nova York. O ponto que o caso já deixou claro é a escala: com voz e imagem sintéticas, o velho golpe do falso diretor passou a render dezenas de milhões de dólares por vítima.