IA generativa cria empresas falsas para fraudar fornecedores no Brasil

Redes criminosas já usam inteligência artificial generativa para montar "empresas sintéticas" completas, com contratos, balanços financeiros e sites institucionais falsos, para passar pela triagem de fornecedores de empresas brasileiras. Segundo reportagem do Portal Information Management, o método combina dados públicos legítimos (como os de CNPJ) com informações fabricadas por modelos de linguagem e ferramentas de edição avançadas, criando em minutos identidades corporativas capazes de enganar etapas convencionais de credenciamento e aprovação de crédito.

Alexandre Pegoraro, CEO da Kronoos, plataforma de automação de diligência e análise de riscos, é a fonte especializada citada na reportagem para explicar como o golpe funciona na prática: criminosos reúnem informações reais e verificáveis sobre uma empresa de fachada, somam documentos falsificados com alta fidelidade visual e ainda recorrem a deepfakes de áudio e vídeo para simular reuniões e validações com representantes "da empresa", dificultando que times de compras e financeiro percebam a fraude antes de liberar pagamentos ou firmar contratos.

Uma fraude que já lidera a América Latina

O problema não é pontual. De acordo com o levantamento citado pela reportagem, fraudes com deepfakes e identidades sintéticas cresceram 126% no Brasil, e o país já responde por cerca de 39% de todos os casos identificados na América Latina, posição de destaque que coincide com outros números que o Portal da AI já mostrou sobre o avanço de golpes de voz clonada por IA em negociações do dia a dia, como compra de carros e transferências via Pix entre pessoas físicas. A diferença da fraude de "empresa sintética" é a escala e o alvo: em vez de enganar uma pessoa numa negociação isolada, o esquema tenta passar por processos inteiros de homologação de fornecedores dentro de empresas, área que normalmente é tratada como mais criteriosa justamente por envolver contratos e valores maiores.

O caso internacional mais citado para ilustrar o tamanho do risco é o de Hong Kong, em que golpistas simularam uma videoconferência inteira com deepfakes de executivos de uma multinacional e conseguiram convencer um funcionário do financeiro a autorizar transferências somando US$ 25 milhões. O episódio corre em paralelo ao que já tratamos aqui sobre o banco italiano que perdeu 95 milhões de euros depois que fraudadores clonaram a voz de um executivo para autorizar movimentações internas: a tecnologia por trás é a mesma (voz e vídeo sintéticos de alta fidelidade), só a porta de entrada muda, de uma ligação urgente para um processo burocrático de cadastro de fornecedor que, numa empresa com volume alto de contratações, pode passar despercebido entre centenas de outros cadastros legítimos.

Por que isso importa para quem empreende ou compra no Brasil

Se a sua empresa terceiriza serviços, compra de fornecedores novos ou aprova parceiros comerciais sem conhecer pessoalmente quem está do outro lado, esse tipo de fraude é um risco direto, não só um problema de bancos grandes ou multinacionais. Pequenas e médias empresas tendem a ter processos de triagem mais informais, muitas vezes baseados só em documentos enviados por e-mail e numa ligação ou videochamada de confirmação, exatamente o ponto que a fraude de empresa sintética explora. Isso vale tanto para quem contrata serviços terceirizados quanto para quem decide se associar a um novo parceiro de negócio sem cruzar as informações com bases públicas independentes.

A mesma IA generativa que hoje ajuda pequenos negócios brasileiros a negociar melhor com fornecedores e a economizar tempo em tarefas administrativas é a que criminosos usam para fabricar identidades corporativas falsas, capazes de imitar com precisão alta documentos, sites e até videochamadas. Entender essa dualidade ajuda a calibrar o nível de desconfiança adequado: nem toda automação é suspeita, mas qualquer processo de aprovação de fornecedor que dependa só de documentos digitais e confirmação remota merece uma camada extra de verificação, algo que o nosso guia sobre como escolher ferramenta de IA com segurança também recomenda para quem contrata serviços de tecnologia.

Como reduzir o risco na prática

A reportagem destaca que a defesa mais eficaz contra esse tipo de fraude é o monitoramento contínuo de contrapartes comerciais, cruzando de forma automatizada bases de dados públicas, como CNPJ na Receita Federal, situação em órgãos fiscais e registros trabalhistas, em vez de validar um fornecedor novo uma única vez no momento do cadastro e nunca mais revisar a informação. Empresas que já registraram esse tipo de verificação como etapa fixa do processo de compras tendem a identificar inconsistências (um CNPJ aberto há poucos meses tentando fechar contratos de grande valor, por exemplo) antes de liberar qualquer pagamento.

Outra prática recomendada, que também vale para o golpe de clonagem de voz contra pessoas físicas, é nunca validar uma relação comercial nova só com base numa videochamada ou ligação recebida durante a própria negociação. Sempre que possível, vale confirmar dados de CNPJ, endereço físico e referências comerciais por um canal independente, como uma ligação feita para um número já conhecido antes do início da negociação, ou mesmo uma visita presencial quando o valor do contrato justificar. Isso se aplica tanto a quem avalia fornecedores quanto a quem lida com a privacidade dos próprios dados entregues a terceiros, já que informações usadas como base para montar essas fraudes muitas vezes vêm de vazamentos ou exposição pública desnecessária.

No fim, o alerta da Kronoos serve como lembrete de que a regulação da IA no Brasil, tema que já tratamos no guia sobre a lei de IA no Brasil e o que muda para quem usa a tecnologia, ainda não acompanha a velocidade com que essas fraudes evoluem. Enquanto isso, a responsabilidade de verificar contrapartes comerciais com mais rigor recai sobre as próprias empresas, especialmente as de porte pequeno e médio, que costumam ter menos recursos dedicados a compliance e due diligence do que grandes corporações e bancos.