Golpes com IA contra ONGs: voz clonada, deepfake e phishing sem erro de português

Pontos-Chave sobre Golpes com IA contra ONGs

• A IA não inventou o golpe, ela o tornou mais convincente. O falso diretor pedindo um Pix urgente já existia. Agora ele pode ter a voz do diretor, e o e-mail falso não tem mais erro de português.
• O padrão é sempre o mesmo: urgência, sigilo e um pedido de dinheiro ou de dados. Quem reconhece o padrão não precisa reconhecer a tecnologia.
• A defesa que mais funciona é de processo, não de tecnologia: confirmar por um segundo canal, nunca alterar dados de pagamento por mensagem e exigir dupla aprovação.
• A ONG também pode ser a marca falsificada: perfis e campanhas falsas pedindo doações em nome da organização.
• Se o golpe aconteceu, a primeira hora importa. Acione o banco imediatamente.

Por Que ONGs Estão na Mira

Não é porque ONGs tenham muito dinheiro. É porque reúnem condições que os golpistas procuram:

• Confiança como valor. A cultura de colaboração faz a equipe responder rápido a um pedido de um dirigente ou de um parceiro.
• Equipes pequenas e sobrecarregadas. Uma só pessoa costuma cuidar de financeiro, comunicação e atendimento, sem ninguém para conferir.
• Rotatividade de voluntários, que ainda não conhecem os procedimentos nem as pessoas.
• Exposição pública de rostos e vozes. Dirigentes aparecem em vídeos, podcasts e eventos, material suficiente para imitar uma voz.
• Dinheiro que circula por Pix, doações e repasses, com pagamentos de valor médio que não chamam atenção.
• Dados valiosos: listas de doadores e de atendidos, que também servem a novos golpes.

O post sobre cibersegurança em OSCs trata das ameaças tradicionais. Aqui o foco é o que a IA muda.

O Que a IA Muda nos Golpes

Antes	Agora
E-mail com erros de português que denunciavam a fraude	Texto fluente, no tom da ONG e com o contexto certo, montado com informações públicas
Mensagem de WhatsApp "Oi, sou o diretor, mudei de número"	O mesmo golpe, seguido de um áudio ou uma ligação com a voz clonada
Perfil falso malfeito	Perfil com fotos, textos e identidade visual copiados e atualizados com frequência
Um golpe por vez	Dezenas de tentativas personalizadas ao mesmo tempo

Autoridades de outros países já alertam para esse movimento. O FBI, por exemplo, publicou alertas sobre criminosos que usam mensagens de voz e textos gerados por IA para se passar por autoridades e sobre o uso de IA generativa em fraudes, inclusive com áudio e vídeo falsos de pessoas conhecidas. A recomendação central é a mesma: desconfiar de mensagens inesperadas, por mais convincentes que pareçam, e verificar por outro canal.

Os Golpes Mais Prováveis Contra uma ONG

1. O falso dirigente (voz clonada ou mensagem)

Como funciona: o financeiro recebe uma mensagem de um número novo, com a foto do presidente ou da coordenadora, pedindo um pagamento urgente e sigiloso. Em versões mais recentes, vem acompanhada de um áudio ou ligação com a voz da pessoa.

Sinais: número novo, urgência, "não fale com ninguém", pedido de pagamento fora do fluxo normal, destinatário desconhecido.

Defesa: nenhuma ordem de pagamento vale por mensagem ou áudio. Confirme ligando para o número que você já tinha, ou pessoalmente.

2. A troca de chave Pix ou de conta de um fornecedor

Como funciona: chega um e-mail, aparentemente do fornecedor ou do contador, dizendo que os dados bancários mudaram. O e-mail é bem escrito, copia a assinatura e responde dentro de uma conversa real, quando a caixa de alguém foi invadida.

Defesa: mudança de dados de pagamento só vale depois de confirmada por telefone conhecido, nunca pelo contato que veio na própria mensagem. Registre a confirmação.

3. O phishing bem escrito

Como funciona: e-mails ou mensagens que imitam o banco, o Transferegov, um edital, a plataforma de doações ou o sistema da ONG, pedindo senha ou um clique. Como a escrita é boa, o critério "tem erro de português" deixou de servir.

Defesa: não clique; digite o endereço oficial. Ative a verificação em duas etapas, que protege mesmo quando a senha é entregue.

4. O falso doador ou o falso "pagamento por engano"

Como funciona: alguém faz uma doação de valor alto, "erra" e pede a devolução de parte do valor, ou envia um comprovante falso para obter o troco.

Defesa: só considere o dinheiro recebido quando aparecer na conta. Devolva apenas pelo canal formal do banco, nunca por um Pix novo a pedido do doador. A rotina de recebimento de doações online deve prever a conferência.

5. O falso órgão público, financiador ou fiscalização

Como funciona: contato dizendo que a prestação de contas tem pendência, que é preciso pagar uma taxa para liberar um recurso ou que um edital exige uma "inscrição" paga.

Defesa: confira o órgão por canais oficiais. Parcerias públicas seguem procedimentos conhecidos; urgência e cobrança por fora são sinais de alerta. O texto sobre erros comuns na prestação de contas ajuda a distinguir pendência real de pressão falsa.

6. O vídeo ou áudio falso de uma pessoa conhecida

Como funciona: um vídeo "do presidente da ONG" pedindo doações em uma conta pessoal, ou uma mensagem de áudio do "coordenador" pedindo que voluntários enviem documentos.

Defesa: a ONG publica os canais oficiais de doação em um lugar fixo e avisa que nunca pede doação em conta pessoal nem por mensagem privada. Voluntários confirmam qualquer pedido atípico com a coordenação por outro canal.

7. O perfil ou a campanha falsa em nome da ONG

Como funciona: copiam o nome, a logo e as fotos da ONG, criam um perfil ou uma página de vaquinha e recolhem doações. A vítima é o doador, e o dano de reputação é da ONG.

Defesa: monitore o nome da ONG nas redes, tenha um endereço oficial de doação bem divulgado (chave Pix em nome do CNPJ) e oriente doadores a conferir o nome do favorecido antes de confirmar. Denuncie perfis falsos às plataformas e avise a comunidade.

Protocolo de Verificação em Quatro Passos

Um procedimento simples, aplicado sempre que houver pedido de dinheiro, de dados ou de acesso:

1. Pare. Urgência é a ferramenta do golpista. Nenhum pedido legítimo desaparece se esperar dez minutos.
2. Mude de canal. Confirme por um meio que você já conhecia, como ligar para o número salvo ou falar pessoalmente. Nunca use o contato que veio na mensagem.
3. Faça uma pergunta que só a pessoa certa saberia. Ou use uma palavra-código combinada previamente entre dirigentes e financeiro, que não esteja em nenhum lugar público.
4. Peça a segunda aprovação. Pagamentos fora da rotina exigem dois responsáveis, e nenhuma ordem se executa por mensagem.

Imprimir esses quatro passos e deixar perto do computador do financeiro custa quase nada.

Regras de Processo Que Neutralizam a Maioria dos Golpes

• Dupla aprovação para pagamentos acima de um valor definido pela ONG e para qualquer alteração de dados bancários.
• Lista de pagadores autorizados, com quem pode ordenar o quê e por qual canal.
• Mudança de dados de fornecedor apenas com confirmação por telefone conhecido, registrada.
• Conferência do nome do favorecido na tela do Pix antes de confirmar.
• Autenticação em dois fatores em e-mail, banco, redes sociais e sistemas, e uma pessoa, uma conta, como explica o texto sobre contas compartilhadas.
• Conciliação regular, para perceber cedo qualquer saída estranha. Veja despesas do projeto, comprovantes e conciliação.
• Canais oficiais publicados no site e nas redes, com a frase "nunca pedimos doação em conta pessoal".
• Procedimentos escritos para voluntários, porque são alvo fácil quando não sabem a quem recorrer.

Reduzir a Exposição Sem Esconder a ONG

Vozes e rostos de dirigentes são públicos, e isso é parte do trabalho. Algumas medidas ajudam sem custo:

• Evite divulgar organograma com e-mails e celulares pessoais de quem decide pagamentos.
• Não publique documentos com assinaturas, CPFs e dados bancários.
• Tenha cuidado com o que dirigentes compartilham sobre rotina e viagens, que serve de contexto para um golpe convincente.
• Revise quais funções (e-mail institucional, WhatsApp) aparecem como contato público.

O guia sobre WhatsApp e dados sensíveis mostra o que não deve circular por mensagem.

Se o Golpe Aconteceu: a Primeira Hora

1. Ligue para o banco imediatamente, informe a transferência e peça o bloqueio e a devolução. O Pix tem o Mecanismo Especial de Devolução (MED), que, segundo a regra noticiada em 2026, permite pedir a devolução em até 80 dias, mas o dinheiro costuma sair da conta de destino em minutos. Confira a regra vigente no site do Banco Central e não espere.
2. Registre a ocorrência (boletim de ocorrência) e guarde prints, números, áudios e comprovantes.
3. Troque as senhas de e-mail, banco e sistemas, e encerre sessões ativas, se houver suspeita de invasão.
4. Avise a diretoria e os envolvidos, sem buscar culpados no primeiro momento.
5. Avalie o que foi exposto. Se dados de doadores ou de atendidos podem ter vazado, o caso passa a ser um incidente de dados. Siga o plano de resposta a incidentes, que inclui avaliar a comunicação à ANPD e aos titulares (LGPD, art. 48).
6. Comunique a comunidade se o nome da ONG foi usado em campanha falsa, com o canal oficial correto.
7. Aprenda com o caso: que passo do protocolo faltou? Atualize o procedimento.

Treinamento: Como Transformar Isso em Hábito

• Cinco minutos em reunião, com um exemplo por mês: "o que você faria se recebesse este áudio?".
• Simulações simples: o coordenador envia uma mensagem falsa de teste (avisando antes ou depois) para ver quem verifica.
• Cultura de perguntar: agradeça quem desconfiou, mesmo que fosse um pedido verdadeiro. Quem tem medo de parecer desconfiado paga o golpe.
• Integração de voluntários: inclua o protocolo no primeiro dia. O texto sobre como integrar voluntários nos primeiros 30 dias tem espaço para isso.

Perguntas Frequentes

Dá para saber se uma voz foi clonada por IA?

Nem sempre. As imitações melhoram rápido, e ouvir "com atenção" não é uma defesa confiável. Por isso, o critério é o processo: confirmar por outro canal, usar palavra-código e exigir a segunda aprovação, qualquer que seja a voz.

O que é uma palavra-código e como usar?

É uma palavra ou frase combinada previamente entre poucas pessoas (dirigentes e financeiro, por exemplo), que não está em nenhum lugar público. Em pedidos urgentes por voz ou mensagem, a pessoa precisa dizê-la. Troque-a de tempos em tempos e se alguém sair da ONG.

Meu e-mail institucional foi invadido. E agora?

Troque a senha, ative a verificação em duas etapas, encerre sessões ativas e verifique regras de encaminhamento automático criadas pelo invasor. Avise contatos que possam ter recebido mensagens falsas e avalie se houve exposição de dados pessoais.

Posso recuperar o dinheiro de um Pix enviado a um golpista?

Pode ser possível, mas depende da rapidez. Acione o banco imediatamente e peça a devolução pelo MED. Não há garantia, porque o valor costuma ser movimentado rapidamente.

Como proteger os doadores de perfis falsos da ONG?

Divulgue os canais oficiais em lugar fixo, use a chave Pix do CNPJ, oriente a conferir o nome do favorecido e denuncie perfis falsos às plataformas. Avise a comunidade quando um golpe em seu nome aparecer.

Conclusão

A IA deixou os golpes mais bem-feitos, mas não mudou o que os faz funcionar: pressa, sigilo e um pedido fora da rotina. A defesa mais eficaz é um processo simples que a equipe cumpra sempre, com confirmação por outro canal, dupla aprovação, palavra-código e canais oficiais bem divulgados. Com isso, uma voz convincente deixa de ser suficiente para tirar dinheiro ou dados da ONG.

---

Quer reduzir o risco com dados de atendidos e doadores concentrados em um sistema com controle de acesso e trilha de auditoria? Agende uma demonstração gratuita e converse com a equipe.

Saiba mais sobre o Nexus Social e a gestão integrada para organizações sociais.

---

Fontes e Referências

• FBI IC3 — Alerta I-121925-PSA — Mensagens de voz e textos gerados por IA usados para se passar por autoridades; orientação de verificar mensagens inesperadas (dezembro de 2025)
• FBI IC3 — Alerta I-120324-PSA — Criminosos usam IA generativa para facilitar fraudes, inclusive com áudio e vídeo falsos (dezembro de 2024)
• Lei nº 13.709/2018 (LGPD) — Planalto — Segurança (art. 46) e comunicação de incidente (art. 48)
• Banco Central do Brasil — Pix e Mecanismo Especial de Devolução (MED): o prazo de 80 dias para pedir a devolução foi conferido em reportagens de 2026; confirme a regra vigente no site do Banco Central