# Golpes com IA contra ONGs: voz clonada, deepfake e phishing sem erro de português

> A IA tornou golpes antigos mais convincentes: o falso diretor no WhatsApp ganha voz, o e-mail do fornecedor não tem erro e a ONG pode ter o nome usado em campanhas falsas. Veja os golpes mais prováveis, os sinais e um protocolo de verificação que cabe em ONGs pequenas.

- URL: https://blog.nexussocial.com.br/posts/golpes-com-ia-contra-ongs-voz-clonada-deepfake-phishing
- Publicado em: 2026-11-07
- Autor: Equipe Nexus (Blog Nexus Social)
- Palavras-chave: golpes com IA ONGs, voz clonada golpe, deepfake ONG, golpe do falso diretor, phishing com IA, golpe Pix ONG, segurança digital OSCs, fraude doações, LGPD, Nexus Social

## Pontos-Chave sobre Golpes com IA contra ONGs

- **A IA não inventou o golpe, ela o tornou mais convincente.** O falso diretor pedindo um Pix urgente já existia. Agora ele pode ter a voz do diretor, e o e-mail falso não tem mais erro de português.
- **O padrão é sempre o mesmo:** urgência, sigilo e um pedido de dinheiro ou de dados. Quem reconhece o padrão não precisa reconhecer a tecnologia.
- **A defesa que mais funciona é de processo, não de tecnologia:** confirmar por um segundo canal, nunca alterar dados de pagamento por mensagem e exigir dupla aprovação.
- **A ONG também pode ser a marca falsificada:** perfis e campanhas falsas pedindo doações em nome da organização.
- **Se o golpe aconteceu, a primeira hora importa.** Acione o banco imediatamente.

## Por Que ONGs Estão na Mira

Não é porque ONGs tenham muito dinheiro. É porque reúnem condições que os golpistas procuram:

- **Confiança como valor.** A cultura de colaboração faz a equipe responder rápido a um pedido de um dirigente ou de um parceiro.
- **Equipes pequenas e sobrecarregadas.** Uma só pessoa costuma cuidar de financeiro, comunicação e atendimento, sem ninguém para conferir.
- **Rotatividade de voluntários**, que ainda não conhecem os procedimentos nem as pessoas.
- **Exposição pública de rostos e vozes.** Dirigentes aparecem em vídeos, podcasts e eventos, material suficiente para imitar uma voz.
- **Dinheiro que circula por Pix, doações e repasses**, com pagamentos de valor médio que não chamam atenção.
- **Dados valiosos:** listas de doadores e de atendidos, que também servem a novos golpes.

O post sobre [cibersegurança em OSCs](/posts/cybersecurity-oscs-phishing-ransomware-lgpd) trata das ameaças tradicionais. Aqui o foco é o que a IA muda.

## O Que a IA Muda nos Golpes

| Antes | Agora |
|---|---|
| E-mail com erros de português que denunciavam a fraude | Texto fluente, no tom da ONG e com o contexto certo, montado com informações públicas |
| Mensagem de WhatsApp "Oi, sou o diretor, mudei de número" | O mesmo golpe, seguido de um áudio ou uma ligação com a voz clonada |
| Perfil falso malfeito | Perfil com fotos, textos e identidade visual copiados e atualizados com frequência |
| Um golpe por vez | Dezenas de tentativas personalizadas ao mesmo tempo |

Autoridades de outros países já alertam para esse movimento. O FBI, por exemplo, publicou alertas sobre criminosos que usam [mensagens de voz e textos gerados por IA para se passar por autoridades](https://www.ic3.gov/PSA/2025/PSA251219) e sobre o uso de [IA generativa em fraudes](https://www.ic3.gov/psa/2024/psa241203), inclusive com áudio e vídeo falsos de pessoas conhecidas. A recomendação central é a mesma: desconfiar de mensagens inesperadas, por mais convincentes que pareçam, e verificar por outro canal.

## Os Golpes Mais Prováveis Contra uma ONG

### 1. O falso dirigente (voz clonada ou mensagem)

**Como funciona:** o financeiro recebe uma mensagem de um número novo, com a foto do presidente ou da coordenadora, pedindo um pagamento urgente e sigiloso. Em versões mais recentes, vem acompanhada de um áudio ou ligação com a voz da pessoa.

**Sinais:** número novo, urgência, "não fale com ninguém", pedido de pagamento fora do fluxo normal, destinatário desconhecido.

**Defesa:** nenhuma ordem de pagamento vale por mensagem ou áudio. Confirme ligando para o número que você já tinha, ou pessoalmente.

### 2. A troca de chave Pix ou de conta de um fornecedor

**Como funciona:** chega um e-mail, aparentemente do fornecedor ou do contador, dizendo que os dados bancários mudaram. O e-mail é bem escrito, copia a assinatura e responde dentro de uma conversa real, quando a caixa de alguém foi invadida.

**Defesa:** mudança de dados de pagamento só vale depois de confirmada por **telefone conhecido**, nunca pelo contato que veio na própria mensagem. Registre a confirmação.

### 3. O phishing bem escrito

**Como funciona:** e-mails ou mensagens que imitam o banco, o Transferegov, um edital, a plataforma de doações ou o sistema da ONG, pedindo senha ou um clique. Como a escrita é boa, o critério "tem erro de português" deixou de servir.

**Defesa:** não clique; digite o endereço oficial. Ative a verificação em duas etapas, que protege mesmo quando a senha é entregue.

### 4. O falso doador ou o falso "pagamento por engano"

**Como funciona:** alguém faz uma doação de valor alto, "erra" e pede a devolução de parte do valor, ou envia um comprovante falso para obter o troco.

**Defesa:** só considere o dinheiro recebido quando aparecer na conta. Devolva apenas pelo canal formal do banco, nunca por um Pix novo a pedido do doador. A rotina de [recebimento de doações online](/posts/receber-doacoes-online-recorrentes-oscs-stripe) deve prever a conferência.

### 5. O falso órgão público, financiador ou fiscalização

**Como funciona:** contato dizendo que a prestação de contas tem pendência, que é preciso pagar uma taxa para liberar um recurso ou que um edital exige uma "inscrição" paga.

**Defesa:** confira o órgão por canais oficiais. Parcerias públicas seguem procedimentos conhecidos; urgência e cobrança por fora são sinais de alerta. O texto sobre [erros comuns na prestação de contas](/posts/erros-comuns-prestacao-contas-ong-como-evitar) ajuda a distinguir pendência real de pressão falsa.

### 6. O vídeo ou áudio falso de uma pessoa conhecida

**Como funciona:** um vídeo "do presidente da ONG" pedindo doações em uma conta pessoal, ou uma mensagem de áudio do "coordenador" pedindo que voluntários enviem documentos.

**Defesa:** a ONG publica os canais oficiais de doação em um lugar fixo e avisa que nunca pede doação em conta pessoal nem por mensagem privada. Voluntários confirmam qualquer pedido atípico com a coordenação por outro canal.

### 7. O perfil ou a campanha falsa em nome da ONG

**Como funciona:** copiam o nome, a logo e as fotos da ONG, criam um perfil ou uma página de vaquinha e recolhem doações. A vítima é o doador, e o dano de reputação é da ONG.

**Defesa:** monitore o nome da ONG nas redes, tenha um **endereço oficial de doação** bem divulgado (chave Pix em nome do CNPJ) e oriente doadores a conferir o nome do favorecido antes de confirmar. Denuncie perfis falsos às plataformas e avise a comunidade.

## Protocolo de Verificação em Quatro Passos

Um procedimento simples, aplicado sempre que houver pedido de dinheiro, de dados ou de acesso:

1. **Pare.** Urgência é a ferramenta do golpista. Nenhum pedido legítimo desaparece se esperar dez minutos.
2. **Mude de canal.** Confirme por um meio que você já conhecia, como ligar para o número salvo ou falar pessoalmente. Nunca use o contato que veio na mensagem.
3. **Faça uma pergunta que só a pessoa certa saberia.** Ou use uma **palavra-código** combinada previamente entre dirigentes e financeiro, que não esteja em nenhum lugar público.
4. **Peça a segunda aprovação.** Pagamentos fora da rotina exigem dois responsáveis, e nenhuma ordem se executa por mensagem.

Imprimir esses quatro passos e deixar perto do computador do financeiro custa quase nada.

## Regras de Processo Que Neutralizam a Maioria dos Golpes

- **Dupla aprovação** para pagamentos acima de um valor definido pela ONG e para qualquer alteração de dados bancários.
- **Lista de pagadores autorizados**, com quem pode ordenar o quê e por qual canal.
- **Mudança de dados de fornecedor** apenas com confirmação por telefone conhecido, registrada.
- **Conferência do nome do favorecido** na tela do Pix antes de confirmar.
- **Autenticação em dois fatores** em e-mail, banco, redes sociais e sistemas, e **uma pessoa, uma conta**, como explica o texto sobre [contas compartilhadas](/posts/contas-compartilhadas-ongs-riscos-seguranca).
- **Conciliação regular**, para perceber cedo qualquer saída estranha. Veja [despesas do projeto, comprovantes e conciliação](/posts/despesas-do-projeto-ong-comprovantes-conciliacao-conta).
- **Canais oficiais publicados** no site e nas redes, com a frase "nunca pedimos doação em conta pessoal".
- **Procedimentos escritos para voluntários**, porque são alvo fácil quando não sabem a quem recorrer.

## Reduzir a Exposição Sem Esconder a ONG

Vozes e rostos de dirigentes são públicos, e isso é parte do trabalho. Algumas medidas ajudam sem custo:

- Evite divulgar **organograma com e-mails e celulares pessoais** de quem decide pagamentos.
- Não publique **documentos com assinaturas, CPFs e dados bancários**.
- Tenha cuidado com **o que dirigentes compartilham sobre rotina e viagens**, que serve de contexto para um golpe convincente.
- Revise quais **funções** (e-mail institucional, WhatsApp) aparecem como contato público.

O guia sobre [WhatsApp e dados sensíveis](/posts/whatsapp-dados-sensiveis-ong-o-que-nao-enviar) mostra o que não deve circular por mensagem.

## Se o Golpe Aconteceu: a Primeira Hora

1. **Ligue para o banco imediatamente**, informe a transferência e peça o bloqueio e a devolução. O Pix tem o Mecanismo Especial de Devolução (MED), que, segundo a regra noticiada em 2026, permite pedir a devolução em até 80 dias, mas o dinheiro costuma sair da conta de destino em minutos. Confira a regra vigente no site do Banco Central e não espere.
2. **Registre a ocorrência** (boletim de ocorrência) e guarde prints, números, áudios e comprovantes.
3. **Troque as senhas** de e-mail, banco e sistemas, e encerre sessões ativas, se houver suspeita de invasão.
4. **Avise a diretoria** e os envolvidos, sem buscar culpados no primeiro momento.
5. **Avalie o que foi exposto.** Se dados de doadores ou de atendidos podem ter vazado, o caso passa a ser um incidente de dados. Siga o [plano de resposta a incidentes](/posts/incidente-seguranca-dados-ong-plano-de-resposta), que inclui avaliar a comunicação à ANPD e aos titulares (LGPD, art. 48).
6. **Comunique a comunidade** se o nome da ONG foi usado em campanha falsa, com o canal oficial correto.
7. **Aprenda com o caso:** que passo do protocolo faltou? Atualize o procedimento.

## Treinamento: Como Transformar Isso em Hábito

- **Cinco minutos em reunião**, com um exemplo por mês: "o que você faria se recebesse este áudio?".
- **Simulações simples:** o coordenador envia uma mensagem falsa de teste (avisando antes ou depois) para ver quem verifica.
- **Cultura de perguntar:** agradeça quem desconfiou, mesmo que fosse um pedido verdadeiro. Quem tem medo de parecer desconfiado paga o golpe.
- **Integração de voluntários:** inclua o protocolo no primeiro dia. O texto sobre [como integrar voluntários nos primeiros 30 dias](/posts/integrar-novos-voluntarios-ong-primeiros-30-dias) tem espaço para isso.

## Perguntas Frequentes

### Dá para saber se uma voz foi clonada por IA?

Nem sempre. As imitações melhoram rápido, e ouvir "com atenção" não é uma defesa confiável. Por isso, o critério é o processo: confirmar por outro canal, usar palavra-código e exigir a segunda aprovação, qualquer que seja a voz.

### O que é uma palavra-código e como usar?

É uma palavra ou frase combinada previamente entre poucas pessoas (dirigentes e financeiro, por exemplo), que não está em nenhum lugar público. Em pedidos urgentes por voz ou mensagem, a pessoa precisa dizê-la. Troque-a de tempos em tempos e se alguém sair da ONG.

### Meu e-mail institucional foi invadido. E agora?

Troque a senha, ative a verificação em duas etapas, encerre sessões ativas e verifique regras de encaminhamento automático criadas pelo invasor. Avise contatos que possam ter recebido mensagens falsas e avalie se houve exposição de dados pessoais.

### Posso recuperar o dinheiro de um Pix enviado a um golpista?

Pode ser possível, mas depende da rapidez. Acione o banco imediatamente e peça a devolução pelo MED. Não há garantia, porque o valor costuma ser movimentado rapidamente.

### Como proteger os doadores de perfis falsos da ONG?

Divulgue os canais oficiais em lugar fixo, use a chave Pix do CNPJ, oriente a conferir o nome do favorecido e denuncie perfis falsos às plataformas. Avise a comunidade quando um golpe em seu nome aparecer.

## Conclusão

A IA deixou os golpes mais bem-feitos, mas não mudou o que os faz funcionar: pressa, sigilo e um pedido fora da rotina. A defesa mais eficaz é um processo simples que a equipe cumpra sempre, com confirmação por outro canal, dupla aprovação, palavra-código e canais oficiais bem divulgados. Com isso, uma voz convincente deixa de ser suficiente para tirar dinheiro ou dados da ONG.

---

**Quer reduzir o risco com dados de atendidos e doadores concentrados em um sistema com controle de acesso e trilha de auditoria?** [Agende uma demonstração gratuita](https://wa.me/5511936180125?text=Olá!%20Gostaria%20de%20saber%20como%20o%20Nexus%20Social%20protege%20os%20dados%20e%20acessos%20da%20minha%20ONG.) e converse com a equipe.

Saiba mais sobre o [Nexus Social](https://nexussocial.com.br) e a gestão integrada para organizações sociais.

---

## Fontes e Referências

- [FBI IC3 — Alerta I-121925-PSA](https://www.ic3.gov/PSA/2025/PSA251219) — Mensagens de voz e textos gerados por IA usados para se passar por autoridades; orientação de verificar mensagens inesperadas (dezembro de 2025)
- [FBI IC3 — Alerta I-120324-PSA](https://www.ic3.gov/psa/2024/psa241203) — Criminosos usam IA generativa para facilitar fraudes, inclusive com áudio e vídeo falsos (dezembro de 2024)
- [Lei nº 13.709/2018 (LGPD) — Planalto](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm) — Segurança (art. 46) e comunicação de incidente (art. 48)
- Banco Central do Brasil — Pix e Mecanismo Especial de Devolução (MED): o prazo de 80 dias para pedir a devolução foi conferido em reportagens de 2026; confirme a regra vigente no site do Banco Central