O que é vishing? O golpe de voz com IA que clona em 3 segundos

Você recebe uma ligação. É a voz do seu chefe — o tom, a cadência, o sotaque, tudo bate. Ele pede que você transfira R$ 50 mil com urgência para fechar um contrato. Você hesita dois segundos e faz a transferência. Só horas depois descobre que o "chefe" era uma IA que clonou a voz dele com um clipe de 3 segundos tirado de uma reunião gravada.

Isso não é roteiro de série. É vishing — e os ataques cresceram 442% entre o primeiro e o segundo semestre de 2024, segundo o Global Threat Report 2025 da CrowdStrike. No primeiro semestre de 2025 o volume já havia superado o ano inteiro de 2024.

O que é vishing?

O que significa vishing?

Vishing é a abreviação de voice phishing — phishing executado por ligação de voz, seja via telefone fixo, celular ou VoIP. Em vez de email com link malicioso, o atacante liga fingindo ser alguém de confiança: banco, suporte técnico, Receita Federal, familiar ou chefe. O objetivo é o mesmo de qualquer engenharia social: extrair credenciais, senhas de uso único (OTP) ou convencer a vítima a transferir dinheiro.

O que mudou nos últimos dois anos é a ferramenta: modelos de clonagem de voz por IA tornaram o ataque cirúrgico. Um clipe de três segundos — de um vídeo público, podcast ou reunião gravada — já é suficiente para gerar uma réplica convincente da voz de qualquer pessoa.

Como a IA transformou o vishing

O vishing existe desde a década de 90, quando golpistas usavam discadores automáticos para fingir ser bancos. O diferencial atual está na clonagem de voz. Ferramentas disponíveis comercialmente — e versões clandestinas em fóruns criminosos — permitem que qualquer pessoa:

• Extraia um trecho de áudio de um vídeo do YouTube, de uma entrevista ou de uma reunião gravada;
• Alimente um modelo de síntese de voz;
• Gere áudio sintético em tempo real durante a ligação.

Em Q1 de 2025, os ataques de vishing cresceram 1.633% em relação ao trimestre anterior, segundo dados da CrowdStrike. Executivos do C-suite são o alvo mais frequente — mas qualquer pessoa com presença pública online (entrevistas, podcasts, vídeos institucionais) já forneceu material suficiente para ser clonada.

Como um ataque de vishing funciona na prática

O roteiro típico tem cinco etapas:

1. Reconhecimento (OSINT): o atacante coleta informações públicas — LinkedIn, redes sociais, site corporativo — para identificar hierarquia, jargão interno e relações entre pessoas.
2. Coleta de voz: extrai áudio da pessoa a imitar (geralmente um superior ou familiar) de fontes públicas.
3. Preparação de cenário: cria um pretexto com urgência e autoridade — "a auditoria começa amanhã", "meu celular quebrou, preciso de acesso agora".
4. Execução da ligação: usa VoIP com spoofing de número para fazer a chamada parecer vir de um ramal ou número legítimo.
5. Ação: a vítima transfere dinheiro, fornece código OTP ou instala software de "suporte remoto" — que é um RAT (Remote Access Trojan).

A urgência é o gatilho central. Ela impede que a vítima pause, verifique e consulte outras pessoas — exatamente como acontece no ataque de MFA fatigue, onde notificações em rajada treinam o usuário a aprovar por exaustão.

Casos reais confirmados

Em fevereiro de 2025, golpistas clonaram a voz do ministro da Defesa italiano Guido Crosetto e ligaram para líderes empresariais pedindo "resgate urgente de jornalistas sequestrados". A lista de alvos incluiu Giorgio Armani e Patrizio Bertelli, mas quem caiu foi o empresário Massimo Moratti: cerca de € 1 milhão transferidos para contas na Holanda e em Hong Kong. A polícia italiana conseguiu bloquear os valores depois.

Em abril de 2026, o grupo ShinyHunters usou vishing para comprometer a Charter Communications. Um funcionário foi convencido por ligação a fornecer acesso à conta Microsoft Entra da empresa — de onde os atacantes chegaram à instância Salesforce e exfiltraram os dados de 4,9 milhões de contas. O mesmo grupo é responsável por outros vazamentos de grande escala, como o incidente no Canvas LMS com 275 milhões de registros de alunos.

No Brasil, o vetor mais comum ainda é o falso suporte técnico bancário — a voz imita o tom de um atendente real — e variantes por ligação do golpe "oi mãe". Se você ainda não leu sobre essa mecânica, o post como se proteger do golpe "oi mãe" no WhatsApp cobre bem a engenharia social por trás.

Como detectar uma tentativa de vishing

Como saber se uma ligação é vishing?

Qualquer ligação que combine urgência, pedido de dado sensível e pressão para não desligar é suspeita — independentemente de a voz soar familiar.

Outros sinais de alerta:

• Chamada de número desconhecido afirmando ser alguém próximo;
• Qualidade de áudio levemente robótica ou com pausas atípicas;
• Pedido de código enviado por SMS ou app de autenticação — bancos legítimos nunca pedem esses códigos por telefone;
• Pressão para não confirmar via outro canal ("não fala com ninguém sobre isso agora");
• Solicitação de instalação de app ("para eu te ajudar melhor, instala esse aplicativo").

Como se proteger do vishing

Ações concretas, sem depender de instinto:

• Estabeleça uma palavra de código com família e colegas próximos. Se alguém ligar em situação de urgência, peça a palavra. IA clonada não sabe qual é.
• Desligue e retorne pelo número oficial. Nunca tome uma decisão na mesma ligação. Encerre a chamada, localize o número no site oficial e ligue de volta.
• Implemente verificação por segundo canal em processos financeiros. Qualquer transferência acima de um valor definido exige confirmação por outro meio (email, mensagem ou presencialmente).
• Nunca forneça OTP por telefone. Nenhum banco, operadora ou empresa legítima pede código de autenticação via ligação.
• Bloqueie a portabilidade do seu chip. Muitos ataques de vishing preparam o terreno para um SIM swap subsequente — solicite ao seu operador o bloqueio de portabilidade sem presença física na loja.

No ambiente corporativo, limitar a exposição pública de informações internas dificulta o reconhecimento inicial. O guia de OPSEC e privacidade digital cobre essa camada com mais profundidade.

A lição maior

Vishing explora um limite humano fundamental: reconhecemos voz como prova de identidade. A IA quebrou essa premissa. A defesa não é tecnológica — é processual. Verificação por segundo canal, palavra de código combinada com antecedência e a cultura de "posso confirmar antes de agir?" são mais eficazes do que qualquer filtro de chamadas.

A urgência que o atacante injeta na ligação é exatamente o sinal para desacelerar. Se a situação "não pode esperar 5 minutos para verificar", é quase certo que é golpe.