Quando a fé, a voz e a inteligência artificial entram no radar do cibercrime

O “Golpe da Bíblia” e a evolução da engenharia social: quando a fé, a voz e a inteligência artificial entram no radar do cibercrime

A engenharia social continua sendo uma das ferramentas mais eficientes utilizadas por criminosos para obter informações, induzir comportamentos e aplicar fraudes. Diferentemente de ataques que exploram exclusivamente vulnerabilidades de sistemas, esse tipo de ameaça procura explorar um elemento muito mais complexo de proteger: o comportamento humano.

O chamado “Golpe da Bíblia”, que passou a circular com força nas redes sociais e ganhou destaque após um alerta divulgado no Piauí, insere-se justamente nesse contexto. Segundo relatos divulgados sobre o caso, criminosos realizariam ligações telefônicas utilizando uma abordagem religiosa para estabelecer confiança com potenciais vítimas. Durante a conversa, o interlocutor buscaria induzir respostas afirmativas, como “sim”, “concordo”, “aceito” ou “permito”, com a alegação de que essas gravações poderiam posteriormente ser utilizadas em tentativas de fraude. O alerta foi atribuído ao delegado Herdeson Bernardo, da Polícia Civil do Piauí.

Do ponto de vista de um analista de cibersegurança, entretanto, é necessário fazer uma distinção importante.

Existe uma diferença entre um criminoso tentar gravar a voz de uma vítima para utilizá-la em uma fraude e a afirmação de que uma simples gravação contendo uma palavra como “sim” permitiria automaticamente contratar um empréstimo ou realizar uma operação bancária.

A segunda afirmação não deve ser tratada como fato comprovado sem evidências técnicas e casos documentados. Checagens publicadas sobre o assunto apontaram que não existem evidências de uma campanha amplamente comprovada no Brasil em que apenas respostas gravadas durante uma ligação sejam suficientes para autorizar empréstimos ou contratos financeiros. Além disso, sistemas modernos de autenticação bancária normalmente utilizam mecanismos adicionais de validação.

Isso, porém, não significa que o alerta deva ser simplesmente ignorado.

A gravação indevida de voz continua sendo um risco real no contexto de inteligência artificial generativa, clonagem de voz, fraude de identidade e engenharia social. A voz pode constituir um elemento de informação utilizado em ataques mais complexos, principalmente quando combinada com dados pessoais obtidos de outras fontes.

O problema, portanto, não está necessariamente em uma palavra isolada.

O verdadeiro risco está na combinação entre voz, dados pessoais, inteligência artificial, engenharia social e falhas nos processos de autenticação.

 

O primeiro elemento do ataque: a construção da confiança

Todo ataque de engenharia social precisa superar uma barreira inicial: a desconfiança da vítima.

Um criminoso que liga para uma pessoa e imediatamente solicita informações bancárias provavelmente encontrará resistência.

Por isso, os golpes modernos costumam utilizar estratégias de aproximação.

A abordagem religiosa possui uma característica particularmente sensível.

Ela pode criar uma atmosfera de confiança, empatia e identificação.

Uma pessoa recebe uma ligação inesperada e ouve uma mensagem aparentemente positiva.

O criminoso não começa falando sobre dinheiro.

Não solicita imediatamente senha.

Não pede código de autenticação.

Em vez disso, inicia uma conversa.

Esse detalhe é fundamental.

O ataque pode ser dividido em etapas:

aproximação → construção de confiança → indução de respostas → coleta de informações → utilização posterior dos dados.

O objetivo é reduzir a percepção de risco.

Essa técnica não é exclusiva de golpes religiosos.

Criminosos também utilizam:

• falsas pesquisas;

• promoções;

• doações;

• campanhas beneficentes;

• supostos sorteios;

• serviços de suporte técnico;

• falsas centrais bancárias;

• oportunidades profissionais.

O mecanismo é semelhante.

Primeiro, cria-se uma narrativa.

Depois, explora-se a confiança.

 

A engenharia social como exploração do comportamento humano

A engenharia social não depende necessariamente de conhecimento técnico avançado.

O atacante pode utilizar informações simples para convencer a vítima.

Ele pode explorar:

• medo;

• urgência;

• curiosidade;

• solidariedade;

• fé;

• autoridade;

• confiança.

No caso do chamado “Golpe da Bíblia”, o elemento religioso funciona como mecanismo de aproximação.

Isso não significa que qualquer pessoa que faça uma ligação religiosa esteja cometendo uma fraude.

O ponto de atenção está na utilização de uma narrativa aparentemente legítima para induzir a vítima a fornecer informações ou realizar ações sem compreender o contexto real.

A segurança digital precisa considerar que o ser humano também é parte da superfície de ataque.

 

A voz como dado de identidade

A voz sempre foi utilizada como elemento de identificação.

Centrais telefônicas podem reconhecer padrões vocais.

Sistemas de autenticação podem utilizar características biométricas.

Assistentes virtuais conseguem distinguir usuários.

Serviços financeiros podem utilizar biometria de voz em determinados processos.

Esse avanço tecnológico criou uma nova categoria de informação sensível.

A voz deixou de ser apenas um meio de comunicação.

Ela também pode ser tratada como um dado associado à identidade.

Isso gera uma preocupação legítima.

Se criminosos conseguem obter gravações de uma pessoa, essas amostras podem ser utilizadas em tentativas de fraude, principalmente quando combinadas com técnicas modernas de inteligência artificial.

 

A inteligência artificial mudou o risco da clonagem de voz

No passado, reproduzir a voz de uma pessoa exigia equipamentos especializados e conhecimento técnico.

Atualmente, modelos de inteligência artificial conseguem produzir vozes sintéticas cada vez mais realistas.

Com amostras suficientes, sistemas de clonagem podem tentar reproduzir características como:

• timbre;

• ritmo;

• entonação;

• pronúncia;

• pausas;

• características regionais.

Isso permite criar conteúdos de áudio que podem parecer convincentes para uma pessoa que conhece o indivíduo original.

O risco aumenta quando a vítima possui informações pessoais expostas na internet.

Um criminoso pode combinar:

voz sintética + nome + CPF vazado + endereço + informações bancárias obtidas ilegalmente.

O resultado pode ser uma tentativa de fraude muito mais sofisticada.

Por esse motivo, a proteção da voz deve ser analisada dentro de um contexto maior de proteção de identidade digital.

 

O mito do “sim” gravado e a realidade técnica

Uma das afirmações mais difundidas nas mensagens relacionadas ao “Golpe da Bíblia” é a ideia de que uma gravação contendo apenas uma resposta como “sim” permitiria contratar automaticamente um empréstimo ou autorizar uma operação financeira.

Essa interpretação precisa ser analisada com cautela.

Uma gravação isolada não equivale, necessariamente, a uma autorização válida.

Instituições financeiras normalmente utilizam mecanismos complementares para autenticação, que podem envolver:

• identificação do cliente;

• senha;

• aplicativo;

• token;

• biometria;

• confirmação de dispositivo;

• análise de risco;

• autenticação multifator.

Portanto, é incorreto afirmar que uma pessoa está automaticamente vulnerável a um empréstimo apenas porque respondeu “sim” durante uma ligação.

A checagem publicada pelo Boatos.org também destacou que não existem evidências de que o suposto golpe funcione dessa maneira e que sistemas de biometria vocal são mais complexos do que simplesmente gravar palavras isoladas.

Isso não significa que criminosos não possam tentar gravar conversas.

Significa apenas que a gravação, por si só, não deve ser confundida com uma autorização financeira automática.

 

Onde está o verdadeiro perigo?

O risco real está na utilização da voz como parte de um conjunto maior de informações.

Imagine um criminoso que possui:

• nome completo;

• CPF;

• data de nascimento;

• endereço;

• número de telefone;

• informações sobre familiares;

• histórico profissional;

• gravações de voz.

Isoladamente, cada elemento pode não ser suficiente.

Quando combinados, entretanto, podem permitir uma abordagem muito mais convincente.

O criminoso pode telefonar para uma instituição fingindo ser a vítima.

Pode utilizar informações reais para responder perguntas.

Pode utilizar uma voz sintética para aumentar a credibilidade.

Pode tentar convencer um atendente humano.

Pode também utilizar engenharia social para contornar procedimentos.

É nesse cenário que a ameaça se torna relevante.

 

A voz pode ser utilizada em ataques de vishing

O termo vishing, derivado de “voice phishing”, descreve golpes realizados por meio de chamadas de voz.

O atacante tenta obter informações ou induzir a vítima a realizar alguma ação.

Exemplos incluem:

• falsa central bancária;

• falso suporte técnico;

• suposta investigação policial;

• falsa cobrança;

• falso atendimento de operadora;

• falsa promoção.

O “Golpe da Bíblia” pode ser compreendido dentro de uma lógica semelhante de engenharia social, embora sua narrativa utilize um contexto religioso.

A técnica muda.

O objetivo permanece semelhante:

ganhar confiança para obter vantagem.

 

A manipulação psicológica é mais importante que a tecnologia

Um erro comum é imaginar que golpes sofisticados dependem exclusivamente de ferramentas tecnológicas avançadas.

Na realidade, muitas fraudes continuam utilizando técnicas psicológicas simples.

O criminoso pode:

• iniciar uma conversa amigável;

• estabelecer um vínculo;

• fazer perguntas aparentemente inocentes;

• obter informações;

• utilizar os dados posteriormente.

A inteligência artificial pode potencializar o ataque, mas não substitui a engenharia social.

Ela aumenta a capacidade do criminoso.

A personalização torna a abordagem mais convincente.

 

O risco da combinação entre IA e vazamentos de dados

A evolução dos ataques ocorre principalmente quando diferentes fontes de informação são combinadas.

Um banco de dados vazado pode fornecer dados pessoais.

Redes sociais podem fornecer fotografias e informações familiares.

Vídeos públicos podem fornecer amostras de voz.

A inteligência artificial pode transformar esses elementos em uma tentativa de personificação.

Esse cenário é muito mais preocupante do que a ideia de que uma palavra isolada poderia autorizar uma transação.

A verdadeira ameaça está na construção de uma identidade falsa suficientemente convincente para passar por diferentes etapas de validação.

 

O ataque pode envolver múltiplos canais

Uma fraude moderna raramente precisa permanecer em um único canal.

O criminoso pode começar por telefone.

Depois, enviar uma mensagem por WhatsApp.

Em seguida, utilizar um e-mail.

Finalmente, encaminhar um link.

Essa técnica é conhecida como ataque multicanal.

Por exemplo:

ligação → coleta de informações → WhatsApp → envio de link → captura de credenciais.

O primeiro contato pode parecer inofensivo.

O segundo estabelece confiança.

O terceiro executa o ataque.

Por isso, não se deve analisar cada interação isoladamente.

É necessário observar a sequência.

 

Por que idosos são alvos frequentes

Fraudes desse tipo podem atingir qualquer pessoa.

Entretanto, idosos podem ser particularmente vulneráveis.

Muitos criminosos exploram:

• confiança em autoridades;

• menor familiaridade tecnológica;

• receio de contrariar interlocutores;

• confiança em instituições;

• isolamento social.

A utilização de elementos religiosos pode aumentar ainda mais a capacidade de persuasão em determinados públicos.

Isso reforça a necessidade de campanhas de conscientização direcionadas.

Famílias devem conversar com parentes idosos sobre segurança digital.

Não basta instalar antivírus.

É necessário desenvolver conhecimento.

 

A conscientização precisa evitar o alarmismo

Um aspecto importante para profissionais de segurança é não transformar alertas em pânico.

Dizer que “qualquer pessoa que responder sim terá sua voz clonada e perderá todo o dinheiro” pode gerar medo e desinformação.

A comunicação adequada precisa ser equilibrada.

O correto é explicar:

• golpes telefônicos existem;

• gravações de voz podem ser utilizadas em tentativas de fraude;

• inteligência artificial aumenta a capacidade de clonagem;

• informações pessoais podem ser combinadas;

• sistemas financeiros possuem mecanismos adicionais de segurança;

• uma palavra isolada não equivale automaticamente a uma autorização financeira.

Essa abordagem informa sem exagerar.

 

Como se proteger de ligações suspeitas

A primeira recomendação é simples:

não forneça informações pessoais a desconhecidos.

Também é aconselhável evitar confirmar dados como:

• nome completo;

• CPF;

• data de nascimento;

• endereço;

• número de conta;

• informações bancárias.

Se alguém ligar oferecendo uma mensagem religiosa, uma pesquisa ou qualquer outro serviço inesperado, não há necessidade de permanecer na chamada.

A pessoa pode simplesmente agradecer e encerrar.

Isso não significa desconfiar da religião ou de instituições legítimas.

Significa proteger informações pessoais.

 

Nunca confie apenas no número que aparece na tela

Uma técnica conhecida como spoofing pode permitir que o criminoso manipule a identificação apresentada ao destinatário.

Por isso, o fato de uma chamada apresentar um determinado número não garante sua autenticidade.

Se alguém afirma representar um banco, empresa ou instituição religiosa, o ideal é encerrar a ligação e procurar o contato oficial.

O princípio é simples:

não valide a identidade utilizando exclusivamente o canal fornecido pelo próprio interlocutor.

 

A autenticação precisa ser multifatorial

Para instituições financeiras, a principal defesa contra fraudes de identidade é utilizar múltiplos fatores.

Uma única informação nunca deveria ser suficiente para autorizar operações sensíveis.

É possível combinar:

• senha;

• dispositivo confiável;

• biometria;

• token;

• autenticação multifator;

• análise comportamental.

Mesmo que um elemento seja comprometido, os demais podem impedir a fraude.

 

O papel da biometria comportamental

Sistemas modernos podem avaliar não apenas quem é o usuário, mas como ele se comporta.

Podem ser analisados:

• velocidade de digitação;

• padrão de navegação;

• dispositivo utilizado;

• localização;

• horário;

• comportamento transacional.

Uma tentativa de acesso fora do padrão pode gerar uma pontuação de risco elevada.

Esse mecanismo reduz a dependência de um único fator.

 

A necessidade de autenticação baseada em risco

A autenticação moderna precisa considerar contexto.

Uma operação realizada:

• em dispositivo conhecido;

• em horário habitual;

• dentro do comportamento esperado;

pode apresentar risco menor.

Uma operação realizada:

• em novo dispositivo;

• de localização incomum;

• após alteração de senha;

• acompanhada de comportamento suspeito;

deve receber maior escrutínio.

Essa abordagem é conhecida como risk-based authentication.

Ela é especialmente importante em um cenário de clonagem de identidade.

 

O que fazer se você recebeu uma ligação suspeita

A recomendação é:

• Não forneça dados pessoais.

• Não confirme informações sensíveis.

• Não forneça códigos de autenticação.

• Não clique em links enviados posteriormente.

• Encerre a chamada.

• Procure a instituição por um canal oficial.

• Monitore suas contas.

• Em caso de prejuízo, comunique imediatamente a instituição financeira e registre ocorrência.

Se houver suspeita de fraude envolvendo dados pessoais, também é importante revisar senhas e verificar acessos recentes às contas.

 

Como empresas devem reagir

As instituições financeiras precisam considerar que a voz pode ser utilizada como parte de uma tentativa de personificação.

Isso não significa abandonar biometria vocal.

Significa não tratá-la como único fator.

Processos críticos devem utilizar autenticação adicional.

Além disso, sistemas de detecção de fraude devem analisar:

• origem da chamada;

• histórico do cliente;

• comportamento;

• dispositivo;

• valor da operação;

• localização;

• frequência das transações.

A inteligência artificial pode ajudar a identificar padrões anômalos.

 

O futuro da autenticação

A evolução da inteligência artificial provavelmente tornará mais difícil confiar exclusivamente em características biométricas isoladas.

Isso vale para:

• voz;

• rosto;

• imagem;

• vídeo.

Se uma característica puder ser reproduzida artificialmente, ela não deve ser utilizada sozinha.

O futuro será provavelmente baseado em múltiplos sinais.

A autenticação poderá considerar simultaneamente:

quem você é + o dispositivo que utiliza + seu comportamento + o contexto da operação.

Essa abordagem é muito mais resistente a ataques de personificação.

 

A principal lição para a cibersegurança

O chamado “Golpe da Bíblia” deve ser compreendido dentro de um cenário mais amplo.

O risco não está simplesmente em atender uma ligação.

Também não existe evidência suficiente para afirmar que dizer uma palavra específica durante uma conversa automaticamente permite contratar empréstimos.

O verdadeiro problema é a evolução da engenharia social.

Criminosos estão constantemente procurando maneiras de transformar interações comuns em oportunidades de coleta de informações.

A voz é apenas mais um elemento.

O telefone é apenas um canal.

A religião é apenas o pretexto.

O objetivo final pode ser a exploração da identidade da vítima.

 

Conclusão

O chamado “Golpe da Bíblia” representa um exemplo importante de como a engenharia social pode explorar elementos de confiança presentes na sociedade para tentar obter informações de vítimas. O caso ganhou repercussão após um alerta atribuído à Polícia Civil do Piauí sobre ligações nas quais criminosos utilizariam uma abordagem religiosa para induzir pessoas a fornecer respostas que poderiam ser gravadas.

Entretanto, uma análise responsável exige separar o alerta de segurança das afirmações não comprovadas que passaram a circular nas redes sociais. Não há evidências suficientes para afirmar que uma simples gravação contendo palavras como “sim”, “aceito” ou “concordo” seja, por si só, capaz de autorizar automaticamente um empréstimo ou uma operação financeira. Sistemas de autenticação bancária normalmente utilizam mecanismos adicionais de validação, e verificações independentes apontaram a ausência de comprovação de que o golpe funcione exatamente dessa maneira.

Isso não elimina o risco.

A evolução da inteligência artificial tornou a clonagem de voz uma possibilidade tecnológica concreta e aumentou a importância da proteção de dados biométricos. Uma amostra de voz pode, em determinados contextos, ser combinada com informações pessoais obtidas em vazamentos, redes sociais e outras fontes para construir ataques de personificação mais sofisticados.

A principal ameaça, portanto, não é uma palavra isolada.

É a combinação de informações.

Um criminoso pode reunir dados pessoais, número de telefone, informações financeiras e amostras de voz para construir uma identidade falsa mais convincente. A inteligência artificial pode potencializar esse processo, permitindo criar conteúdos sintéticos e reproduzir características da vítima.

Por essa razão, a segurança moderna precisa abandonar a dependência de um único fator de autenticação. Nenhuma voz, senha, fotografia ou informação isolada deveria ser considerada suficiente para validar uma operação de alto risco.

A proteção deve combinar autenticação multifator, análise comportamental, inteligência de risco, verificação de dispositivos e monitoramento contínuo.

Para o cidadão, a principal recomendação é simples: não forneça informações pessoais a contatos inesperados e não confie automaticamente em uma ligação apenas porque o interlocutor parece educado, religioso ou bem-intencionado.

Para as empresas, o desafio é ainda maior. É necessário compreender que a identidade digital tornou-se um dos principais alvos do cibercrime e que a inteligência artificial está ampliando as possibilidades de fraude.

O “Golpe da Bíblia” serve, portanto, como um alerta sobre uma tendência mais ampla: a engenharia social está evoluindo de golpes genéricos para abordagens personalizadas, emocionalmente direcionadas e potencialmente apoiadas por inteligência artificial.

A melhor defesa não é viver em estado permanente de medo, mas desenvolver uma cultura de segurança baseada em verificação.

Quando uma ligação inesperada solicita uma informação, a pergunta correta não deve ser apenas “isso parece verdadeiro?”.

A pergunta deve ser:

“Tenho como verificar, por outro canal independente, quem realmente está falando comigo e por que essa informação está sendo solicitada?”

Essa mudança de comportamento, combinada com tecnologias modernas de autenticação e detecção de fraude, representa uma das formas mais eficazes de reduzir os riscos associados à nova geração de ataques de engenharia social.

 

Referências bibliográficas

• G1 Piauí. Golpe da Bíblia. Reportagem indicada como fonte principal para o tema: Acessar a reportagem do G1 Piauí
• Boatos.org. Golpe da Bíblia está sendo aplicado para o roubo de biometria de voz das pessoas? Análise de verificação de fatos sobre as alegações relacionadas à gravação de voz e supostas fraudes financeiras. Acessar a checagem do Boatos.org