A fraude de US$ 35 milhões com voz deepfake nos Emirados e o que veio depois

Resumo

O caso de deepfake ligado aos Emirados Árabes Unidos mais bem documentado é a fraude de janeiro de 2020, noticiada pela primeira vez pela Forbes em outubro de 2021. Um gerente de filial recebeu uma ligação de alguém que parecia ser um diretor da empresa que ele conhecia. E-mails do "diretor" e de um advogado chamado "Martin Zelner" reforçaram a ligação.[1] O gerente foi convencido a transferir cerca de US$ 35 milhões para uma suposta aquisição.[2][3] Investigadores dos Emirados disseram às autoridades dos Estados Unidos que foi usada a tecnologia chamada de "deep voice" (voz sintética) e que pelo menos 17 pessoas estavam envolvidas.[2][3][4] Muita coisa continua sem confirmação, inclusive quem foi a vítima e onde o gerente trabalhava. Não encontrei nenhum caso posterior confirmado nos Emirados em que deepfakes tenham sido usados especificamente contra advogados, escritórios de advocacia ou banqueiros. Desde então, as autoridades dos Emirados emitiram repetidos alertas sobre deepfakes e endureceram as regras de autenticação bancária.

O que diz o pedido apresentado à Justiça

O caso se tornou público por meio de um documento apresentado a um tribunal americano. O Ministério Público de Dubai havia pedido às autoridades americanas, por meio de uma solicitação de assistência jurídica mútua, ajuda para rastrear parte do dinheiro.[3][5] O pedido foi protocolado no Tribunal Distrital dos Estados Unidos para o Distrito de Colúmbia.[4] O jornalista da Forbes Thomas Brewster encontrou o documento e noticiou o caso em 14 de outubro de 2021.[2][3][6]

O documento, conforme citado em reportagens da Forbes e da CommsRisk, afirma o seguinte:

Em 15 de janeiro de 2020, o "gerente da filial da empresa vítima recebeu uma ligação telefônica que dizia ser da sede da empresa. A voz de quem ligou parecia a do diretor da empresa, e por isso o gerente da filial acreditou que a ligação era legítima."[3]
O gerente também recebeu e-mails que acreditava terem sido enviados pelo diretor. Quem ligou disse que a empresa estava prestes a adquirir outra e que "um advogado chamado Martin Zelner (Zelner) havia sido autorizado a coordenar os procedimentos da aquisição."[3]
Seguiram-se e-mails de "Zelner", entre eles "uma carta de autorização do diretor para Zelner". Quando Zelner pediu ao gerente "que transferisse US$ 35 milhões para várias contas como parte da aquisição, o gerente da filial seguiu suas instruções."[3]
"A investigação dos Emirados revelou que os réus haviam usado a tecnologia 'deep voice' para simular a voz do diretor."[3][4]

Os investigadores dos Emirados descreveram "um esquema complexo envolvendo pelo menos 17 réus conhecidos e desconhecidos". O dinheiro foi para contas em vários países.[4] O pedido específico aos Estados Unidos dizia respeito a cerca de US$ 400.000 que haviam ido para contas no Centennial Bank, nos Estados Unidos.[2][5][7]

O que está estabelecido

Uma autoridade do Ministério Público dos Emirados informou formalmente a um tribunal americano que uma voz clonada foi usada para autorizar transferências de cerca de US$ 35 milhões. Trata-se da conclusão dos próprios investigadores, apresentada em um documento judicial, e não de uma afirmação de uma empresa de segurança.
A fraude combinou uma voz clonada com o comprometimento de e-mail corporativo: e-mails forjados do "diretor" e de uma falsa identidade de advogado, além de uma carta de autorização falsificada.[8]
A investigação foi internacional. O dinheiro foi pulverizado por várias jurisdições, e os Emirados pediram ajuda aos Estados Unidos em relação aos US$ 400.000 rastreados no país.[4][7]
Quando foi divulgado, era apenas o segundo caso publicamente conhecido de fraudadores que usaram clonagem de voz para roubar dinheiro,[4][9] depois do caso da empresa de energia do Reino Unido, em 2019.[2]

O que continua sem confirmação ou pouco claro

A identidade e a localização da vítima. O documento não cita nem a empresa nem o banco. A reportagem original da Forbes descrevia um gerente de banco dos Emirados falando com um diretor de empresa. Depois da publicação, o Ministério das Relações Exteriores e da Cooperação Internacional dos Emirados disse à Forbes que a empresa afetada era uma companhia japonesa não identificada, embora os investigadores de Dubai tenham conduzido a apuração. Em maio de 2023, a Forbes atualizou a reportagem para descrever "um gerente de filial de uma empresa japonesa em Hong Kong".[2] O texto judicial citado nas reportagens fala em "gerente da filial da empresa vítima" e não em um banco. Portanto, não está claro se o gerente era um bancário que aprovava a transferência de um cliente ou um funcionário da própria empresa vítima, nem se ele estava nos Emirados ou em Hong Kong. Boa parte da cobertura secundária ainda diz "gerente de banco dos Emirados".

O valor efetivamente perdido. A Forbes descreve o roubo como de "até US$ 35 milhões".[2] Não foi divulgado quanto foi recuperado.

O papel de "Martin Zelner". Existe um advogado com esse nome nos Estados Unidos. A Forbes entrou em contato com ele e não recebeu resposta.[2] Nada no registro público sugere que ele tenha participado; a leitura mais provável é que seu nome tenha sido usado como identidade falsa. Essa inferência não está confirmada.

A tecnologia. "Deep voice" é o termo usado pelos investigadores. O documento não diz se a voz foi gerada em tempo real ou pré-gravada, nem quais ferramentas foram usadas.

O desfecho. Não encontrei nenhum registro público de prisões, acusações formais, condenações ou recuperação de valores. O Ministério Público de Dubai não respondeu à Forbes.[2][10]

O caso costuma ser confundido com a fraude contra a Arup em 2024, em parte porque a versão atualizada da Forbes situa o gerente em Hong Kong. São casos distintos. O da Arup envolveu uma videoconferência com vários participantes falsificados por deepfake e HK$ 200 milhões (cerca de US$ 25,6 milhões) em janeiro de 2024. O caso dos Emirados envolveu uma voz clonada, e-mails e um advogado falso, no valor de cerca de US$ 35 milhões, em janeiro de 2020.

O comentário oficial dos Emirados sobre o caso

Na declaração dada à Forbes, Hamid Al Zaabi, diretor-geral do Escritório Executivo de Combate à Lavagem de Dinheiro e ao Financiamento do Terrorismo dos Emirados, disse: "Mesmo em incidentes que acontecem fora dos Emirados, trabalharemos em estreita colaboração com órgãos policiais parceiros do mundo todo para identificar e detectar as pessoas que, de forma deliberada, recorrem a práticas enganosas, como a fraude de falsa identidade."[2]

Outros casos nos Emirados envolvendo advogados ou banqueiros

Não encontrei nenhum caso posterior publicamente confirmado em Dubai, Abu Dhabi ou em outra parte dos Emirados em que um vídeo deepfake ou uma voz clonada tenha sido usada contra um escritório de advocacia, um advogado ou um funcionário de banco. Sites comerciais, inclusive páginas de divulgação de escritórios de advocacia dos Emirados, descrevem golpes com voz de IA em termos gerais, mas não citam nenhum caso específico. A abordagem do "advogado falso" aparece, sim, nos dados dos Estados Unidos. Em agosto de 2025, o FBI alertou que escritórios de advocacia fictícios estavam tendo como alvo vítimas de golpes com criptomoedas com ofertas de recuperação dos valores. Os serviços jurídicos também responderam por 18% das queixas de ransomware em setores não críticos no relatório de 2025 do FBI.[11] Nenhuma das duas constatações diz respeito aos Emirados. Para os Emirados, o caso Zelner, de 2020, continua sendo o exemplo mais claro que se encaixa na descrição de um golpe de deepfake envolvendo um advogado e um banqueiro.

Como os Emirados responderam

Alertas públicos. Em novembro de 2025, o Conselho de Cibersegurança dos Emirados alertou, por meio da agência estatal de notícias WAM, que "a tecnologia de deepfake avança rapidamente com o progresso das ferramentas de IA, permitindo a replicação de vozes e aparências de pessoas reais com grande precisão". O órgão pediu que as pessoas conferissem com fontes oficiais os conteúdos atribuídos a figuras públicas ou instituições nacionais. Também reiterou a posição do Conselho de Mídia dos Emirados de que usar IA para retratar símbolos nacionais ou figuras públicas sem aprovação prévia viola os padrões de conteúdo de mídia.[12] O Conselho emitiu novos alertas sobre deepfakes em 2026, entre eles um em 6 de abril que a Polícia de Dubai replicou no X.[13] Em março de 2026, os Emirados disseram enfrentar de 500.000 a 700.000 tentativas de ataque cibernético por dia, algumas atribuídas a agentes ligados ao Irã que usam ferramentas de IA e deepfakes. O país informou um aumento de 32% no phishing no primeiro trimestre de 2026.[14] Em setembro de 2026, o chefe da segurança cibernética do governo dos Emirados, dr. Mohamed Al Kuwaiti, disse que um hacker exigiu mais de US$ 5 milhões depois de invadir uma empresa privada, e alertou para os deepfakes e os conteúdos manipulados.[15]

Policiamento. No lançamento do Mês da Conscientização sobre Cibersegurança, em outubro de 2026, a Polícia de Dubai anunciou uma unidade dedicada a crimes com IA e uma ferramenta de detecção de deepfakes. Autoridades pediram que os moradores denunciem invasões e tentativas de extorsão.[16] As vítimas podem registrar denúncias pela plataforma eCrime da Polícia de Dubai.[17]

Regras bancárias. O Banco Central dos Emirados (CBUAE) emitiu o Aviso 2025/3057 em maio de 2025. A norma exige que bancos e instituições financeiras licenciados abandonem progressivamente as senhas de uso único (OTP) enviadas por SMS e e-mail e as senhas estáticas na autenticação de clientes, com prazo até 31 de março de 2026.[18] A partir de julho de 2025, os bancos passaram a responder por fraudes em cartões com 3-D Secure nos casos em que ainda dependiam de senhas de uso único por SMS.[19] O aviso também exige monitoramento de transações em tempo real, capaz de bloquear ou questionar pagamentos suspeitos.[18] O Decreto-Lei Federal nº 6 de 2025, a nova lei do Banco Central, promulgada em 8 de setembro de 2025, torna os sistemas robustos de prevenção e detecção de fraudes um dever legal das instituições financeiras.[20] O Decreto-Lei Federal nº 10 de 2025 atualiza o marco de combate à lavagem de dinheiro.[19] O Banco Central também criou um Centro de Operações Antifraude centralizado.[21] Nenhuma dessas medidas cita os deepfakes nominalmente. Mas elas eliminam dois pontos fracos que a clonagem de voz explora: a confiança em uma voz reconhecida e a dependência de um único canal de verificação.

Legislação. Os Emirados não têm uma lei específica sobre deepfakes até o fim de 2026.[22] Fraudes com deepfake são processadas com base no Decreto-Lei Federal nº 34 de 2021 sobre o Combate a Boatos e Crimes Cibernéticos, nas disposições do Código Penal sobre fraude e na Lei de Proteção de Dados Pessoais (Decreto-Lei Federal nº 45 de 2021). Essa lei trata a imagem e os dados biométricos de uma pessoa como dados pessoais protegidos.[23] As regras do Conselho de Mídia abrangem representações não autorizadas de figuras públicas feitas com IA.

O que o caso mostra para bancos e escritórios de advocacia

Cada elemento da fraude de 2020 era algo em que um banco ou uma empresa é treinado para confiar: uma voz que o gerente conhecia, uma troca de e-mails, um advogado coordenando um negócio e uma autorização assinada. Os controles que a teriam impedido são os mesmos recomendados depois do caso Arup:

retornar a ligação para um número verificado de forma independente;
exigir que duas pessoas aprovem transferências de valor elevado;
confirmar a identidade de qualquer advogado pelos dados de contato divulgados publicamente pelo escritório, e não pela troca de e-mails;
tratar pedidos de sigilo em torno de uma "aquisição" como sinal de alerta, e não como motivo para pular as verificações.

Os bancos dos Emirados estão sendo levados nessa direção pela regulação. Os escritórios de advocacia, que muitas vezes repassam instruções de pagamento em transações, não têm uma regra setorial equivalente.