Golpe com voz clonada por inteligência artificial: quem responde pelo prejuízo?

Uma ligação chega de um número desconhecido. Do outro lado, a voz parece ser de um filho, de um familiar, do chefe ou de alguém próximo. A pessoa demonstra urgência, menciona informações verdadeiras e pede uma transferência imediata. A voz, a forma de falar e até determinadas expressões parecem autênticas.

O problema é que aquela pessoa nunca fez a ligação.

Com o avanço da inteligência artificial, criminosos já conseguem utilizar registros de voz disponíveis em redes sociais, vídeos, entrevistas e mensagens para produzir áudios falsos convincentes. O golpe combina tecnologia com engenharia social: a voz sintética cria confiança, enquanto a urgência reduz o tempo que a vítima teria para verificar a história.

Quando o dinheiro é transferido, surge a pergunta mais importante: quem deve suportar o prejuízo? O fraudador é o responsável direto, mas pode ser difícil identificá-lo ou recuperar os valores. Por isso, a análise jurídica costuma alcançar também bancos, instituições de pagamento, plataformas digitais, empresas que fornecem ferramentas de inteligência artificial e outros participantes do ambiente tecnológico.

A resposta não é automática. A responsabilidade depende da falha concreta de cada agente, do nexo entre essa falha e o prejuízo, das medidas de segurança disponíveis e da rapidez com que a fraude foi comunicada.

O que é a clonagem de voz?

A clonagem de voz, também chamada de deepfake de áudio, utiliza inteligência artificial para produzir uma fala sintética que imita características de uma pessoa real. O sistema pode reproduzir elementos como ritmo, entonação, timbre e maneira de se expressar.

O Radar Tecnológico sobre deepfakes publicado pela Autoridade Nacional de Proteção de Dados explica que essas tecnologias podem combinar a reprodução do tom de voz com a síntese de texto, aumentando a credibilidade do conteúdo artificial.

Isso significa que ouvir uma voz conhecida deixou de ser uma forma segura de confirmar a identidade de alguém. A gravação pode ter sido criada artificialmente, editada ou retirada de outro contexto.

Nem todo uso dessa tecnologia é ilícito. A clonagem pode ser empregada, com autorização e controles adequados, em acessibilidade, produção audiovisual, dublagem e outras atividades legítimas. O problema jurídico surge quando a identidade vocal é utilizada sem consentimento para enganar, obter vantagem, violar direitos ou provocar prejuízo.

Como esse tipo de golpe acontece?

O golpe normalmente reúne três elementos.

O primeiro é uma amostra da voz. Ela pode estar disponível em vídeos públicos, entrevistas, transmissões, publicações ou mensagens obtidas indevidamente.

O segundo é a coleta de informações sobre a vítima e a pessoa imitada. Redes sociais, vazamentos de dados e perfis públicos podem revelar nomes, relações familiares, rotina profissional e acontecimentos recentes. Esses elementos ajudam a construir uma história aparentemente verdadeira.

O terceiro é a pressão emocional. O contato costuma transmitir urgência, dificuldade ou necessidade de sigilo. O objetivo é impedir que a vítima encerre a conversa e procure a pessoa verdadeira por outro canal.

A tecnologia, portanto, não atua sozinha. O deepfake fornece a aparência de autenticidade, enquanto a engenharia social explora confiança, medo de deixar alguém desamparado e necessidade de agir rapidamente.

A pessoa que teve a voz clonada responde pelo golpe?

Em regra, não.

Quem teve a voz reproduzida sem consentimento também é vítima. Não existe responsabilidade apenas porque o fraudador escolheu imitar aquela pessoa.

A voz integra a identidade individual e pode ser protegida pelos direitos da personalidade previstos no Código Civil. Dependendo do modo como for tratada, também pode constituir dado pessoal e, quando utilizada como característica biométrica vinculada a uma pessoa, dado pessoal sensível sujeito à Lei Geral de Proteção de Dados.

A própria ANPD alerta que fotografias, vídeos e registros de voz divulgados em determinado contexto não podem ser considerados automaticamente livres para reutilização em finalidades completamente diferentes. A publicidade de um conteúdo não elimina os princípios da finalidade, necessidade, segurança, transparência e boa-fé.

Além de não responder pelo prejuízo causado pelo criminoso, a pessoa imitada pode buscar:

interrupção do uso indevido de sua voz;

remoção de perfis, anúncios e conteúdos fraudulentos;

preservação dos registros necessários à identificação dos responsáveis;

indenização por danos materiais e morais, quando demonstrados;

comunicação pública para impedir que outras pessoas sejam enganadas.

A situação seria diferente apenas se existisse prova de participação consciente da pessoa imitada no esquema.

O fraudador é o primeiro responsável

O autor do golpe responde civilmente pelos prejuízos que causou. Os artigos 186 e 927 do Código Civil estabelecem o dever de reparar o dano decorrente de ato ilícito.

Na esfera criminal, a utilização de voz clonada para induzir uma pessoa a transferir dinheiro pode caracterizar fraude eletrônica. A Lei nº 14.155/2021 inseriu no artigo 171, § 2º-A, do Código Penal uma forma mais grave de estelionato quando a vítima é induzida a erro por redes sociais, contatos telefônicos, mensagens eletrônicas ou meio fraudulento semelhante.

Outros delitos podem ser investigados conforme a forma de obtenção dos dados, eventual invasão de dispositivo, utilização de documentos falsos, abertura de contas e participação de outras pessoas.

O problema prático é que o fraudador pode utilizar perfis falsos, contas de terceiros e estruturas destinadas a dificultar sua identificação. A responsabilidade dos demais participantes passa a ser discutida justamente quando seus serviços contribuíram para o golpe ou deixaram de impedir um prejuízo que deveria ter sido detectado.

O banco sempre deve devolver o dinheiro?

Não necessariamente. A simples existência de um golpe não transforma o banco em responsável automático.

Por outro lado, também não é correto afirmar que a instituição fica livre de responsabilidade sempre que a própria vítima confirma a transferência. A autorização formal da operação não encerra a análise.

O Código de Defesa do Consumidor impõe responsabilidade objetiva ao fornecedor quando o serviço não oferece a segurança que legitimamente se espera. A Súmula nº 479 do Superior Tribunal de Justiça estabelece que as instituições financeiras respondem objetivamente pelos danos decorrentes de fraudes e delitos inseridos no risco da atividade bancária.

O ponto decisivo é verificar se o banco cumpriu seus deveres de prevenção, identificação e contenção.

Em outubro de 2025, o STJ decidiu que bancos e instituições de pagamento devem indenizar vítimas de engenharia social quando falhas de segurança permitem transações suspeitas. A Corte destacou que os sistemas devem considerar valor, horário, localização, intervalo entre operações, sequência de pagamentos e contratação de empréstimos atípicos.

Em decisão divulgada no Informativo de Jurisprudência de julho de 2026, o STJ também reconheceu que a demora injustificada em bloquear valores e acionar o Mecanismo Especial de Devolução após a comunicação imediata da fraude pode caracterizar defeito do serviço.

No golpe com voz clonada, podem indicar falha bancária:

transferência incompatível com o histórico do correntista;

sequência repentina de operações para novos destinatários;

contratação de crédito seguida de transferência;

acesso por dispositivo ou localização incomum;

ausência de confirmação reforçada diante de risco elevado;

conta destinatária aberta ou movimentada sem controles adequados;

demora no bloqueio depois da comunicação;

ausência de tentativa eficiente de rastreamento e recuperação.

Por outro lado, a responsabilidade pode ser afastada se a instituição demonstrar que a operação estava dentro do padrão, que os mecanismos de segurança funcionaram corretamente e que o prejuízo decorreu exclusivamente de conduta externa ao serviço.

Cada caso depende dos extratos, do perfil financeiro, dos alertas produzidos pelo sistema e das providências adotadas depois da reclamação.

A vítima pode perder o direito porque acreditou na voz?

Não existe essa consequência automática.

Golpes de engenharia social são construídos para parecer verdadeiros. A utilização da voz de uma pessoa próxima aumenta significativamente a capacidade de convencimento. A análise não pode ser feita apenas com a afirmação de que a vítima deveria ter percebido a fraude.

Em novembro de 2025, o STJ afastou a culpa concorrente de uma consumidora que instalou aplicativo falso. O Tribunal entendeu que, havendo falha no sistema bancário e movimentações incompatíveis com o perfil da conta, o simples fato de a vítima ter sido enganada não justificava a divisão do prejuízo.

Isso não significa que toda vítima vencerá uma ação. O artigo 14, § 3º, do CDC permite afastar a responsabilidade do fornecedor quando ele comprovar inexistência de defeito ou culpa exclusiva do consumidor ou de terceiro.

A pergunta correta não é apenas “quem realizou a transferência?”, mas também:

o banco poderia ter identificado a anormalidade?

houve falha na autenticação?

a instituição reagiu com rapidez?

existiam sinais de conta destinatária fraudulenta?

o serviço ofereceu a segurança esperada?

A instituição que recebeu o dinheiro também pode responder?

Pode, desde que exista uma falha relacionada à abertura, manutenção ou movimentação da conta utilizada no golpe.

Contas criadas com documentos falsos, cadastros inconsistentes ou movimentações incompatíveis podem revelar deficiência nos procedimentos de identificação e prevenção à fraude. Também pode haver responsabilidade quando a instituição recebe alerta suficiente e deixa de adotar providências possíveis para bloquear ou rastrear o valor.

Isso não significa que todo banco destinatário seja automaticamente responsável. É necessário demonstrar qual dever foi descumprido e como essa falha contribuiu para a perda ou impediu a recuperação.

Em uma ação judicial, pode ser necessário obter documentos cadastrais da conta recebedora, registros de autenticação, dispositivos utilizados, histórico de movimentação e providências tomadas depois da notificação.

As redes sociais e plataformas de mensagens podem ser responsabilizadas?

A responsabilidade das plataformas depende da função desempenhada no golpe.

Uma rede social pode ter sido utilizada para coletar a voz, criar um perfil falso, veicular anúncio fraudulento ou abordar a vítima. Um aplicativo de mensagens pode ter servido apenas como canal privado de comunicação. Essas situações não são juridicamente idênticas.

Em 2025, o Supremo Tribunal Federal definiu novos parâmetros para a responsabilidade dos provedores e reconheceu a inconstitucionalidade parcial do artigo 19 do Marco Civil da Internet. Em 2026, o Decreto nº 12.975 ampliou deveres de cuidado, transparência, prevenção e enfrentamento de fraudes digitais.

As plataformas que intermedeiam conteúdo de terceiros devem adotar medidas adequadas para reduzir riscos sistêmicos e enfrentar a circulação massiva de conteúdos criminosos, anúncios ilícitos e golpes. Contudo, a existência isolada de um perfil ou mensagem fraudulenta não demonstra, por si só, uma falha sistêmica.

Para analisar a responsabilidade, devem ser considerados:

existência de perfil falso denunciado anteriormente;

demora injustificada na remoção;

utilização de publicidade ou impulsionamento pago;

repetição de contas com o mesmo padrão;

falhas no canal de denúncia;

ausência de medidas mínimas contra falsificação de identidade;

perda de registros depois de pedido de preservação.

Serviços de mensagens privadas possuem tratamento diferenciado em razão do sigilo das comunicações. Ainda assim, podem existir deveres de preservação e fornecimento de registros mediante ordem judicial, nos limites do Marco Civil da Internet.

A empresa que forneceu a inteligência artificial responde?

Essa é uma das questões mais novas e complexas do tema.

O simples fato de uma ferramenta de uso geral ter sido utilizada ilegalmente por terceiro não torna automaticamente seu fornecedor responsável por todo prejuízo. É necessário examinar a função da empresa, o grau de controle sobre a geração, os riscos previsíveis e as salvaguardas disponíveis.

A responsabilidade pode ser discutida quando, por exemplo:

a empresa tratou dados de voz sem hipótese legal adequada;

o serviço permitiu clonagem de identidade sem mecanismos mínimos de proteção;

não havia procedimento eficiente para denúncia e interrupção do abuso;

a ferramenta foi apresentada ou estruturada para imitar pessoas reais sem autorização;

a empresa manteve o conteúdo ou a conta mesmo depois de tomar conhecimento do uso fraudulento;

houve falha de segurança ou vazamento de dados sob sua guarda.

O Radar da ANPD chama atenção para os princípios da prevenção, segurança, necessidade e responsabilização. O documento também ressalta que dados publicados na internet não podem ser reutilizados indiscriminadamente para treinar modelos ou reproduzir identidades.

Ainda não existe jurisprudência brasileira consolidada que distribua, de forma uniforme, a responsabilidade entre vítima, banco, plataforma e fornecedor de inteligência artificial em golpes de voz clonada. Por isso, a análise deve utilizar as normas já existentes sobre proteção de dados, relações de consumo, direitos da personalidade, responsabilidade civil e segurança digital.

A tecnologia é nova, mas o dano não ocorre fora do Direito.

Como provar que a voz foi clonada?

Essa pode ser a etapa mais difícil do processo.

Uma voz aparentemente artificial não será reconhecida como deepfake apenas pela impressão da vítima. Da mesma forma, um resultado produzido por ferramenta automática de detecção não deve ser tratado como prova definitiva.

A ANPD informa que a análise de deepfakes pode considerar metadados, artefatos digitais, padrões acústicos e outras inconsistências. O mesmo estudo alerta que as ferramentas de detecção ainda possuem margens de erro, especialmente diante de arquivos comprimidos, gravações de baixa qualidade e técnicas novas. A verificação mais segura combina tecnologia, análise contextual e supervisão humana.

Por isso, a vítima deve preservar:

arquivo original do áudio, sempre que disponível;

conversa completa, com identificação da conta e horários;

número telefônico, endereço do perfil e links utilizados;

registros de chamada;

aparelho no qual o conteúdo foi recebido;

comprovantes das transferências;

extratos anteriores e posteriores ao golpe;

protocolos bancários e horários das comunicações;

respostas das instituições e plataformas;

boletim de ocorrência;

identificação de testemunhas que acompanharam os fatos.

É importante evitar editar, recortar ou converter o arquivo original. Encaminhamentos e capturas de tela podem ser úteis, mas não substituem o material em sua forma mais completa.

A ata notarial comprova que o áudio é verdadeiro ou falso?

Não necessariamente.

A ata notarial registra aquilo que o tabelião conseguiu observar em determinado momento. Ela pode documentar a existência da mensagem, o perfil utilizado, o número, a data aparente e o conteúdo disponível na tela.

Contudo, a ata não transforma automaticamente o áudio em verdadeiro nem identifica tecnicamente uma clonagem. Para essa finalidade, pode ser necessária perícia especializada.

Essa distinção é importante porque a força da ata notarial está na documentação do estado do conteúdo, e não na realização de uma perícia acústica.

Quais dados podem ser obtidos judicialmente?

Quando a autoria é desconhecida, pode ser necessário ajuizar medida para preservar e obter registros.

Conforme o caso, podem ser solicitados:

dados cadastrais da conta ou perfil utilizado;

registros de acesso e endereços de conexão;

informações sobre dispositivos;

registros bancários das contas destinatárias;

documentos apresentados na abertura das contas;

histórico de alterações do perfil;

dados sobre anúncios e pagamentos;

registros de denúncia e moderação;

informações mantidas pelo fornecedor da ferramenta de inteligência artificial.

O pedido deve ser específico e proporcional. O Marco Civil, a LGPD, o sigilo bancário e as garantias processuais estabelecem limites para o acesso.

Em determinadas situações, uma tutela de urgência pode ser necessária para preservar registros, interromper a circulação do conteúdo, bloquear perfis falsos ou impedir a dissipação dos valores.

O que a vítima deve fazer imediatamente?

A rapidez pode aumentar as chances de contenção do prejuízo.

As providências mais importantes são:

comunicar imediatamente o banco por canal oficial;

solicitar bloqueio, contestação e protocolo detalhado;

em caso de Pix, pedir o acionamento do Mecanismo Especial de Devolução;

informar a instituição destinatária, quando possível;

preservar áudios, conversas, comprovantes e registros;

registrar boletim de ocorrência;

avisar a pessoa cuja voz foi clonada;

denunciar o perfil ou número utilizado;

alterar senhas e revisar dispositivos se houver suspeita de invasão;

procurar orientação jurídica para avaliar medidas urgentes.

O Banco Central informa que o MED é uma ferramenta destinada a ajudar vítimas de fraude a tentar recuperar transferências Pix. O mecanismo não garante a devolução, pois depende da análise e da existência de recursos que possam ser bloqueados.

O que pode ser pedido em uma ação judicial?

Os pedidos dependem do papel de cada réu e das consequências do golpe. Entre as medidas possíveis estão:

declaração de inexistência de empréstimo ou dívida fraudulenta;

restituição dos valores transferidos;

cancelamento de operações e encargos;

indenização por danos materiais;

indenização por danos morais, quando o caso ultrapassar mero aborrecimento;

remoção de perfil ou conteúdo fraudulento;

preservação e exibição de registros;

identificação dos responsáveis;

bloqueio cautelar de valores;

interrupção do uso indevido da voz e da identidade.

Em relações de consumo, pode ser requerida a inversão do ônus da prova, conforme o artigo 6º, VIII, do CDC. O Código de Processo Civil também admite distribuição dinâmica do ônus quando uma parte possui maior facilidade para produzir determinada prova.

Isso é especialmente relevante porque bancos e plataformas detêm registros técnicos que normalmente não estão ao alcance do consumidor.

Como reduzir o risco de cair no golpe?

A voz não deve ser utilizada como único fator de autenticação.

Ao receber pedido urgente de dinheiro:

encerre o contato e ligue para a pessoa em número já conhecido;

confirme a história por outro canal;

faça uma pergunta cuja resposta não esteja disponível em redes sociais;

desconfie de pedidos de sigilo ou pressão para agir imediatamente;

confira cuidadosamente o nome do destinatário;

evite confirmar informações pessoais durante o contato;

converse com familiares sobre um método de confirmação para situações urgentes.

Essas medidas não transferem para a vítima toda a responsabilidade pela segurança. Bancos, plataformas e fornecedores continuam obrigados a cumprir os deveres correspondentes aos serviços que prestam.

Conclusão

O golpe com voz clonada mostra que reconhecer a voz de alguém já não é suficiente para confirmar sua identidade. A inteligência artificial pode reproduzir características pessoais e tornar a engenharia social muito mais convincente.

O fraudador é o responsável direto, mas não é necessariamente o único. O banco pode responder quando permite operações atípicas, falha na autenticação ou demora na contenção. A instituição destinatária pode ser responsabilizada por deficiência na abertura ou no monitoramento de contas. Plataformas e fornecedores de inteligência artificial podem responder quando descumprem deveres de segurança, prevenção, proteção de dados ou reação a denúncias.

Nenhuma dessas responsabilidades deve ser presumida de forma genérica. É necessário demonstrar a falha, o dano e o nexo causal.

Também não se pode tratar a vítima como culpada apenas porque acreditou em uma voz conhecida. A fraude foi construída exatamente para explorar confiança e urgência. A jurisprudência mais recente do STJ exige que instituições financeiras utilizem a própria tecnologia para identificar transações incompatíveis com o comportamento normal do cliente.

Em processos dessa natureza, preservar a prova desde o primeiro momento pode ser tão importante quanto identificar o responsável. O áudio original, os registros bancários, os protocolos e a cronologia dos fatos ajudam a transformar uma narrativa difícil de comprovar em um conjunto técnico de evidências.

Até o próximo artigo.

Com respeito e compromisso com a informação clara,

Dra. Heloísa de Santis

Advogada

Este artigo não substitui uma consulta jurídica nem representa promessa de resultado.