A IA usada pelo crime não é mais esperta que a sua: é a mesma IA, só que sem freio. Em 2026 ela custa de zero a US$ 50 por mês, roda em cima de modelos comerciais conhecidos e já aparece em quase metade das fraudes financeiras registradas no Brasil.
Cenário ilustrativo, montado a partir dos padrões de fraude descritos pela Febraban e por pesquisadores de segurança.
São 14h de uma terça-feira em Passo Fundo (RS). Cláudio, gerente financeiro de uma transportadora, recebe um áudio no WhatsApp. É a voz do sócio, com o mesmo jeito de falar e as mesmas pausas, pedindo o pagamento urgente de um fornecedor novo de diesel. O sócio está numa reunião em outra cidade, sem celular. O áudio foi gerado a partir de vídeos públicos dele no Instagram, e o roteiro foi escrito por um modelo malicioso de IA. Em segundos, R$ 45 mil saem via Pix para uma conta laranja.
A Febraban já deu nome a isso: golpe do CEO 2.0. O que mudou de 2023 para cá não foi a ideia do golpe, e sim o custo de executá-lo.
O que são modelos maliciosos de IA
São modelos de linguagem construídos ou adaptados para fins ofensivos. Em vez de recusar pedidos de golpe, malware ou phishing, eles atendem. Hoje existem três tipos:
O WormGPT original, de julho de 2023, foi construído sobre o modelo aberto GPT-J e vendido em fóruns como alternativa "sem censura" ao ChatGPT. Saiu do ar após exposição pública, mas o nome virou marca.
A Cato Networks mostrou em 2025 duas versões do WormGPT que eram apenas o Grok (xAI) e o Mixtral (Mistral) com um jailbreak escondido no prompt de sistema. Em outubro de 2026, a ThreatDown (Malwarebytes) rastreou três vitrines criminosas, Kriminal, DadGPT e uma nova versão do WormGPT, e encontrou o mesmo fornecedor por trás de todas: o OpenRouter, um gateway legítimo que dá acesso a centenas de modelos.
Em julho de 2026, a ThreatDown contou mais de 6.000 modelos no Hugging Face com rótulos como "uncensored" e "abliterated", somando mais de 22 milhões de downloads em 30 dias. Rodando localmente, não deixam rastro para nenhum provedor bloquear.
| Característica | Chatbot comercial (ChatGPT, Claude, Gemini) | Ferramenta maliciosa (WormGPT, KawaiiGPT) |
|---|---|---|
| Filtros | Recusa pedidos de golpe e malware; contas são banidas | Sem filtros ou com jailbreak fixo |
| Modelo por trás | Próprio | Muitas vezes um modelo comercial ou aberto "emprestado" |
| Onde é vendido | Site oficial | Telegram, fóruns e, cada vez mais, sites comuns indexados no Google |
| Monitoramento de abuso | Equipes de inteligência de ameaças publicam relatórios | Nenhum |
Quanto custam e como funcionam
O mercado se profissionalizou: há página de preços, teste grátis e suporte. Os valores abaixo vêm de pesquisas publicadas. Desconfie de tabelas que circulam sem fonte.
| Ferramenta | O que faz | Preço divulgado | Situação |
|---|---|---|---|
| WormGPT 4 | Phishing sem erros, notas de resgate e scripts de ransomware funcionais | US$ 50/mês ou US$ 220 vitalício | Ativo desde set/2025, centenas de assinantes no Telegram (Unit 42) |
| KawaiiGPT | Phishing, movimentação lateral e roubo de dados | Grátis (GitHub) | Ativo, instala em cerca de 5 minutos no Linux (Unit 42) |
| Kriminal / DadGPT | Chat "sem recusas" para qualquer finalidade | Assinatura (valores variam) | Ativos na web aberta, sobre Grok, Mistral e Llama (ThreatDown, out/2026) |
| FraudGPT | Páginas falsas, phishing e fraude com cartões | ~US$ 200/mês (anúncio de 2023) | Marca antiga, ainda copiada por revendedores |
| WormGPT original | Texto de golpe e trechos de malware | € 60 a € 100/mês | Encerrado em 2023; nome reaproveitado por clones |
Do chat ao malware que se reescreve
Até 2024, a IA ajudava o criminoso a escrever o ataque. Desde 2025, ela passou a fazer parte do próprio ataque.
Malware que consulta IA em tempo real. O Google Threat Intelligence Group identificou em 2025 famílias como o PROMPTFLUX, que chama a API do Gemini para reescrever o próprio código periodicamente e escapar do antivírus, e o PROMPTSTEAL, usado por hackers russos contra alvos na Ucrânia. O Google bloqueou as contas envolvidas, mas a técnica está documentada.
Um operador fazendo o trabalho de uma equipe. O relatório de ameaças da Anthropic de setembro de 2026 descreve operações desarticuladas entre dezembro de 2025 e agosto de 2026 em sete áreas, de ciberataques a golpes financeiros. A ThreatDown relata o caso de um atacante sem experiência em sistemas industriais que, fazendo reconhecimento com ajuda de IA, chegou ao painel de controle de uma empresa de água em Monterrey, no México. O ataque falhou.
A consequência para quem compra segurança é direta: antivírus baseado em "lista de vírus conhecidos" perde força contra código que muda a cada execução. A detecção precisa olhar o comportamento do programa.
O risco novo: roubarem a sua chave de IA
Se a sua empresa usa API da OpenAI, Anthropic, Google ou outra, a chave virou alvo. O nome do golpe é LLMjacking: o criminoso rouba a credencial, usa a IA paga por você (inclusive para montar ferramentas como as acima) e a conta chega no seu cartão.
Segundo o Google, o preço médio de contas de IA roubadas no mercado clandestino mais que dobrou ao longo de 2026. E em 21 de outubro de 2026, a versão 1.107.0 do LiteLLM, biblioteca popular para conectar sistemas a vários provedores de IA, foi publicada com um programa que roubava chaves de API, credenciais de nuvem e senhas. Foi o segundo comprometimento do pacote no ano.
O cenário no Brasil em números
| Indicador | Dado | Fonte |
|---|---|---|
| Crescimento do uso de deepfake em fraudes (2024→2025) | +830% | VU / Globant, set/2026 |
| Participação do deepfake nas fraudes identificadas | 0,1% (mar/2025) → 6,5% (2026) | VU |
| Fraudes financeiras de 2025 com alguma ferramenta de IA | 42,5% | VU |
| Prejuízo com golpes de IA a bancos (jul/2025 a abr/2026) | R$ 1,8 bilhão | VU |
| Profissionais que admitem poder cair em deepfake de executivo | 61% | KnowBe4, jul/2026 |
| Golpe da falsa central / falso funcionário (1º sem. 2025) | 139 mil registros, +196% | Febraban Tech |
O ponto fraco brasileiro não é tecnológico: é validar identidade com dados estáticos. CPF, RG e data de nascimento já circulam vazados, e o WhatsApp segue sendo usado como canal de confiança para aprovar pagamento.
Anatomia de um golpe de voz clonada
O ataque mais comum contra empresas brasileiras não explora falha no servidor, e sim no comportamento humano. Ele costuma seguir três etapas:
O criminoso junta poucos segundos de fala do dono ou diretor em vídeos públicos no Instagram, LinkedIn ou YouTube.
Um chatbot sem filtros escreve o roteiro usando nomes reais de fornecedores, obtidos em dados públicos de CNPJ, notas vazadas ou perfis da equipe.
O áudio chega pelo WhatsApp, muitas vezes de um número novo "porque o celular quebrou", com urgência e pedido de sigilo.
Processo vence ferramenta
Para empresas que operam no Brasil, proteção não se resume a instalar um antivírus. A Redação do Algoritmo Diário avalia que a defesa eficaz em 2026 combina processos rígidos de pagamento com detecção comportamental, nessa ordem de prioridade.
As empresas brasileiras ainda tratam o WhatsApp como um canal de "fé pública". É um erro. Para qualquer movimentação acima de um valor combinado, ele deve ser tratado como canal de baixa confiança. Nenhuma tecnologia substitui a regra: "se um áudio pede dinheiro, eu desligo e ligo de volta para o número que já tenho salvo". Foi uma pergunta fora do roteiro que barrou a tentativa de golpe com a voz clonada do CEO da Ferrari, em 2024.
Guia de decisão por perfil de empresa
Combine uma palavra-código com família e funcionários-chave e ative a verificação em duas etapas do WhatsApp. Áudio pedindo dinheiro sem a palavra-código: ignore e ligue de volta.
Exija dupla aprovação no app do banco para Pix acima de R$ 500 e proíba por escrito alterar dados bancários de fornecedor sem confirmação por telefone já cadastrado.
Treine a equipe com simulações de áudio falso e troque antivírus só por assinatura por detecção comportamental (EDR/XDR), já que o malware atual muda a cada execução.
Use MFA resistente a phishing (chave física ou passkey) para administradores, limite de gasto e rotação nas chaves de API de IA, e revise dependências após incidentes como o do LiteLLM.
FAQ: perguntas frequentes sobre modelos maliciosos de IA
Usar a ferramenta para invadir sistemas ou aplicar golpes é crime. A Lei 12.737/2012 (Lei Carolina Dieckmann) pune a invasão de dispositivo e também quem produz, vende ou distribui programa feito para permitir essa invasão. Golpes com dados obtidos por meio eletrônico se enquadram na fraude eletrônica do Código Penal, com pena de 4 a 8 anos desde a Lei 14.155/2021.
Nem sempre. Antivírus por assinatura reconhece código já catalogado, e o malware gerado ou reescrito por IA muda a cada versão. Soluções de detecção comportamental (EDR/XDR) observam o que o programa faz, não como ele se parece.
De ouvido, cada vez menos: 90% dos profissionais brasileiros dizem que já é difícil saber em que confiar, segundo a KnowBe4. O caminho seguro não é detectar o áudio, e sim confirmar o pedido por outro canal antes de pagar.
Trate a chave de API como senha de banco: limite de gasto no painel do provedor, uma chave por sistema, nada de chave em código público e troca imediata se houver suspeita de vazamento.