Veritiliz

Contexto global: a escala real do que está acontecendo

Ninguém contou a você que essa categoria de crime existia. É esse o ponto de partida. Não estatísticas. Não geografia. O fato de que a maioria das pessoas que caem no golpe do pirata fantasma o encontram sem nenhum conhecimento prévio de que algo assim fosse possível.

Ninguém avisou você. Nem pela empresa de tecnologia cujo logo foi roubado para o alerta do navegador. Nem pelo seu banco, cujo nome e telefone foram falsificados sem que ele soubesse. Nem por nenhuma campanha de conscientização que tenha chegado até você a tempo de mudar alguma coisa. Os sistemas que deveriam ter avisado ou não sabiam como fazer isso, ou subestimaram a escala, ou supuseram que outra pessoa estava cuidando disso.

Cada número acima representa apenas os casos denunciados. As polícias do mundo todo estimam que os casos denunciados correspondem a 10% a 15% das ocorrências reais. A escala verdadeira não é a dos números acima. É a desses números multiplicados por seis a dez.

A escala: o que os números realmente dizem

O golpe do pirata fantasma e o ecossistema mais amplo de fraude de suporte técnico a que ele pertence formam uma das categorias de crime organizado mais vastas e mais destrutivas financeiramente do mundo.

De onde isso vem

A principal infraestrutura de centrais de atendimento voltada para vítimas americanas e britânicas tem sua maior concentração documentada no sul da Ásia, sobretudo na Índia, com grandes polos operacionais em Noida, Calcutá e Gurugram. Não são operações de porão. São parques empresariais, com departamento de recursos humanos, programas estruturados de treinamento focados em neutralizar o sotaque e remuneração por desempenho.

Descrever a Índia como o único epicentro, porém, distorce a geografia completa da ameaça. A avaliação de 2024 da Europol sobre a ameaça do crime organizado na internet documenta especificamente uma atividade importante de centrais de atendimento ilegais no Leste Europeu, com operações notáveis identificadas na Bulgária e na Romênia, além de Israel.

Quem está sendo visado — uma superfície em expansão

A principal população de vítimas continua sendo a de adultos com mais de 60 anos em países ricos e de língua inglesa. A avaliação de 2024 da Europol, contudo, identifica as pequenas e médias empresas como uma categoria cada vez mais visada. Essas empresas movimentam com frequência fluxos financeiros importantes e operam com menos recursos dedicados à cibersegurança do que as grandes corporações. O vetor de ataque se adapta a isso: falsas ligações de suporte de TI, falsos alertas de segurança de softwares corporativos, falsidade ideológica de fornecedores de tecnologia da empresa.

Como o dinheiro desaparece

A arquitetura financeira é construída em torno de uma única exigência: os fundos precisam se tornar irrecuperáveis antes de a vítima perceber que sumiram.

  • Transferências bancárias: dispersadas na hora por redes de mulas financeiras em várias camadas.
  • Criptomoedas: movidas por saltos entre várias redes e processadas em serviços de mistura que embaralham algoritmicamente o histórico das operações.
  • Ouro e dinheiro vivo: recolhidos na casa da vítima por um mensageiro recrutado no próprio país e rapidamente escoados em negociantes de metais preciosos ou convertidos em criptomoeda. É uma solução analógica para defesas digitais.

A divergência regulatória que importa

No Reino Unido, as regras de reembolso obrigatório para a fraude de pagamento autorizado entraram em vigor em outubro de 2024. Elas obrigam os bancos a ressarcir as vítimas na maioria das situações e criam um incentivo econômico direto para que invistam em sistemas de detecção comportamental.

Nos Estados Unidos, o marco regulatório não impõe exigência comparável de reembolso. Os bancos negam com frequência o ressarcimento de transferências que a vítima autorizou tecnicamente, qualquer que tenha sido o engano psicológico envolvido. Para uma vítima americana, isso significa que o banco cujo identificador de chamadas foi usado para conquistar a confiança dela não tem nenhuma responsabilidade financeira legal pelo desfecho.

A aceleração pela inteligência artificial

A clonagem de voz por IA generativa já consegue reproduzir de forma convincente a voz de uma pessoa específica a partir de apenas três segundos de áudio. Essa voz clonada vem sendo usada nas operações de pirata fantasma para acrescentar uma camada de personalização aterrorizante à fase de falsidade ideológica de agente do governo. A criação de arquivos deepfake disparou para cerca de 8 milhões de ocorrências em 2025. O vídeo deepfake em tempo real também vem sendo usado em reuniões virtuais (Zoom, Teams) para permitir que operadores apareçam como policiais.

O que precisa mudar

O marco regulatório dos Estados Unidos precisa se alinhar ao padrão hoje estabelecido no Reino Unido: reembolso obrigatório para vítimas de fraude de pagamento autorizado obtido por meio de engano psicológico demonstrável.

As redes de publicidade digital — Google, Bing e equivalentes — precisam de normas aplicáveis de verificação de anunciantes. As normas atuais permitem que telefones fraudulentos apareçam acima dos resultados de busca legítimos com uma checagem mínima.

As operadoras de telecomunicações precisam concluir a implantação dos protocolos de autenticação do identificador de chamadas (STIR/SHAKEN) em todos os participantes da rede, para eliminar a capacidade de falsificação que faz a fase do agente do banco funcionar.

O treinamento dos caixas de banco precisa ser tratado como um mecanismo central de prevenção à fraude. Casos documentados mostram que caixas treinados, capazes de reconhecer as assinaturas comportamentais das vítimas do pirata fantasma, interromperam e impediram extrações na própria agência.

Fechando a lacuna

É preciso uma infraestrutura de informação ao público em larga escala, que possa ser encontrada por quem digita “aviso de vírus no computador telefone” num buscador e precisa cair em algo real antes de discar. Cada pessoa que lê esta página e a compartilha com alguém que possa precisar está fazendo esse trabalho. Não é glamouroso. É a única coisa que cresce rápido o bastante para importar.