FraudGPT: o que é a IA dos golpes e como proteger a empresa

PARTE DO GUIA Inteligência artificial: o que é, como funciona e como usar na empresa

FraudGPT: o que é a ferramenta

O FraudGPT é um bot de IA oferecido para fins criminosos. No relatório original da Netenrich ↗^[1], assinado pelo pesquisador Rakesh Krishnan, a ferramenta aparece descrita como voltada “exclusivamente para fins ofensivos”, como escrever e-mails de spear phishing, criar ferramentas de invasão e praticar fraude com cartão. O nome imita o ChatGPT para atrair compradores, sem qualquer ligação com a OpenAI.

Ferramentas como essa usam o mesmo tipo de tecnologia dos assistentes legítimos: um LLM, modelo de linguagem de grande escala, que gera texto a partir de um prompt. O conteúdo sobre inteligência artificial explica essa base. No FraudGPT, o que muda é o uso declarado e a forma de venda.

FraudGPT: como funciona

O FraudGPT funciona como um serviço por assinatura: o comprador paga, recebe acesso e digita pedidos em linguagem comum, como faria em qualquer assistente de texto. Segundo a Netenrich, o anúncio prometia estas funções:

• escrever código malicioso e criar malware difícil de detectar;
• gerar páginas de phishing e cartas de golpe;
• encontrar vulnerabilidades e vazamentos;
• localizar sites vulneráveis a fraude com cartão.

O vendedor, identificado pelo apelido canadiankingpin12, alegava mais de 3.000 vendas e avaliações confirmadas, número que vem da propaganda dele e não tem verificação independente. A Netenrich atualizou o relatório em 18/12/2025 sem informar se a ferramenta continua ativa. O mercado de IAs criminosas segue em funcionamento: em novembro de 2025, pesquisadores da Unit 42, da Palo Alto Networks, descreveram novas ferramentas do tipo à venda em fóruns e no Telegram, segundo a SecurityWeek ↗^[2] de 25/11/2025.

Assistentes comerciais, como os produtos comparados em chatgpt ou copilot, são vendidos por empresas identificadas e com termos de uso públicos. O FraudGPT era anunciado justamente pela ausência de restrição.

FraudGPT: quanto custava a assinatura

A assinatura do FraudGPT começava em US$ 200 por mês e chegava a US$ 1.700 por ano, segundo o relatório da Netenrich de 25/07/2023. São preços anunciados em canais criminosos, sem valor como referência de mercado. O que eles mostram é a barreira de entrada: com esse preço, produzir golpe em escala custa o mesmo que uma assinatura de software comum.

FraudGPT: por que importa para uma empresa

O FraudGPT importa para uma empresa porque melhora justamente a parte do golpe que a equipe usava para desconfiar, o texto. Erro de português e tom estranho costumavam denunciar um e-mail de phishing; com IA generativa, a mensagem falsa chega bem escrita, no tom de um fornecedor ou de um diretor.

O prejuízo já aparece em estatística oficial, por enquanto com dado dos Estados Unidos. Em 2025, o centro de denúncias de crimes na internet do FBI (IC3) registrou 22.364 queixas ligadas a IA, com perdas ajustadas de US$ 893 milhões, segundo o Internet Crime Report 2025 ↗^[3], primeiro relatório anual do órgão com seção dedicada à IA.

O relatório de ameaças da OpenAI ↗^[4], de 25/02/2026, descreve que criminosos costumam usar IA junto com ferramentas tradicionais, como sites e perfis em redes sociais, e que podem usar modelos diferentes em cada etapa da operação. Para a empresa, isso significa um golpe que junta texto gerado por IA, página falsa e conta de mensagem.

Num exemplo ilustrativo, o financeiro recebe um e-mail do “fornecedor” avisando que a conta bancária mudou, com o nome certo do contato, o número do último pedido e um texto sem erro. Parte desses dados vem do próprio site: a lista de usuários que um WordPress mal configurado expõe pode virar lista de alvos de phishing direcionado, como apontou o laudo de um pentest numa fintech que a gente atende. O que protege a empresa nesse caso é a regra de confirmar a mudança por telefone já cadastrado, antes de qualquer pagamento. O segundo canal precisa ser um contato que já está no cadastro, com a ligação feita pela empresa, porque voz e vídeo também podem ser falsificados com IA: em 2024, um funcionário da Arup em Hong Kong transferiu HK$ 200 milhões (cerca de US$ 25 milhões) depois de uma videochamada em que o diretor financeiro e colegas eram imitações geradas por IA, segundo a CNN, em 16/05/2024.

Como proteger a empresa de golpes feitos com IA

A proteção contra golpes com IA segue a orientação do CERT.br na Cartilha de Segurança para Internet ↗^[5]: desconfie, informe-se e verifique. Dentro da empresa, essa orientação vira processo.

1. Defina que mudança de dado bancário, pedido de pagamento urgente e troca de senha só valem depois de confirmação por um segundo canal já conhecido.
2. Treine a equipe com exemplos de phishing bem escritos, porque o erro de português já não serve como sinal confiável.
3. Peça ao responsável técnico SPF e DKIM em todos os serviços que enviam e-mail em nome do domínio (servidor de e-mail, CRM, site, ferramenta de newsletter) e DMARC, que dificulta o uso do seu domínio em mensagem falsa. O DMARC começa em monitoramento (p=none), com relatórios, e evolui para quarentena ou rejeição, quando passa a proteger de fato. Revise os três a cada mudança de DNS ou de provedor: um registro SPF duplicado, por exemplo, invalida a autenticação de todos os remetentes do domínio. Desde 01/02/2024, o Gmail exige SPF ou DKIM de todos os remetentes e DMARC de quem envia mais de 5.000 mensagens por dia, segundo a ajuda do Google Workspace ↗^[6].
4. Ative a verificação em duas etapas em e-mail, redes sociais e sistemas financeiros e, onde houver, use chaves de acesso (passkeys) ou chaves físicas, que não funcionam em página falsa. Código por SMS ou por aplicativo pode ser capturado justamente pelo tipo de página que o FraudGPT produz; a CISA, agência de cibersegurança dos Estados Unidos, recomenda autenticação resistente a phishing no guia “Implementing Phishing-Resistant MFA”, de outubro de 2022.
5. Crie um canal simples para a equipe reportar mensagem suspeita e responda a cada reporte.

Ferramentas legítimas também ajudam a equipe a entender o risco. Um assistente como o microsoft copilot ou o google gemini pode ajudar a montar o roteiro do treinamento e a explicar sinais de golpe. Para os exemplos, use mensagens reais já recebidas pela empresa, sem dados pessoais; assistentes legítimos costumam recusar o pedido de escrever um e-mail de phishing.

Erros mais comuns

• Achar que golpe se reconhece pelo erro de português.
• Tratar o FraudGPT como produto da OpenAI por causa do nome.
• Confirmar mudança de pagamento pelo mesmo canal que pediu a mudança.
• Treinar a equipe uma vez e não repetir.
• Colar dado de cliente em assistente de IA sem política de uso definida.

Como medir a proteção

A proteção contra golpes pode ser medida por indicadores simples, acompanhados por trimestre: percentual da equipe que clica em simulação de phishing, tempo médio entre o recebimento e o reporte de mensagem suspeita e quantidade de reportes por mês. A esses três indicadores soma-se um indicador técnico, acompanhado todo mês: o percentual de mensagens do domínio aprovadas no DMARC, lido nos relatórios agregados.

OPINIÃO DE ESPECIALISTA

“Ferramenta de IA ajuda, no máximo, a montar o treinamento contra golpe. O que segura uma fraude é processo e configuração que ninguém pula. No pentest de uma fintech que atendemos, o laudo mostrou que a lista de usuários exposta pelo próprio WordPress servia de insumo para phishing direcionado. Na troca de DNS de um cliente, encontramos dois registros SPF convivendo: a validação falhava para todos os remetentes do domínio. Nenhum assistente teria avisado. O que continua dependendo da empresa: confirmar pagamento por um canal já cadastrado, revisar SPF, DKIM e DMARC a cada mudança de DNS e usar chave de acesso onde houver.”

Perguntas frequentes

Para entender o contexto

O FraudGPT mostra o uso criminoso de uma tecnologia que também sustenta ferramentas de trabalho do dia a dia. O conteúdo sobre inteligência artificial apresenta essa base e os usos legítimos da IA generativa.