A fraude com inteligência artificial encontrou um alvo preferido: quem organiza eventos, porque movimenta dinheiro rápido, para muitos fornecedores e quase sempre com pressa. Três esquemas se repetem: o cliente falso que encomenda um evento com documentação impecável, o e-mail que troca os dados bancários no meio da produção e o convite que na verdade pede permissões sobre a sua conta. A defesa é de método, não de ferramenta: nenhuma instrução de pagamento se aceita por um único canal, nenhum adiantamento sai antes de o dinheiro do cliente estar realmente compensado e cada evento tem um único lugar oficial onde seus dados são publicados. Se você contrata um parceiro em outro país, essa verificação precisa funcionar nos dois sentidos.
O que se disse em Nova York e por que vale para a região
A fraude ocupou uma sessão inteira do Skift Meetings Forum, realizado em 22 de setembro em Nova York. Segundo a cobertura da Skift Meetings, Nelson Lawson, sócio da Information Secured, explicou que o setor de eventos é especialmente vulnerável porque funciona à base de urgência, e deu dois números: só 1% dos casos de cibercrime termina em condenação, e a média levada de uma pequena ou média empresa gira em torno de 250.000 dólares. A regra dele foi direta: assumir que tudo é fraude até verificar.
Duas semanas antes, o mesmo veículo analisou um alerta do FBI sobre criminosos que se passavam por profissionais de eventos e enviavam links disfarçados de convite. O golpe não rouba a senha: leva a vítima a autorizar um aplicativo na própria conta, o que, segundo o FBI, pode driblar a senha e a autenticação em dois fatores e continuar ativo mesmo depois da troca de senha.
O quadro geral pesa. Uma análise de dados do FBI publicada pela Insurance Business coloca as perdas por comprometimento de e-mail corporativo (o e-mail que se passa por um fornecedor ou um diretor) em pouco mais de 3 bilhões de dólares em 2025, com 24.768 casos registrados só nos Estados Unidos.
Nada disso fica por lá. Todo evento entre países junta os mesmos ingredientes: sinais pagos a fornecedores, pagamentos entre moedas, cliente e parceiro que nunca se viram pessoalmente e equipes trabalhando pelo celular.
Os três esquemas que já circulam
O cliente falso com documentos de verdade. O exemplo mais claro foi contado pela Skift Meetings em fevereiro: um produtor de Las Vegas trabalhou três meses em um suposto lançamento de escritório da American Coatings Association. Recebeu um escopo assinado, faturas e um sinal de 20.000 dólares que parecia compensado; confiando nisso, adiantou 20.280 dólares a fornecedores. Um segundo pagamento de 28.000 dólares foi estornado uma semana depois. O domínio do “cliente” tinha sido registrado de má-fé, a pessoa não existia e a associação confirmou que pelo menos meia dúzia de produtoras recebeu o mesmo contato. O produtor perdeu mais de 75 horas de trabalho.
A troca de conta no meio da produção. Um e-mail com o logo, a assinatura e o tom de sempre avisa que o fornecedor “mudou de banco” e passa dados novos. Com IA, esse e-mail já não tem erros. Mike Bushman, da RainFocus, disse na matéria sobre o FBI que o velho conselho de procurar erros de digitação e frases estranhas é muito menos confiável agora.
O convite que pede permissões. Um link para “confirmar presença” ou “ver a programação” abre uma tela pedindo autorização para um aplicativo acessar seu e-mail ou seus arquivos. A recomendação reunida pela Skift é simples: se aparecer uma tela de permissões depois de clicar no link de um evento, feche a janela. Um credenciamento legítimo raramente precisa de acesso amplo ao seu e-mail, arquivos ou contatos.
Como verificar antes de o dinheiro sair
O que se repetiu em Nova York cabe em uma rotina que qualquer produção pode adotar:
- Confirmar cada instrução de pagamento por um segundo canal. Uma ligação para um número que você já tinha, nunca o que vem no mesmo e-mail. Lawson estendeu isso às videochamadas: já há perdas com deepfakes de executivos em chamadas ao vivo, e a defesa é a mesma.
- Não adiantar dinheiro do cliente antes de ele estar realmente compensado. No caso de Las Vegas, o erro caro foi pagar fornecedores com um sinal que depois foi estornado. Antes de liberar fundos, confirme com o banco que a entrada é definitiva.
- Ler o domínio, não o nome. Um e-mail “da marca” vindo de um domínio com uma letra trocada é a porta de entrada da maioria desses esquemas.
- Ir devagar com clientes novos. Nirjary Desai, produtora do mesmo painel, contou que hoje pede aos clientes de primeira vez que depositem os fundos em uma conta de garantia do seu advogado, com 30 dias de espera antes da liberação. Depois de cair em um golpe, recuperou 20.000 dólares em 60 dias porque tinha documentado cada comunicação e trabalhou com a área de fraudes do banco.
- Ter uma única fonte oficial do evento. Uma página com os domínios, fornecedores e canais que serão usados, para que participantes e fornecedores tenham com o que comparar.
Desai fez um alerta para quem produz lançamentos de marca: os golpistas escolhem quem atacar olhando as redes sociais, e quanto mais vistoso parece um evento, mais atraente fica a empresa por trás dele.
Os participantes também são alvo
O risco não termina no financeiro. As recomendações ligadas ao alerta do FBI incluem passos para o dia do evento: decidir antes quem pode avisar os participantes, e por quais canais, se circular uma mensagem falsa, e incluir uma orientação curta de segurança no e-mail de confirmação de inscrição. Se o seu evento lida com dados de inscritos, isso se conecta com o que contamos sobre dados e privacidade dos participantes.
Também muda o que perguntar aos fornecedores de inscrição, aplicativo e credenciamento. A Skift sugere duas perguntas concretas: que permissões eles pedem sobre as contas e em quanto tempo avisariam sobre um vazamento. Uma resposta vaga já é um sinal.
Contratar um parceiro na Argentina ou na América Latina: a verificação vai nos dois sentidos
Quando uma agência de São Paulo ou de Lisboa contrata uma produtora em Buenos Aires, os dois lados fazem exatamente o que os golpistas imitam: falar com alguém que não conhecem pessoalmente, assinar à distância e mandar dinheiro entre moedas. Por isso a verificação precisa ser mútua e estar por escrito desde o primeiro dia.
Do lado de quem contrata, valem os filtros de sempre, sem atalhos: cases com nome que dá para conferir, contrato formal, nota fiscal legal do país do parceiro e pagamentos escalonados por etapas. Detalhamos isso em como auditar a capacidade operacional de um fornecedor na América Latina. Do lado do parceiro, o saudável é o espelho: saber quem paga, de qual conta e com quais dados fiscais antes de comprometer um fornecedor. Na Argentina, por exemplo, faturamos clientes internacionais em USD com nota exportável, o que dá às duas partes um registro desde o início.
A distância não é o problema: dá para operar um evento inteiro de outro país, como fizemos com o controle de acesso da FILGUA na Guatemala, monitorado de Buenos Aires. O problema é operar à distância sem um método para verificar. Se você está planejando um evento na Argentina ou em outro país da região e precisa de um parceiro local com contrato, faturamento de exportação e processos claros, veja como funciona um parceiro operacional na Argentina e as nossas parcerias estratégicas.