A fraude de fornecedor deixou de depender de uma empresa fictícia mal montada. Com inteligência artificial, criminosos conseguem criar identidade visual, documentos, site, interlocutores, histórico de mensagens e justificativas comerciais coerentes. Quando informações reais são combinadas com dados fabricados, surge a identidade sintética: uma entidade aparentemente legítima que não corresponde a uma operação econômica autêntica.
Pesquisa da Internal Audit Foundation publicada em 2026 mostrou que fraudes com documentos financeiros fabricados estão entre as principais preocupações dos líderes de auditoria, enquanto a identidade sintética ainda é menos reconhecida do que outros golpes com IA. Essa assimetria é perigosa: controles tradicionais costumam validar campos e documentos, mas não testam suficientemente a existência econômica do fornecedor.
O que é uma identidade sintética
Ela pode reunir CNPJ ou dados cadastrais de uma empresa real, endereço compartilhado, telefone virtual, documentos gerados ou alterados, conta bancária aberta com terceiros e perfis digitais recém-criados. Em outros casos, a pessoa jurídica existe formalmente, mas é utilizada apenas como veículo para faturamento sem entrega, intermediação simulada ou desvio de pagamentos.
O objetivo é superar cada controle isoladamente. O documento fiscal parece válido, o e-mail tem domínio próprio, a conta bancária recebe transferências e um interlocutor responde rapidamente. A inconsistência aparece quando essas peças são cruzadas.
Como o fornecedor fantasma entra no processo
- criação ou apropriação de identidade empresarial;
- cadastro por empregado, terceiro ou credencial comprometida;
- aprovação com documentação formalmente suficiente;
- emissão de pedidos, notas ou faturas de pequeno valor;
- construção de histórico para reduzir alertas;
- aumento progressivo do volume ou pagamento extraordinário;
- dispersão rápida dos recursos recebidos.
Red flags cadastrais
- fornecedor criado e pago em intervalo muito curto;
- alteração bancária próxima à data do pagamento;
- endereço, telefone, domínio, procurador ou conta vinculados a empregados;
- contas de pagamento sem relação aparente com o porte do fornecedor;
- dados idênticos ou quase idênticos entre vários cadastros;
- documentos produzidos no mesmo dispositivo ou com metadados semelhantes;
- atividade econômica incompatível com o objeto faturado;
- ausência de presença operacional verificável.
Testes contábeis e financeiros
A auditoria deve ir além do cadastro mestre. O primeiro teste é reconciliar o ciclo completo: solicitação, cotação, aprovação, pedido, entrega, aceite, documento fiscal, contabilização e pagamento. A ausência de uma etapa não prova fraude, mas aumenta a necessidade de evidência alternativa.
- Análise de duplicidades: chaves fiscais, valores, datas, descrições, contas e dados de contato.
- Teste de concentração: fornecedores com crescimento abrupto ou dependência de um único aprovador.
- Análise de horário e dispositivo: cadastros e aprovações fora do padrão.
- Benford e distribuição de valores: úteis como triagem, nunca como prova isolada.
- Vínculos em rede: sócios, endereços, contas, IPs, e-mails e beneficiários compartilhados.
- Rastreamento bancário: destino, repasses subsequentes, circularidade e contas de passagem.
A prova de existência econômica
O ponto decisivo é demonstrar se houve bem entregue ou serviço efetivamente prestado. Isso pode exigir confirmação com usuários independentes, análise de estoque, registros de acesso, geolocalização de equipes, ordem de serviço, evidência de transporte, medição, produto do trabalho e comunicação anterior à fatura.
Quando a contratação é intangível, como consultoria ou software, o risco aumenta. Uma descrição genérica na nota fiscal não substitui entregáveis, versões, usuários, horas, chamados, relatórios e aceite técnico.
Controles preventivos mais efetivos
- segregação entre cadastro, contratação, aceite e pagamento;
- validação independente de conta bancária;
- bloqueio temporário após mudança cadastral sensível;
- confirmação fora de banda com contato previamente validado;
- monitoramento contínuo de vínculos e duplicidades;
- revisão periódica de fornecedores inativos ou sem lastro operacional;
- retenção dos arquivos originais e dos logs de cadastro.
O fornecedor pode existir no cadastro, no CNPJ e no banco e ainda assim não existir na realidade econômica da operação.
Conclusão
Identidades sintéticas exigem uma auditoria orientada por relações e comportamento. A consistência formal deve ser confrontada com o ciclo operacional, os vínculos entre pessoas e empresas e o caminho do dinheiro. Quanto mais perfeita parecer a documentação, maior deve ser a independência das confirmações.
A auditoria forense da Costa Nova Associados reconstrói cadastros, pagamentos e vínculos para identificar operações sem lastro e quantificar os efeitos financeiros. Solicite uma análise técnica.