Deepfake e fraude: como identificar golpes e verificar identidades
Uma ligação de vídeo, uma mensagem de áudio ou uma reunião virtual podem transmitir a impressão de que estamos falando com alguém conhecido. Reconhecemos o rosto, a voz e a maneira de falar. Em muitas situações, esses elementos são suficientes para estabelecer confiança.
Com o avanço da inteligência artificial, essa confiança precisa ser acompanhada de outros mecanismos de verificação.
Tecnologias de deepfake permitem criar ou manipular imagens, vídeos e áudios de maneira convincente. Quando utilizadas em fraudes, podem simular pessoas conhecidas, executivos, familiares ou representantes de instituições.
Para a segurança da informação, o desafio envolve a forma como verificamos identidades e autorizamos ações.
O que é deepfake?
Deepfake é um conteúdo sintético ou manipulado com técnicas de inteligência artificial para reproduzir ou alterar características de pessoas, como aparência, voz e expressões.
A tecnologia pode ser utilizada em produções audiovisuais, acessibilidade e outras aplicações legítimas. Também pode ser explorada para desinformação, falsificação de identidade e engenharia social.
Entre os exemplos de uso fraudulento estão:
- áudios que simulam a voz de uma pessoa conhecida;
- vídeos que reproduzem a aparência de executivos;
- chamadas que utilizam imagens ou vozes manipuladas;
- mensagens falsas acompanhadas de conteúdos audiovisuais;
- tentativas de contornar processos de verificação de identidade.
A qualidade do conteúdo varia. Algumas manipulações apresentam inconsistências perceptíveis. Outras podem ser difíceis de reconhecer apenas pela observação.
Por isso, identificar uma fraude exige considerar o contexto da solicitação, os canais utilizados e a possibilidade de confirmar a identidade por outros meios.
Como deepfakes são utilizados em fraudes?
Fraudes com deepfake frequentemente exploram uma característica conhecida da engenharia social: a confiança em uma identidade aparentemente legítima.
Imagine que um profissional receba uma ligação de alguém que aparenta ser um executivo da organização.
Durante a conversa, a pessoa solicita uma transferência financeira urgente, uma alteração de dados bancários ou o compartilhamento de informações confidenciais.
O rosto e a voz parecem familiares. A solicitação também pode fazer referência a acontecimentos reais, aumentando sua credibilidade.
Se a decisão depender apenas do reconhecimento visual ou da voz, existe o risco de uma autorização indevida.
Esse cenário também pode ocorrer fora do ambiente corporativo.
Uma pessoa pode receber um áudio aparentemente enviado por um familiar solicitando dinheiro. Outra pode participar de uma videochamada com alguém que se apresenta como representante de uma instituição financeira.
O conteúdo manipulado funciona como parte da tentativa de convencimento.
Reconhecer uma voz ou um rosto é suficiente?
Durante muito tempo, reconhecer uma pessoa pela voz ou aparência foi uma forma habitual de confirmar sua identidade em interações cotidianas.
Essa prática continua útil como elemento de contexto, mas apresenta limitações diante de conteúdos sintéticos.
Uma voz familiar pode ser reproduzida artificialmente. Um vídeo pode apresentar a aparência de alguém que não está participando daquela interação.
Também não existe um conjunto de sinais visuais que permita identificar todos os deepfakes com segurança.
Movimentos faciais inconsistentes, problemas de sincronização entre áudio e imagem e alterações na iluminação podem indicar manipulação. Entretanto, a ausência desses sinais não comprova a autenticidade do conteúdo.
A verificação precisa considerar outras evidências.
Como identificar possíveis golpes com deepfake?
Alguns comportamentos ajudam a reconhecer situações suspeitas, mesmo quando o áudio ou vídeo parece legítimo.
1. Observe o contexto da solicitação
Uma solicitação inesperada, principalmente quando envolve dinheiro, credenciais ou informações confidenciais, merece verificação adicional.
A urgência também deve ser considerada.
Fraudadores podem utilizar pressão emocional, alegações de emergência ou prazos muito curtos para reduzir o tempo disponível para confirmar as informações.
2. Confirme a identidade por outro canal
Se uma pessoa solicitar uma transferência ou informação sensível por chamada, entre em contato utilizando um número ou canal previamente conhecido.
Evite depender exclusivamente dos dados de contato fornecidos durante a própria solicitação.
Em ambientes corporativos, utilize os canais oficiais de comunicação e aprovação.
3. Verifique a legitimidade da operação
Mesmo quando a identidade parece confirmada, a operação precisa seguir os controles previstos.
Uma solicitação de alteração de dados bancários, por exemplo, pode exigir validação independente antes de ser executada.
O mesmo princípio se aplica ao compartilhamento de informações confidenciais e à concessão de acessos.
4. Considere outras evidências
Histórico da solicitação, registros em sistemas corporativos, documentação e confirmação por responsáveis autorizados ajudam a avaliar sua legitimidade.
Quanto maior o impacto potencial, maior deve ser o cuidado com a validação.
O impacto dos deepfakes nas organizações
Fraudes envolvendo identidades falsas podem afetar diferentes processos corporativos.
Alguns exemplos incluem:
- Financeiro: solicitações fraudulentas de pagamentos e transferências.
- Recursos humanos: falsificação de identidade em entrevistas e processos de contratação.
- Suporte técnico: tentativas de recuperação de contas ou redefinição de credenciais.
- Compras: alteração indevida de dados de fornecedores.
- Segurança da informação: engenharia social para obtenção de acessos ou informações.
- Alta administração: utilização indevida da imagem ou voz de executivos.
O risco depende das características de cada processo e dos controles existentes.
Uma organização que autoriza pagamentos apenas com base em mensagens ou chamadas pode apresentar uma exposição diferente daquela que exige validações independentes e registros formais.
Como reduzir o risco de fraudes com deepfake?
A proteção exige uma combinação de controles técnicos, processos e conscientização.
Verificação independente de solicitações sensíveis
Operações de maior impacto devem contar com mecanismos de confirmação que não dependam exclusivamente da identidade apresentada durante uma chamada.
Isso pode incluir retorno por canais previamente cadastrados, validação em sistemas corporativos e confirmação por responsáveis autorizados.
Segregação de funções e limites de aprovação
Processos financeiros e administrativos podem utilizar limites de alçada, dupla aprovação e segregação de funções.
Esses controles ajudam a reduzir o risco de uma única interação fraudulenta resultar em uma operação indevida.
Autenticação e proteção de contas
Autenticação multifator, proteção contra acesso indevido e monitoramento de atividades suspeitas continuam importantes.
É necessário, porém, distinguir autenticação de autorização. Uma conta autenticada não torna automaticamente legítima toda solicitação realizada por seu usuário.
Conscientização sobre engenharia social
Treinamentos podem incluir situações que envolvam áudios e vídeos sintéticos.
O objetivo é desenvolver o hábito de verificar solicitações sensíveis, especialmente quando houver urgência, pressão ou mudança inesperada de procedimento.
Registro e resposta a incidentes
Solicitações, aprovações e alterações relevantes precisam deixar registros suficientes para permitir investigação.
Também é importante definir como comunicar uma suspeita de fraude, interromper operações e preservar evidências quando necessário.
O papel da inteligência artificial na detecção de deepfakes
Existem ferramentas que utilizam inteligência artificial para analisar possíveis manipulações em imagens, áudios e vídeos.
Essas soluções podem procurar inconsistências, características de geração sintética e outros sinais associados à alteração de conteúdo.
Entretanto, sua capacidade de detecção depende de fatores como qualidade do material, técnicas utilizadas na manipulação e características do modelo de análise.
Um resultado indicando baixa probabilidade de manipulação não garante que o conteúdo seja autêntico.
Da mesma forma, uma classificação suspeita precisa ser interpretada considerando a possibilidade de falsos positivos.
Em processos críticos, ferramentas de detecção podem contribuir para a análise, mas não devem substituir mecanismos independentes de verificação e autorização.
Deepfake também é um tema de governança e gestão de riscos
A discussão sobre deepfakes costuma se concentrar na capacidade da tecnologia de produzir conteúdos convincentes.
Para organizações, também é necessário avaliar os processos que podem ser afetados.
Algumas perguntas ajudam nessa análise:
- Quais operações dependem do reconhecimento de voz ou imagem?
- Existem solicitações financeiras autorizadas apenas por chamadas ou mensagens?
- Como são confirmadas alterações de dados de fornecedores?
- Quais controles protegem processos de recuperação de contas?
- Funcionários sabem como comunicar suspeitas de falsificação de identidade?
- Existem registros suficientes para investigar solicitações fraudulentas?
- Os procedimentos de resposta a incidentes contemplam esse tipo de fraude?
Essas questões podem ser incorporadas às avaliações de risco, auditorias e revisões de controles internos.
A exposição também pode mudar conforme a organização amplia o uso de canais digitais, atendimento remoto e processos automatizados.
A confiança precisa de mecanismos de verificação
Deepfakes ampliam as possibilidades de falsificação de identidade em ambientes digitais.
A evolução da tecnologia torna mais difícil depender exclusivamente da aparência de uma pessoa ou da familiaridade de sua voz para confirmar a legitimidade de uma solicitação.
Processos de verificação, autenticação, autorização e registro de evidências ganham importância nesse contexto.
Para pessoas e organizações, uma prática continua especialmente útil: confirmar solicitações sensíveis por canais independentes antes de executar ações que envolvam dinheiro, acesso ou informações confidenciais.
A tecnologia utilizada em uma fraude pode mudar. A necessidade de verificar quem está solicitando uma ação e se essa ação é legítima permanece.