A evolução da Inteligência Artificial generativa trouxe novos recursos para criação de voz, imagem e vídeo sintéticos. Ao mesmo tempo, ampliou a capacidade de criminosos de reproduzir características de pessoas reais e utilizar essa aparência de legitimidade em golpes de engenharia social, personificação e fraude financeira.
Para as empresas, o principal desafio não está apenas em identificar se determinado conteúdo foi manipulado, mas em entender como decisões de confiança são tomadas ao longo de uma jornada digital.
Reconhecer uma voz, visualizar um rosto conhecido ou receber uma solicitação aparentemente legítima sempre fizeram parte das formas humanas de validar contexto e identidade. Com a evolução dos deepfakes, esses sinais deixaram de ser suficientes em algumas situações.
O impacto já aparece nos indicadores de fraude. No Internet Crime Report 2025, publicado em 2026, o FBI registrou 22.364 denúncias relacionadas ao uso de Inteligência Artificial, com aproximadamente US$ 893 milhões em perdas reportadas. Entre as técnicas identificadas estão clonagem de voz, perfis falsos, documentos sintéticos e vídeos manipulados.
Para organizações que movimentam recursos, protegem informações sensíveis ou operam jornadas digitais em escala, o tema precisa ser tratado dentro de uma discussão mais ampla sobre identidade, confiança e gestão de risco.
O que é um golpe com deepfake?
Deepfake é o uso de técnicas de Inteligência Artificial para gerar ou manipular conteúdos de áudio, imagem ou vídeo de forma a reproduzir características de uma pessoa. Por muito tempo, esses efeitos digitais hiper-realistas pareciam restritos às superproduções de Hollywood. Mas o que antes exigia orçamentos milionários, agora cabe no navegador e no celular. Qualquer pessoa com más intenções pode criar um deepfake convincente.
Em fraudes desse tipo, a IA pode ser utilizada para simular:
- voz;
- rosto e expressões;
- movimentos;
- maneira de falar;
- documentos ou imagens de identificação;
- interações por vídeo;
- características de figuras conhecidas ou pessoas com autoridade dentro de uma organização.
O deepfake, no entanto, nem sempre representa toda a fraude. Em muitos ataques, ele funciona como um recurso adicional para tornar uma abordagem mais convincente.
Um criminoso pode se passar por um executivo e solicitar uma transferência, assumir a identidade de um cliente em uma jornada de recuperação de conta ou utilizar voz sintética para reforçar uma solicitação aparentemente legítima.
Nesse tipo de situação, o conteúdo manipulado cria contexto, mas o verdadeiro impacto acontece quando esse contexto influencia uma decisão de negócio.
Como uma fraude com deepfake pode evoluir
Essa sequência é importante porque ajuda a separar duas questões diferentes. O deepfake está ligado à personificação. A fraude se concretiza quando essa personificação consegue influenciar uma ação dentro da empresa.
Deepfake já faz parte de operações de fraude estruturadas
A relevância do tema também está relacionada à redução da barreira de entrada para esse tipo de ataque.
No Global Financial Fraud Threat Assessment 2026, a INTERPOL aponta a existência de ofertas de Deepfake-as-a-Service em mercados clandestinos. O relatório menciona serviços que combinam avatares sintéticos, clonagem de voz e informações biométricas em operações de fraude.
O dado é relevante porque mostra que a capacidade de produzir esse tipo de conteúdo não depende mais, necessariamente, de equipes altamente especializadas. Recursos e serviços podem ser adquiridos dentro de ecossistemas criminosos já organizados.
No meio corporativo, isso amplia a necessidade de revisar processos que ainda dependem excessivamente de sinais visuais, verbais ou contextuais como forma de estabelecer confiança.
Quando uma identidade aparentemente legítima influencia uma decisão
Um dos casos mais conhecidos ocorreu em Hong Kong, em 2024. Um funcionário de uma multinacional participou de uma videoconferência em que pessoas que aparentavam ser executivos da empresa solicitaram transferências financeiras.
Os criminosos utilizaram deepfakes para personificar os participantes da reunião, e o episódio resultou em transferências de aproximadamente US$ 25 milhões. Porém, apesar dos danos financeiros, o caso chama mais atenção pelo processo de decisão que foi explorado do que pelo recurso tecnológico utilizado.
A vítima recebeu uma solicitação dentro de um contexto aparentemente coerente, com pessoas conhecidas, hierarquia corporativa, imagem e voz. Quando esses elementos podem ser reproduzidos, torna-se necessário complementar a validação com outros sinais.
Por que deepfake também é um tema de Identity Security
Diante dessa nova realidade, empresas que desejam proteger sua operação precisam parar de pensar em “acesso” como algo binário – sim ou não, entra ou não entra, acesso concedido ou negado — sem considerar nuances, contexto ou níveis de risco.
Ou seja, é a visão tradicional de segurança em que, se a senha estiver correta ou o token for válido, o acesso é liberado automaticamente sem avaliar se aquele comportamento realmente faz sentido para aquele usuário.
Um atacante pode convencer um usuário legítimo a compartilhar informações, induzi-lo a realizar uma ação ou tentar recuperar uma conta utilizando uma identidade sintética. Em outros cenários, a fraude pode ocorrer depois da autenticação, durante uma sessão já considerada válida.
No novo contexto de fraudes sofisticadas, essa lógica binária não é mais suficiente. O acesso precisa ser inteligente, contextual e adaptativo. Exemplo: o mesmo login pode exigir validação extra se vier de um país diferente, de um dispositivo não reconhecido ou em um horário incomum.
Esse novo modelo se apoia em três pilares:
- Verificação contínua: não basta autenticar uma vez. A identidade precisa ser validada ao longo da jornada.
- Análise comportamental: entender o que é esperado para cada usuário ajuda a identificar fraudes sutis.
- Autenticação adaptativa: a segurança precisa se ajustar ao risco, sem prejudicar a experiência.
Para isso, a tecnologia é fundamental, mas isoladamente, não é suficiente.
Onde o golpe com deepfake pode afetar uma empresa
A personificação digital pode atingir diferentes pontos da operação, tanto em jornadas voltadas a clientes quanto em processos internos. O risco aparece sempre que uma identidade aparentemente legítima influencia uma decisão, libera uma ação ou reduz a percepção de suspeita.
Fraude financeira
Em fraudes financeiras, o deepfake pode ser utilizado para reproduzir a voz ou a imagem de executivos, gestores ou outras pessoas com poder de decisão.
O objetivo costuma ser tornar uma solicitação mais convincente, especialmente em contextos de urgência, exceção ou confidencialidade. A fraude pode envolver pedidos de transferência, alteração de dados bancários, antecipação de pagamentos ou aprovação de operações fora do fluxo habitual.
Nesse cenário, o risco não está apenas na qualidade da personificação. Está na possibilidade de uma organização aceitar autoridade aparente como evidência suficiente para autorizar uma operação crítica.
Account Takeover
Em ataques de Account Takeover, a personificação pode funcionar como apoio à engenharia social.
O criminoso pode utilizar voz sintética, imagem manipulada ou outras informações de contexto para convencer uma pessoa, um atendente ou uma equipe de suporte a entregar códigos, redefinir credenciais ou iniciar um processo de recuperação de conta.
O deepfake, portanto, pode não ser o mecanismo responsável por comprometer tecnicamente a conta. Ele pode ser o recurso utilizado para tornar legítima uma solicitação que, em condições normais, deveria gerar desconfiança.
Onboarding digital
Processos de onboarding também podem ser alvo quando dependem de verificações remotas de identidade.
Conteúdos sintéticos podem ser utilizados em tentativas de validação biométrica, apresentação de documentos ou comprovação de identidade. Esse tipo de risco ganha relevância em jornadas que precisam equilibrar conversão, velocidade de cadastro e segurança.
Por isso, organizações que operam onboarding digital precisam avaliar não apenas se a imagem apresentada parece legítima, mas também se o conjunto de sinais disponíveis sustenta a identidade que está sendo criada.
Atendimento e recuperação de conta
Centrais de atendimento e service desks concentram decisões sensíveis relacionadas à identidade.
É nesse tipo de processo que um fraudador pode tentar se passar por cliente, colaborador ou parceiro para solicitar alteração cadastral, recuperação de acesso, troca de dispositivo ou redefinição de credenciais.
Quando o processo depende excessivamente de perguntas estáticas, reconhecimento de voz ou informações pessoais que podem ser obtidas em outras fontes, o risco aumenta.
O ponto de atenção está em estruturar mecanismos de validação proporcionais à criticidade da solicitação, especialmente quando a ação pode devolver controle sobre uma identidade digital.
Aprovações internas
A personificação também pode atingir fluxos internos de aprovação.
Executivos e gestores podem ser simulados em solicitações envolvendo pagamentos, acessos, compartilhamento de informações ou exceções a processos internos. Quanto maior a autoridade percebida da identidade personificada, maior pode ser a pressão para que uma equipe execute a ação rapidamente.
Esse tipo de fraude explora uma característica legítima das organizações: a confiança construída entre pessoas e áreas.
Por isso, processos críticos precisam contar com mecanismos de confirmação que não dependam exclusivamente da identidade apresentada no primeiro contato.
Acesso privilegiado
Em ambientes com contas administrativas ou privilégios elevados, a personificação pode ser utilizada para justificar uma solicitação de acesso excepcional.
Um criminoso pode tentar se passar por uma pessoa autorizada, por alguém da liderança ou por um profissional técnico para solicitar inclusão em grupos, elevação de privilégio ou acesso temporário a sistemas sensíveis.
Nesse cenário, o risco é ainda maior porque uma decisão incorreta pode ampliar significativamente o alcance do comprometimento.
A gestão de acessos privilegiados precisa, portanto, considerar não apenas quem está solicitando, mas também o motivo, o contexto, a duração e o impacto potencial daquele acesso.
Transações digitais
Fraudes também podem surgir depois que uma identidade já foi autenticada.
Uma conta pode iniciar a jornada normalmente e, em seguida, apresentar comportamento incompatível com seu histórico, como alteração repentina de dados, inclusão de novos favorecidos ou operações acima do padrão habitual.
Nesses casos, o foco deixa de estar somente na entrada da jornada e passa a incluir o comportamento da identidade ao longo da sessão.
É justamente por isso que autenticação, análise de contexto e monitoramento contínuo precisam funcionar de forma integrada.
O ponto em comum entre esses cenários
Apesar das diferenças entre uma transferência financeira, uma recuperação de conta ou uma elevação de privilégio, todos esses casos compartilham o mesmo ponto de risco: uma identidade aparentemente legítima influencia uma decisão relevante para o negócio.
É por isso que deepfake não deve ser tratado apenas como um risco de videoconferência ou de engenharia social.
Ele pode afetar qualquer processo em que uma empresa precise decidir se aquela identidade é confiável o suficiente para realizar determinada ação.
O papel de uma estratégia Identity-First
Uma abordagem Identity-First considera a identidade como um elemento contínuo de decisão de segurança.
Isso não significa submeter usuários a validações constantes. Significa reconhecer que a confiança estabelecida no início de uma jornada pode precisar ser revista conforme o contexto muda.
Um acesso realizado por dispositivo conhecido, dentro de um padrão habitual, pode representar baixo risco. A mesma identidade, minutos depois, pode tentar alterar dados sensíveis, cadastrar um novo favorecido ou realizar uma operação fora do seu comportamento histórico.
Nesses casos, a organização precisa ter capacidade de avaliar se aquela ação continua compatível com o nível de confiança estabelecido inicialmente.
A decisão deixa de depender apenas da existência de uma credencial válida e passa a considerar o conjunto de sinais disponíveis.
Identity-First não substitui senha, MFA, passkeys ou outros mecanismos já utilizados.
A proposta é conectar esses controles a uma arquitetura em que a confiança seja avaliada de acordo com o contexto e com a criticidade da ação.
authcube: a inteligência por trás de cada identidade digital
Neste cenário, o authcube surge como uma solução projetada para proteger e transformar o acesso em um processo inteligente, contínuo e ajustado ao risco.
Mais do que um CIAM moderno, o authcube é uma camada de decisão adaptativa que integra segurança e experiência digital. A seguir, detalhamos os principais recursos que o tornam eficaz contra fraudes baseadas em identidade:
1. Análise de risco em tempo real
O authcube avalia, a cada tentativa de acesso ou transação, uma combinação de variáveis contextuais:
- Geolocalização do usuário
- Tipo de dispositivo e navegador
- Hora do acesso
- Padrões históricos daquele perfil
Com isso, ele identifica comportamentos suspeitos mesmo quando as credenciais estão corretas — o que é crucial em casos de deepfake ou sequestro de sessão.
2. Autenticação adaptativa (MFA)
Diferente da lógica binária (acesso permitido ou negado), o authcube aplica uma autenticação proporcional ao risco. Funciona assim:
- Risco baixo? O acesso é fluido.
- Risco médio? Um segundo fator pode ser solicitado.
Risco alto? O acesso pode ser bloqueado, monitorado ou encaminhado para análise.
Isso garante uma experiência suave para quem é legítimo e fricção somente quando necessário, protegendo a identidade sem sacrificar conversão.
3. Análise de comportamento
Com técnicas de Machine Learning, o authcube aprende como cada usuário interage com o sistema:
- Tempo médio de digitação
- Navegação entre telas
- Frequência de login por canal
Esses dados criam uma “assinatura comportamental” individual. Quando alguém tenta imitar esse comportamento, o sistema percebe desvios quase imperceptíveis a olho humano.
4. Orquestração inteligente de Autenticação
Em vez de aplicar múltiplos fatores de forma genérica, o authcube permite orquestrar estratégias diferentes por canal, grupo de usuários, tipo de ação ou criticidade do dado acessado.
Exemplo:
- Para acesso a dados sensíveis: exigir biometria ou reconhecimento facial.
- Para login rotineiro: liberar com token silencioso via app.
Isso reduz abandono e melhora a usabilidade — um ponto crítico em jornadas digitais de clientes e parceiros.
Em resumo, o authcube não autentica apenas credenciais, mas contextos, intenções e comportamentos. Ele entende que, em um mundo onde tudo pode ser simulado, só a análise contínua da identidade garante segurança de verdade.
O authcube detecta deepfakes?
O authcube não deve ser apresentado como um detector universal de deepfakes, pois sua atuação está relacionada à proteção da jornada de identidade.
Se uma tentativa de personificação evolui para autenticação, recuperação de conta, acesso ou outra ação dentro de uma jornada protegida, uma arquitetura baseada em risco pode exigir evidências adicionais antes de permitir a continuidade.
Essa distinção é importante porque evita uma leitura simplista do problema.
O objetivo não é depender apenas da capacidade de identificar se determinado vídeo, áudio ou imagem foi manipulado. É reduzir a possibilidade de que uma identidade aparentemente legítima consiga realizar ações incompatíveis com seu contexto.
Como a Sec4U apoia uma estratégia Identity-First
Quando o problema envolve identidade, a resposta raramente está apenas na adoção de uma nova ferramenta.
É necessário entender como a empresa estabelece confiança, quais jornadas concentram maior risco, quais identidades participam desses processos e quais controles são realmente adequados para cada situação.
A Sec4U atua justamente nessa combinação entre arquitetura, tecnologia e contexto de negócio.
Em projetos relacionados a CIAM, autenticação e proteção de jornadas digitais, esse trabalho pode envolver:
- análise das jornadas existentes;
- identificação de pontos de exposição;
- avaliação das políticas de autenticação;
- desenho de regras baseadas em risco;
- definição de momentos de step-up authentication;
- integração entre identidade e contexto;
- arquitetura e implementação das tecnologias adequadas;
- evolução contínua dos controles de identidade.
O objetivo é permitir que a organização aplique mais controle onde o risco exige, sem criar obstáculos desnecessários para usuários legítimos.
Essa é uma das aplicações práticas de uma estratégia Identity-First: fazer com que as decisões de segurança acompanhem a identidade, o contexto e a relevância da operação para o negócio.
Perguntas frequentes sobre golpe com deepfake
O que é um golpe com deepfake?
É uma fraude em que conteúdos de voz, imagem ou vídeo manipulados ou gerados por Inteligência Artificial são utilizados para personificar alguém ou tornar uma abordagem fraudulenta mais convincente.
Como empresas podem se proteger de golpes com deepfake?
A proteção pode combinar comprovação de identidade, autenticação multifator, autenticação adaptativa, análise contextual de risco, monitoramento de sessão, validações adicionais para operações críticas e processos internos de confirmação.
MFA protege contra deepfake?
MFA reduz determinados riscos relacionados a comprometimento de conta, mas não elimina sozinho fraudes baseadas em personificação e engenharia social. A proteção precisa considerar também contexto, comportamento, sessão e criticidade da ação.
O que deepfake tem a ver com Identity Security?
Deepfakes podem falsificar sinais utilizados para atribuir confiança a uma pessoa. Identity Security ajuda a garantir que acessos, privilégios e ações sejam concedidos às identidades adequadas e sob condições compatíveis com o risco.
O que significa uma estratégia Identity-First?
Identity-First é uma abordagem em que a identidade ocupa papel central nas decisões de segurança. A organização considera identidade, contexto, risco, recursos e ações ao longo da jornada, e não apenas no momento do login.
Autenticação adaptativa pode ajudar a reduzir fraudes?
Sim. Ela permite ajustar os controles de autenticação conforme o risco identificado, solicitando evidências adicionais quando a situação exige mais confiança.
