A tecnologia de deepfake facilitou significativamente que golpistas se passem por profissionais de empresas. Agora, um golpista pode entrar em uma chamada com a câmera ligada e responder a perguntas em tempo real, de forma convincente, fingindo ser outra pessoa.

Este é o terceiro canal de personificação habilitada por IA, depois do e-mail e da voz, e é aquele para o qual as empresas estão menos preparadas: um rosto em uma videochamada parece completamente humano e impossível de falsificar.

Já abordamos como as campanhas de phishing com IA são mais rápidas e fáceis de lançar e como a clonagem de voz está aumentando as tentativas de vishing. Neste artigo, exploraremos o que acontece quando a identidade de uma pessoa é apropriada com vídeos deepfake e como impedir que membros da equipe caiam em golpes de deepfake.

O que torna a fraude com vídeo deepfake diferente

A fraude por e-mail depende de detalhes escritos: o tom certo, o contexto certo e uma solicitação que soa razoável, mas é urgente. A clonagem de voz depende do ouvido: uma voz familiar dizendo algo urgente o suficiente para contornar um momento de dúvida. A fraude com vídeo deepfake vai um passo além e compromete o único instinto de verificação que a maioria das pessoas nunca pensa em questionar: ver o rosto de alguém e ouvi-lo falar, em tempo real, em uma chamada que se parece exatamente com todas as outras videoconferências do calendário.

Os funcionários são treinados para desconfiar de um e-mail e para verificar novamente uma ligação inesperada. Quase ninguém é treinado para questionar uma videochamada frente a frente, porque o vídeo sempre foi tão confiável quanto uma reunião presencial.

Essa nova fronteira da fraude exige uma reavaliação do que pode ser considerado de confiança no trabalho, bem como da facilidade com que os processos podem ser sobrepostos pela urgência.

Como os golpes com deepfake funcionam na prática

A fraude com vídeo deepfake pode assumir algumas formas diferentes. A mais simples é um vídeo deepfake pré-gravado reproduzido em uma chamada ao vivo, às vezes com o atacante silenciando a própria câmera e alegando problemas de conectividade para explicar por que o “executivo” não responde naturalmente a perguntas de acompanhamento.

Ataques mais sofisticados usam ferramentas de troca de rosto em tempo real durante uma chamada ao vivo de verdade, permitindo que o atacante responda, acene e reaja no momento, o que é muito mais difícil de detectar.

Um terceiro padrão surgiu, que depende especificamente de reuniões de onboarding e de conformidade. Uma persona de vídeo sintética fingindo ser um auditor, um novo funcionário ou um contato de RH pode participar de uma reunião inteira projetada para extrair acesso a sistemas, respostas de segurança ou credenciais, justamente porque essas reuniões são construídas com a premissa de que uma videochamada com uma pessoa real é inerentemente confiável.

Um exemplo real de fraude com deepfake

Em 2024, um funcionário do departamento financeiro do escritório de Hong Kong da Arup(nova janela), uma empresa de engenharia com sede no Reino Unido, entrou em uma videochamada com pessoas que pareciam ser o CFO da empresa e vários colegas. Todas as pessoas naquela chamada eram deepfakes gerados por IA, criados a partir de imagens publicamente disponíveis de executivos reais.

Acreditando que a solicitação era genuína, o funcionário autorizou quinze transferências totalizando cerca de 25 milhões de dólares antes que a fraude fosse descoberta, e só então porque ele, por acaso, entrou em contato com a matriz real da empresa sobre a “transação confidencial” que acabara de concluir.

O caso da Arup continua sendo a ilustração mais clara de como esse ataque se manifesta em larga escala, mas não é um incidente isolado. O Relatório de Fraude 2026 da UK Finance(nova janela) constatou que as perdas gerais com fraudes de pagamento atingiram 1,28 bilhão de libras em 2025 e destacou especificamente que grupos criminosos organizados usam cada vez mais deepfakes, vozes clonadas e identidades sintéticas para se passar por pessoas de confiança e burlar verificações de identidade.

Pesquisas separadas do setor, conduzidas pela Sumsub(nova janela), registraram um aumento de 94% nas tentativas de deepfake no Reino Unido em relação ao ano anterior, e uma pesquisa da Gartner com líderes de segurança(nova janela) constatou que 62% das organizações haviam sofrido alguma forma de ataque de deepfake nos doze meses anteriores. Qualquer empresa que ainda trate isso como um problema do futuro está atrás do que os dados já mostram.

O incidente da Arup é particularmente instrutivo sobre o que observar. O instinto inicial do funcionário estava correto: ele tratou o e-mail original como uma provável tentativa de phishing e pediu uma videochamada especificamente para confirmar, que é exatamente a etapa de verificação que a maioria dos treinamentos de segurança recomendaria.

A falha ocorreu na etapa seguinte, quando a própria videochamada foi tratada como prova suficiente, porque ninguém havia contado a ele que um rosto convincente na tela não é mais confiável. Naquele momento, a falha foi causada por treinamento empresarial insuficiente, não pelo funcionário.

Quais são alguns cenários possíveis de fraude com deepfake?

A mecânica descrita acima se manifesta em alguns cenários recorrentes, cada um voltado a um ponto de alavancagem diferente dentro de uma empresa. Todos compartilham o mesmo truque de base: um rosto e uma voz convincentes em uma chamada que parece totalmente normal, mas o alvo e a recompensa podem variar.

O rosto de um CFO autorizando uma transferência bancária

Um deepfake de um executivo sênior de finanças aparece em uma chamada e instrui um subordinado a processar um pagamento urgente e confidencial. A presença de um rosto familiar, aparentemente ao vivo, elimina dúvidas que um e-mail sozinho teria despertado.

Um auditor falso extraindo credenciais de sistema

Uma persona sintética fingindo ser um auditor externo ou um revisor de conformidade conduz uma entrevista por vídeo com a equipe de TI ou de finanças, apresentada como uma análise de rotina, e faz perguntas especificamente projetadas para revelar detalhes de acesso a sistemas, respostas de perguntas de segurança ou informações de início de sessão.

Um gerente de RH sintético fazendo o onboarding de um novo funcionário

Um contato de RH deepfake conduz uma chamada de onboarding com um funcionário realmente novo, ou com um funcionário existente sob o pretexto de uma atualização de política, e usa a sessão para capturar detalhes sobre sistemas internos, permissões de acesso ou informações de recuperação de credenciais.

Personificação de membro do conselho para um diretor financeiro

Um deepfake de um membro do conselho ou de um conselheiro sênior não executivo entra em uma chamada com um diretor financeiro para autorizar uma transação ou solicitar informações financeiras confidenciais, apoiando-se na autoridade de uma função que uma equipe financeira é culturalmente treinada para não questionar.

Por que a fraude com deepfake é mais difícil de detectar

A maioria dos programas de treinamento antiphishing e antivishing funciona ensinando as pessoas a adicionar atrito a um processo que alguém está tentando apressar: um e-mail pode ser encaminhado à TI para verificação dupla, uma ligação pode ser encerrada para verificar um número de telefone.

As videochamadas não recebem o mesmo escrutínio instintivo, porque por anos a videochamada foi o substituto digital mais próximo de estar em uma sala com alguém. Raramente se diz aos funcionários para desconfiar do rosto de um colega, porque a premissa cultural por trás das videoconferências é que elas são totalmente confiáveis.

Essa premissa é o que a fraude com vídeo deepfake explora. Um atacante não precisa vencer o ceticismo de um funcionário sobre a solicitação em si. Ele precisa apenas fornecer a única coisa que sempre encerrou o ceticismo no passado: um rosto familiar respondendo naturalmente em tempo real.

Essa é uma barreira muito mais alta para um funcionário superar, e é por isso que os protocolos de verificação para esse canal precisam ser procedimentais, em vez de depender de alguém simplesmente notar que algo está estranho.

Há também uma dinâmica social que precisa ser desafiada. Questionar uma solicitação escrita parece diligência comum. Questionar uma ligação telefônica parece razoável, já que personificar uma voz é um risco conhecido há anos.

Mas questionar um rosto em uma videochamada, especialmente o de um colega sênior, pode parecer mais próximo de uma acusação, e é justamente por isso que os funcionários hesitam em fazê-lo, mesmo quando algo na interação parece levemente estranho. Remover esse custo social, tornar a pergunta rotineira e esperada em vez de constrangedora, é tão parte da prevenção de deepfakes e da defesa quanto qualquer controle técnico.

Protocolos de verificação que funcionam especificamente para vídeo

Criar um código

Palavras-código ou gestos combinados previamente, estabelecidos com antecedência por um canal separado, são uma das poucas coisas que um deepfake genuinamente não consegue produzir, porque não existem em nenhuma imagem pública com a qual um atacante possa treinar um modelo.

Uma frase simples e modificável ou um sinal físico, confirmados periodicamente entre a equipe sênior e as equipes de finanças, dá aos funcionários algo concreto para pedir, em vez de depender de uma sensação subjetiva de que uma chamada parece errada.

Definir regras de autorização imutáveis

Nenhuma autorização financeira ou divulgação de credenciais deve jamais ocorrer apenas por videochamada. Isso precisa ser uma política concreta, não uma decisão deixada ao critério de quem estiver na chamada naquele momento: qualquer solicitação desse tipo, independentemente de quem aparenta estar pedindo, exige uma segunda confirmação por um canal genuinamente separado, usando detalhes de contato já registrados em arquivo, em vez de qualquer informação fornecida durante a própria chamada.

Os funcionários precisam de permissão explícita e repetida para perguntar “é você mesmo?” em qualquer chamada, independentemente de quem aparenta estar na tela. Também devem se sentir à vontade para pedir prova, por outro canal, de que a pessoa é quem diz ser.

O instinto que impede as pessoas de questionar uma figura sênior é exatamente no que esse ataque se baseia, e esse instinto só desaparece quando a liderança deixa inequívoco que a pergunta é sempre aceitável.

Manter registros

Gravar e registrar videoconferências confidenciais, especialmente as que envolvem autorização financeira, acesso a credenciais ou onboarding, dá à empresa algo para revisar depois, caso uma solicitação se revele fraudulenta, e o fato de saber que uma reunião está registrada já é, em si, um leve elemento de dissuasão contra atacantes que preferem operar sem deixar rastro.

Tratar videochamadas da mesma forma que trata um e-mail

A fraude com vídeo deepfake tem sucesso porque explora o único canal que as empresas nunca treinaram os funcionários a questionar. A fraude por e-mail é coberta pela conscientização sobre phishing, e a fraude por voz é coberta pela verificação por retorno de chamada e pelos treinamentos sobre os quais já escrevemos para engenharia social de forma mais ampla.

Estar ciente das videochamadas deepfake não exige que os funcionários se tornem analistas forenses capazes de identificar um vídeo sintético quadro a quadro. Exige que uma empresa aceite que um rosto e uma voz convincentes não são mais prova de nada por si só, e que desenvolva hábitos de verificação que não dependam de alguém desconfiar no momento.

Reforçar essa cultura junto com as práticas mais amplas abordadas em nosso guia sobre construção de uma cultura sólida de segurança no ambiente de trabalho dá à equipe o mesmo instinto para vídeo que um bom treinamento já cria para e-mail e ligações.

A conexão das credenciais: a limitar o que uma verificação mal-sucedida pode alcançar

Independentemente da forma que um ataque de vídeo deepfake tome, fraude do CFO, um auditor falso, um contato de RH sintético, ele visa, em última análise, uma de duas coisas: uma transação financeira ou um conjunto de credenciais. O vídeo é apenas o mecanismo de entrega de uma solicitação que, se for bem-sucedida, ou move dinheiro diretamente ou dá ao atacante um início de sessão que permite causar danos por conta própria.

É por isso que a higiene de credenciais é importante, mesmo quando o ataque em si, a princípio, não tem nada a ver com uma senha roubada. Se uma chamada deepfake convence alguém a entregar uma credencial, senhas exclusivas e autenticação multifator limitam o que essa única credencial realmente pode alcançar.

O mesmo princípio de contenção que abordamos em relação ao comprometimento de e-mail corporativo se aplica aqui: o objetivo não é tornar cada funcionário individualmente invencível contra um ataque sofisticado, e sim garantir que, quando a verificação falhar uma vez, os danos permaneçam contidos.

Um gerenciador de senhas corporativo como o Proton Pass for Business torna a contenção realista de manter: ele remove a pressão para reutilizar senhas conhecidas em várias contas e facilita que os funcionários sigam as políticas de senha. Combinado com uma plataforma segura para videoconferência e uma cultura de trabalho que trata pausar para verificar como algo normal, e não suspeito, essa combinação é o que realmente limita os danos quando as chamadas de vídeo em si já não podem ser totalmente consideradas de confiança.

Reduza a exposição da sua equipe a fraudes de personificação com um gerenciador de senhas corporativo.