O Assalto de $40 Bilhões Que Você Não Vê: Como Deepfakes e Identidades Sintéticas Estão Quebrando as Finanças

Última atualização: janeiro de 2026

Um funcionário da área de finanças em Hong Kong participou do que parecia ser uma chamada de vídeo de rotina com o CFO e vários colegas de equipe para refinar detalhes de uma aquisição confidencial. Após uma discussão aparentemente legítima, o funcionário autorizou US$ 25,6 milhões em transferências bancárias. Todas as pessoas naquela chamada — exceto a vítima — eram deepfakes.

Esse ataque à empresa de engenharia Arup não foi uma exceção. Foi um sinal de alerta. E até 2026, incidentes como esse não serão chocantes — eles serão esperados, a menos que as organizações repensem profundamente como a confiança é estabelecida em um mundo onde ver já não é o suficiente para crer.

Resumo

• As perdas por fraudes com deepfake ultrapassaram US$ 200 milhões globalmente apenas no primeiro trimestre de 2025, um número que provavelmente representa apenas uma fração do impacto real devido à subnotificação.

• A fraude de identidade sintética é agora um prejuízo anual de US$ 30 a US$ 35 bilhões, com a maioria das perdas oculta em "perdas de crédito" em vez de sinalizada como fraude, permitindo que identidades fabricadas persistam sem detecção até a inadimplência.

• Os invasores usam ataques de injeção para burlar a verificação de vídeo, enviando deepfakes diretamente para os fluxos de dados, contornando completamente a detecção tradicional de prova de vida.

• A projeção é que a fraude baseada em IA atinja US$ 40 bilhões anuais nos EUA até 2027 (~30% de taxa de crescimento anual composta), com a Experian apontando 2026 como um ponto de virada, já que 72% dos líderes empresariais agora classificam a fraude por IA como um dos principais desafios operacionais.

• Uma defesa eficaz exige uma inteligência unificada que correlacione sinais de identidade, dispositivo, comportamento e transações em tempo real.

Qual é o tamanho do problema da fraude por deepfake em 2026?

Os números publicados não mostram a real escala do problema. Fraudes baseadas em deepfakes raramente são categorizadas como tal nos relatórios financeiros — em vez disso, as perdas são absorvidas em categorias mais amplas, como fraude de pagamento autorizado, fraude de apropriação de conta ou inadimplência de crédito. O que vemos nos dados oficiais representa apenas incidentes verificados e atribuídos, não o impacto real.

Mesmo com a subnotificação sistemática, a aceleração é inegável. O Fórum Econômico Mundial relata mais de US$ 200 milhões em perdas confirmadas por fraudes relacionadas a deepfakes apenas no primeiro trimestre de 2025, descrevendo a tendência como uma mudança fundamental em direção a ataques diretos e escalonáveis nas operações das empresas.

O Deloitte Center for Financial Services projeta que a fraude por IA possa atingir US$ 40 bilhões anuais nos Estados Unidos até 2027 — uma taxa de crescimento anual composta de aproximadamente 30%. Essa projeção engloba deepfakes, identidades sintéticas, engenharia social automatizada e apropriação de contas por IA, ilustrando como os deepfakes agora funcionam como apenas um componente em uma estrutura mais ampla de fraudes baseadas em IA.

Os dados de detecção mostram uma velocidade semelhante. A Signicat relata que as tentativas de fraude por deepfake aumentaram mais de 2.000% nos últimos três anos, impulsionadas por mercados de fraude como serviço e modelos generativos em rápida evolução. O relatório Future of Fraud Forecast 2026 da Experian aponta este ano como um "ponto de virada" claro, com 72% dos líderes empresariais identificando a fraude baseada em IA como um dos principais desafios operacionais.

As barreiras técnicas continuam a cair. Como detalhamos em um artigo anterior, a clonagem de voz agora requer apenas 20 a 30 segundos de áudio, enquanto deepfakes de vídeo realistas podem ser gerados em 45 minutos — tornando fraudes de alto impacto mais baratas, rápidas e muito mais escalonáveis do que os ataques de identidade tradicionais.

O que torna os ataques de deepfake tão eficazes contra os bancos?

A ameaça vem tanto dos sistemas de entrega quanto dos próprios deepfakes. Os invasores modernos burlam a verificação de identidade usando ataques de injeção, nos quais o vídeo sintético é enviado diretamente para os fluxos de dados por meio de softwares de câmera virtual ou emuladores móveis. O aplicativo do banco acredita que está recebendo uma transmissão de câmera ao vivo, quando na verdade está processando uma fabricação digital. Esses ataques contornam a detecção de prova de vida completamente, funcionando contra verificações passivas e muitas soluções ativas de prova de vida (como virar a cabeça ou piscar) quando esses desafios não têm uma aleatoriedade real.

Ao mesmo tempo, a fraude baseada em deepfake está crescendo com a ascensão da fraude como serviço. Grupos organizados agora vendem acesso a ferramentas prontas de deepfake e infraestrutura de fraude de identidade, reduzindo drasticamente a barreira de entrada para os invasores. Isso cria um efeito de concentração: ferramentas compartilhadas, ativos reutilizados e operadores sobrepostos tornam essas redes mais visíveis para análises visuais e baseadas em gráficos, permitindo que os defensores descubram conexões e desmantelem redes inteiras de fraude, em vez de apenas impedir ataques individuais.

De acordo com uma análise recente de uma empresa de verificação de identidade, as tentativas de fraude cresceram 21% ano a ano, com uma em cada vinte tentativas de verificação sendo sinalizada como fraudulenta. Os invasores combinam cada vez mais deepfakes com phishing, engenharia social e roubo de contas para superar os controles tradicionais. É por isso que soluções como a Inteligência de Identidade Cognitiva da Oscilar vão além das verificações estáticas, correlacionando sinais de comportamento, infraestrutura e rede que identidades sintéticas — mesmo as altamente realistas — não conseguem replicar de forma consistente.

Por que a fraude de identidade sintética é o "inimigo invisível"?

O Federal Reserve Bank de Boston identifica a fraude de identidade sintética como o crime financeiro de crescimento mais rápido nos Estados Unidos, com prejuízos que ultrapassaram US$ 35 bilhões em 2023. Ao contrário do roubo de identidade tradicional, a fraude sintética cria identidades no estilo "Frankenstein", combinando um número de Seguro Social legítimo (geralmente de uma criança, idoso ou pessoa falecida) com nomes e datas de nascimento falsos.

Essas personas fabricadas são mantidas ativas por 12 a 24 meses. Os fraudadores solicitam crédito, são rejeitados (o que gera um histórico de crédito) e, gradualmente, constroem históricos de crédito excelentes. Quando aplicam o golpe final (o "bust-out") — esgotando os limites de crédito e sumindo —, a identidade sintética pode ter uma pontuação de crédito excelente de mais de 750. Nossa análise sobre IA generativa na detecção de fraudes mostra que os ataques de "bust-out" usando identidades sintéticas representaram US$ 2,9 bilhões apenas em financiamentos de automóveis e cartões de crédito.

O Kit de Ferramentas de Mitigação de Fraude de Identidade Sintética do Federal Reserve revela o desastre contábil: essas perdas normalmente são classificadas como "perdas de crédito" (dívidas não pagas) em vez de perdas por fraude. Os bancos acreditam que têm um problema de análise de crédito quando, na verdade, têm um problema de fraude, e essa classificação incorreta esconde bilhões das equipes de risco.

Mas as identidades sintéticas representam apenas uma dimensão da crise de identidade. As instituições financeiras também enfrentam desafios persistentes com "laranjas" de identidade — pessoas reais usando documentos genuínos que criam contas antes de os fraudadores assumirem o controle. Esses laranjas conseguem passar pela verificação de documentos e biometria facial, principalmente quando recrutados em países em desenvolvimento, onde o custo para cooptar um indivíduo é baixo. 

Diferente das identidades sintéticas, os laranjas deixam rastros limpos até o momento em que a conta é assumida, tornando-os quase invisíveis para os controles tradicionais de cadastro.

Como os criminosos estão industrializando os ataques de deepfake e identidade sintética?

O ataque à Arup não foi obra de um hacker isolado — foi o resultado de uma cadeia de suprimentos industrializada. A dark web opera como um mercado maduro de "Fraude como Serviço". Os serviços de geração de deepfakes custam a partir de US$ 15 por vídeo. "Corretores de acesso inicial" vendem credenciais de redes comprometidas, enquanto provedores oferecem botnets por assinatura que fazem os ataques parecerem vir de endereços residenciais legítimos.

A IA generativa acelerou a ameaça de forma inédita. O Federal Reserve alerta que a IA generativa age como "um acelerador" — automatizando a criação de identidades, aprendendo com as falhas e otimizando quais perfis têm mais sucesso em instituições específicas. Conforme detalhado em nossa análise sobre agentes de IA na gestão de risco e fraude, esses agentes conseguem navegar por interfaces bancárias, resolver CAPTCHAs e realizar milhares de microtransferências por redes de laranjas em segundos.

A verdade inconveniente: não é possível resolver a fraude industrializada por IA apenas aumentando a equipe. As equipes de análise manual ficarão sobrecarregadas com o volume.

Por que as defesas dos bancos continuam falhando?

As instituições financeiras organizam suas defesas em silos: as equipes de KYC cuidam do cadastro, as equipes de fraude monitoram as transações, as equipes de PLD observam a lavagem de dinheiro e as equipes de crédito gerenciam o risco de inadimplência. Os invasores aproveitam as brechas dessas divisões. Uma identidade sintética passa pelo KYC (os documentos parecem legítimos). O crédito aprova um empréstimo (a pontuação é excelente). A equipe de fraude sinaliza um dispositivo suspeito — mas como o usuário está "verificado" e tem "crédito aprovado", o alerta acaba sendo desconsiderado.

Essa abordagem em silos cria um paradoxo complexo. As equipes de risco e fraude, que veem as atividades fraudulentas como a totalidade do seu dia a dia (embora representem apenas 1% a 2% do comportamento real dos usuários), muitas vezes desenham fluxos e recursos com muito atrito, o que frustra os clientes legítimos. Enquanto isso, ataques realmente perigosos passam despercebidos porque as informações não circulam entre as camadas de defesa.

O desafio tem duas dimensões: organizacional e temporal. As instituições precisam distinguir a velocidade de detecção da velocidade de ação. Detectar algo suspeito pode acontecer instantaneamente, mas a gravidade da fraude e o valor estratégico da observação determinarão se a ação deve ser em tempo real ou deliberadamente adiada. Uma compra de US$ 50 pode ser aprovada instantaneamente. Já uma transação de um relógio de luxo de US$ 50.000? Tanto o comprador quanto o vendedor esperam uma análise mais rigorosa.

O Gartner prevê que, em 2026, 30% das empresas não confiarão mais em soluções isoladas de verificação de identidade. O modelo tradicional de KYC de validação única está ultrapassado. É por isso que a abordagem de IA focada em agentes da Oscilar foca em inteligência de risco contínua, em vez de segurança baseada em etapas estáticas.

Enquanto isso, apenas 22% do setor financeiro implementou ferramentas de prevenção a fraudes baseadas em IA, segundo a plataforma de identidade Signicat — um gargalo perigoso quando os criminosos operam na velocidade de APIs enquanto os defensores trabalham com processos em lote. Quase 60% das empresas relataram um aumento nas perdas por fraudes de 2024 para 2025.

Como é uma defesa eficaz em 2026?

Até 2026, uma defesa eficaz dependerá menos de regras isoladas e muito mais de inteligência integrada. Isso significa reunir sinais de identidade, dispositivo, comportamento e transação em uma única estrutura de decisão em tempo real, para que o risco seja avaliado de forma holística, e não em partes separadas.

A defesa contra deepfakes e fraudes modernas exige profundidade em quatro camadas interligadas:

Camada 1: Prevenção de cadastros em massa

Na camada mais externa, as equipes de risco trabalham com a segurança da informação para detectar preenchimento de credenciais (credential stuffing), criação de contas por bots e credenciais expostas à venda após vazamentos de dados. Isso interrompe os ataques antes que cheguem aos fluxos de validação de usuários reais.

Camada 2: Validação de cadastro e proposta

Além de validar os dados cadastrais básicos, controles eficazes nessa camada incluem a verificação de emprego e renda para produtos de crédito. Para empréstimos pessoais, financiamentos de veículos e hipotecas, essas checagens geram barreiras proporcionais ao risco — o que chamamos de atrito prudente, ajustado de acordo com a gravidade do evento e a precisão dos modelos de detecção.

Camada 3: Monitoramento comportamental pós-cadastro

Após a abertura da conta, o foco passa a ser a detecção de comportamentos suspeitos no momento das transações. Golpes de cartões de crédito aparecem em padrões logo na primeira compra. Fraudes em aplicativos de transporte se manifestam em anomalias de localização, distância percorrida ou modo de direção. Fraudes em marketplaces aparecem como crescimento explosivo de vendedores ou táticas de atraso planejadas para que os compradores pensem que os produtos estão a caminho.

Camada 4: Defesa contra invasão de contas

A engenharia social continua sendo o principal meio para invasão de contas (account takeover). O monitoramento constante do comportamento do acesso, troca de dispositivos e padrões de comunicação pode identificar quando o verdadeiro titular da conta foi substituído por um fraudador.

Plataformas como a Oscilar são projetadas para apoiar essa abordagem em várias frentes, permitindo decisões em tempo real sobre fraudes, crédito e conformidade usando sinais compartilhados e análises de baixíssima latência — para que as equipes possam responder rapidamente sem fragmentar suas defesas.

Prevenção de deepfakes em toda a superfície de ataque

Embora os deepfakes possam parecer realistas se analisados de forma isolada, eles deixam rastros ao longo do ciclo de uso do dispositivo, da sessão e do aplicativo.

A prevenção de deepfakes na origem começa com a análise do dispositivo e da interação usada para enviar um dado biométrico. A identificação do dispositivo (device fingerprinting), detecção de emuladores e câmeras virtuais, além de sinais comportamentais e cognitivos (como microtremores ao segurar o celular ou padrões de hesitação sob pressão) ajudam a revelar interações forçadas ou sintéticas antes mesmo de a biometria ser enviada.

Prevenir deepfakes no momento da captura envolve usar análises biométricas e de prova de vida baseadas em IA para avaliar se quem está se apresentando é realmente um ser humano. Isso vai além de desafios estáticos, analisando detalhes biométricos e dinâmicas de apresentação em busca de pequenas inconsistências que indiquem manipulação ou síntese.

Impedir deepfakes no envio significa tratar o aplicativo como uma entidade unificada, e não como um evento biométrico único. Assim que os dados entram no sistema, a Oscilar faz a correlação de sinais entre atributos de identidade, documentos, dispositivos, redes e padrões de comportamento — revelando discrepâncias como uma biometria facial altamente confiável associada a um dispositivo incomum, metadados de documentos incompatíveis ou contexto de transação suspeito.

Combatendo identidades sintéticas com dados de confiança

Para combater identidades sintéticas, o controle básico mais forte continua sendo o serviço eCBSV da Administração do Seguro Social nos EUA, que valida se o número do documento realmente corresponde à identidade informada. A Oscilar oferece suporte ao eCBSV através de provedores de identidade confiáveis como a Socure, e enriquece esses resultados com análises mais amplas da pegada digital — tempo do e-mail, histórico da operadora de telefone, reutilização do dispositivo e conexões na rede —, permitindo que as instituições financeiras separem dados falsificados de candidatos legítimos de baixo histórico, identificando padrões de fraude recorrentes em grande escala.

Os modelos avançados de aprendizado de máquina evoluíram além das previsões estáticas. Os recursos de processamento atuais permitem que as plataformas combinem todos os dados do usuário ao longo de toda a jornada, oferecendo uma visão completa que se mostra muito mais eficiente do que pontos isolados de decisão. Esse modelo contínuo de inteligência é o que diferencia as plataformas modernas das abordagens antigas.

O que os líderes financeiros devem fazer agora mesmo?

O plano de ação para 2026 exige cinco medidas imediatas:

1. Acabe com os silos

Se a sua equipe de fraude não tiver visibilidade sobre o que a equipe de KYC identificou, sua empresa estará vulnerável a ataques combinados. Elimine as barreiras organizacionais entre cadastro, transações, crédito e PLD.

2. Audite sua categoria de "perda de crédito"

Descubra quanto do prejuízo é, na verdade, fraude sintética disfarçada. Classificar essas perdas de forma correta trará orçamento e senso de urgência para construir barreiras adequadas.

3. Proteja o canal da câmera

Implemente a detecção de ataques de injeção e trate cada transmissão de vídeo como não confiável até que seja verificada de forma segura. A biometria pode até parecer perfeita — mas se o canal de envio estiver comprometido, a verificação perde o sentido.

4. Utilize agentes de defesa com inteligência artificial

Capacidades autônomas de investigação que crescem na mesma escala de ataques automatizados. Esses agentes podem analisar se uma atividade é legítima ou não, solicitar dados extras e identificar casos parecidos em filas de análise — permitindo que as equipes humanas trabalhem muito mais rápido.

5. Mude da segurança de portaria para o monitoramento contínuo

A confiança precisa ser conquistada novamente a cada acesso, a cada transação. O termo que vem ganhando força no mercado é KYX (Know Your Experience), substituindo o KYC tradicional de etapa única por uma validação contínua durante todo o ciclo de vida do cliente.

A pressão de órgãos reguladores também está crescendo. As regras de 2026 da NACHA exigem mecanismos de detecção de fraude razoáveis para débitos via web. Em vigor a partir de agosto de 2026, a Lei de IA da União Europeia exige identificação transparente de deepfakes e controles específicos. As empresas devem avaliar se seus fornecedores de tecnologia já atendem aos novos padrões técnicos do setor, como a norma CEN/TS 18099, que trata de injeção de dados biométricos. 

Como mostram iniciativas como o Protocolo de Agente Confiável da Visa, o futuro da confiabilidade está na verificação criptográfica de cada agente e fluxo de dados na rede de transação.

Construindo uma nova estrutura de confiança

O golpe de US$ 25,6 milhões contra a Arup revelou uma realidade dura: quando não podemos confiar no que vemos e ouvimos, precisamos confiar nos dados. A combinação de identidades sintéticas, injeção de deepfakes e automação inteligente deixou as estruturas tradicionais de segurança ultrapassadas.

A tecnologia para criar realidades simuladas já é uma realidade hoje. A única defesa viável é um sistema capaz de enxergar os padrões implícitos dessas criações — atuando de forma integrada e no ritmo das máquinas. Plataformas como a Oscilar constroem essa infraestrutura, unindo decisões baseadas em IA com verificação cognitiva de identidade para combater fraudes em tempo real.

Mas o futuro também pede que a gente repense a relação fundamental entre identidade, intenção e consequência. Em uma era em que agentes de IA realizam transações em nome das pessoas, muitos usuários reais vão priorizar a privacidade e a praticidade antes de revelar dados pessoais. O desafio dos gestores de risco não é exigir documentação perfeita em cada interação, mas calibrar as barreiras de controle com base na gravidade da ação e no grau de acerto do modelo de análise.

Isso vai muito além de evitar perdas e prejuízos. O que está em jogo é o próprio pilar da economia digital: a confiança.

Mantenha contato

Conecte-se conosco no LinkedIn para receber dicas e novidades importantes

Siga-nos

->