A fraude perfeita? Como deepfakes estão explorando o fator humano nas organizações
A inteligência artificial tem sido incorporada de forma acelerada ao cotidiano das organizações. Ferramentas baseadas em IA vêm otimizando tarefas operacionais, reduzindo o tempo de execução de processos, aumentando a eficiência de análises e contribuindo para decisões mais precisas em áreas estratégicas. Em setores intensivos em dados, logística complexa e operações sensíveis ao tempo, como exportação e atividades portuárias, os ganhos de produtividade são evidentes. O entusiasmo, contudo, não pode obscurecer uma realidade incontornável: toda nova tecnologia carrega consigo não apenas benefícios, mas também novos riscos, vulnerabilidades e desafios jurídicos, operacionais e humanos.
Entre esses riscos, um dos que mais têm crescido em sofisticação e impacto prático é o uso de deepfakes por criminosos. Deepfakes são conteúdos audiovisuais — especialmente vídeos e áudios — gerados ou manipulados por inteligência artificial para simular, com alto grau de realismo, a imagem, a voz e os gestos de pessoas reais. Em termos simples, trata-se de uma tecnologia capaz de “colocar palavras na boca” de alguém que jamais as disse ou de criar a ilusão de que determinada pessoa realizou uma comunicação que nunca ocorreu. Embora a tecnologia tenha aplicações legítimas no entretenimento, na educação e em processos criativos, ela vem sendo amplamente instrumentalizada em fraudes, golpes financeiros, engenharia social e esquemas de extorsão. Infelizmente, o número de vítimas tem crescido, e o perfil das vítimas já não se limita a indivíduos isolados: empresas e organizações vêm ocupando posição de destaque nesse novo cenário de risco.
No ambiente corporativo, a utilização criminosa de deepfakes tem demonstrado um potencial particularmente perigoso. Em 2019, uma empresa do setor de energia no Reino Unido foi vítima de um golpe no qual um funcionário transferiu cerca de 220 mil euros após receber uma ligação com a voz idêntica à de seu diretor executivo, solicitando urgência na operação. Em 2024, um grupo empresarial em Hong Kong sofreu um prejuízo ainda mais expressivo quando um colaborador participou de uma suposta videoconferência com “executivos” da companhia e, acreditando estar diante de superiores hierárquicos reais, autorizou transferências que totalizaram milhões de dólares. Em ambos os casos, não houve invasão de sistemas, exploração de falhas técnicas ou quebra de criptografia: o ponto de entrada do ataque foi o fator humano, explorado por meio de uma tecnologia capaz de reproduzir com impressionante fidelidade a identidade de pessoas de confiança.
Esse tipo de fraude tende a encontrar terreno fértil em ambientes organizacionais nos quais decisões precisam ser tomadas com rapidez, fluxos financeiros são elevados e cadeias de comando envolvem múltiplos níveis de autorização. Solicitações urgentes, pagamentos extraordinários, adiantamentos contratuais ou ajustes operacionais de última hora passam a representar vetores potenciais de ataque, quando mediados por comunicações que aparentam vir de diretores, parceiros estratégicos ou autoridades internas. O risco não está apenas na perda financeira imediata, mas também em danos reputacionais, impactos regulatórios e possíveis responsabilizações decorrentes de falhas em controles internos.
Diante desse cenário, torna-se indispensável que as organizações tratem o risco de deepfakes não como uma curiosidade tecnológica, mas como um componente real da sua gestão de riscos corporativos. Programas de treinamento e conscientização de colaboradores passam a ser tão relevantes quanto investimentos em soluções técnicas de segurança da informação. Funcionários precisam ser preparados para reconhecer padrões de engenharia social, desconfiar de solicitações atípicas, compreender que a aparência de legitimidade de uma chamada de vídeo ou de áudio já não é, por si só, garantia de autenticidade. Além disso, fluxos internos devem ser desenhados de modo a exigir validações adicionais para demandas fora do padrão, especialmente aquelas que envolvam transferências de valores relevantes, alteração de procedimentos críticos ou decisões que não façam parte da rotina operacional normal.
Nesse contexto, medidas simples podem representar uma camada adicional de proteção. A criação de procedimentos de dupla verificação, a exigência de confirmação por canais distintos e previamente estabelecidos, e até mesmo a adoção de códigos ou palavras-chave internas para validação de solicitações sensíveis podem reduzir significativamente o risco de sucesso de golpes baseados em deepfakes. O objetivo não é criar entraves burocráticos desnecessários, mas construir uma cultura organizacional na qual a cautela seja percebida como parte da boa governança corporativa, do compliance e da proteção dos próprios negócios. Em um cenário em que a tecnologia avança em ritmo acelerado, a maturidade digital das organizações passa menos pela adoção irrefletida de inovações e mais pela capacidade de compreender seus impactos, antecipar riscos e estruturar respostas jurídicas, organizacionais e humanas à altura dos desafios do presente.
