Os deepfakes deixaram de ser apenas uma curiosidade tecnológica para se tornarem uma ameaça real à confiança, à segurança financeira e às relações humanas.
Em entrevista à Risco, Elsa Veloso, CEO da DPO Consulting, alerta que, entre pagamentos fraudulentos, esquemas de CEO Fraud e manipulação emocional, empresas, bancos e cidadãos enfrentam um risco crescente, que já não se combate apenas com tecnologia, mas sobretudo com literacia digital, validação humana e uma nova cultura de cibersegurança.
Muitas vezes associamos deepfakes ao entretenimento ou a questões de imagem. De que forma é que esta tecnologia se tornou hoje uma ferramenta central de engenharia social e fraude financeira?
Durante algum tempo, os deepfakes foram vistos como uma curiosidade tecnológica. Hoje, o risco é muito mais concreto. Tornaram-se uma ferramenta de engenharia social, porque atacam o activo mais sensível das relações humanas e comerciais: a confiança.
Num contexto financeiro, a fraude já não surge apenas através de emails suspeitos. Pode aparecer sob a forma de uma voz conhecida, um rosto familiar ou de uma mensagem aparentemente legítima de um administrador, familiar ou gestor de conta.
A Europol já alertou para o uso da IA generativa em esquemas de fraude como BEC (Business Email Compromise) e CEO Fraud. Nestes ataques, os criminosos simulam comunicações legítimas para induzir pagamentos, alterações de IBAN ou envio de informação confidencial. Quando estas técnicas são potenciadas por deepfakes de voz ou imagem, o grau de credibilidade aumenta significativamente.
Porque é que idosos e pessoas vulneráveis são alvos preferenciais destas redes de extorsão?
A fraude explora vulnerabilidades humanas antes de explorar vulnerabilidades tecnológicas. Pessoas com menor literacia digital ou em situação de fragilidade emocional ou económica podem ter maior dificuldade em identificar sinais de manipulação digital, sobretudo quando a fraude surge sob a forma de ajuda, urgência familiar ou oportunidade financeira. A inteligência artificial (IA) permite personalizar mensagens, adaptar linguagem e tornar a manipulação mais convincente.
Para além da perda financeira directa, que danos psicológicos e reputacionais podem resultar para uma vítima?
Os danos vão muito além do dinheiro. Muitas vítimas sentem vergonha, culpa, medo e perda de confiança em si próprias. Em contexto empresarial, um colaborador induzido em erro pode sofrer danos reputacionais e impacto emocional significativo. É importante combater a ideia de que “só cai quem é ingénuo”. Estas fraudes são sofisticadas e desenhadas para manipular pessoas pressionadas e bem-intencionadas.
Como é que os deepfakes facilitam o “abuso de confiança” em transacções financeiras comparativamente a métodos de fraude tradicionais?
A grande diferença é a verosimilhança. A fraude tradicional tenta convencer; o deepfake faz parecer que a prova está diante de nós. Quando ouvimos a voz de alguém que conhecemos, ou vemos uma imagem aparentemente autêntica, tendemos a baixar as defesas.
Isto é particularmente perigoso em pagamentos urgentes, alterações de IBAN ou pedidos de transferência. A vítima deixa de estar apenas perante uma mensagem fraudulenta e passa a estar perante uma simulação de relação humana.
Qual é a responsabilidade das instituições financeiras e plataformas na protecção dos utilizadores?
As instituições financeiras e plataformas têm uma responsabilidade acrescida de prevenção, detecção e resposta. Devem existir mecanismos robustos de autenticação, monitorização de padrões anómalos, confirmação reforçada de operações sensíveis e comunicação clara com os clientes.
Qual o tipo de treino que deve ser dado a um cidadão comum para poder identificar uma tentativa de fraude financeira via deepfake?
O treino deve ser simples e muito prático. Deve aprender a desconfiar de pedidos urgentes, promessas de investimento garantido, contactos que pedem segredo ou transferências imediatas.
A regra de ouro é simples: perante pressão, parar e confirmar por outro canal. Nunca confiar apenas no contacto fornecido na mensagem suspeita.
Hoje, a literacia digital, a literacia em IA e a literacia em cibersegurança tornaram-se competências básicas de protecção pessoal e financeira. A capacidade de questionar, validar e pensar criticamente tornou-se uma das principais linhas de defesa contra este tipo de fraude.
As novas leis serão suficientes para travar o uso de deepfakes em esquemas de chantagem e extorsão?
A regulação é essencial, mas não será suficiente por si só. O AI Act introduz obrigações importantes de transparência relativamente a conteúdos gerados por IA, incluindo deepfakes, mas a criminalidade organizada adapta-se rapidamente.
Precisamos de uma resposta articulada entre regulação, supervisão, responsabilidade das plataformas, instituições financeiras e educação dos cidadãos.
A protecção deve combinar tecnologia, formação e mecanismos eficazes de reporte. A União Europeia (UE) está também a reforçar as obrigações de transparência relativamente a conteúdos gerados por IA, incluindo deepfakes, no âmbito do AI Act.
Que medidas preventivas devem as empresas adoptar agora?
Bons sistemas de tecnologias de informação (TI) são indispensáveis, mas não são suficientes. O risco associado aos deepfakes e à fraude por IA é simultaneamente tecnológico, humano e reputacional.
As empresas devem reforçar urgentemente a literacia em IA e a cultura de cibersegurança dentro das organizações. Os colaboradores precisam de compreender como a IA pode ser utilizada em ataques, incluindo fraude por voz, phishing e manipulação digital.
Simultaneamente, é essencial implementar processos robustos de validação. Nenhuma transferência relevante ou alteração de IBAN deve depender exclusivamente de um email. Devem existir mecanismos de dupla validação, confirmação independente e workflows de aprovação para operações sensíveis.
Também é fundamental reforçar controlos tecnológicos, incluindo autenticação reforçada, monitorização de acessos e detecção de comportamentos anómalos.
Como devem os Recursos Humanos preparar-se para lidar com colaboradores que possam ser vítimas destas fraudes no contexto de trabalho?
Devem tratar estes casos como incidentes de segurança e também como situações humanas sensíveis, garantindo apoio, confidencialidade e articulação com as equipas de compliance, TI e jurídico.
Um colaborador vítima de deepfake não deve ser automaticamente visto como o elo fraco, mas como alvo de uma operação sofisticada.
Num mundo onde a IA já consegue imitar vozes, rostos e decisões, a maior vulnerabilidade das organizações deixará de ser tecnológica – passará a ser a falta de literacia crítica, ética e humana.
