Um funcionário de finanças da empresa global de engenharia Arup transferiu quase US$ 25 milhões após participar de uma videoconferência que parecia incluir o diretor financeiro da companhia e colegas, apenas para descobrir posteriormente que quase todos os participantes haviam sido gerados por IA. O incidente foi bem-sucedido porque os atacantes contornaram controles técnicos ao explorar a confiança humana por meio de vozes e rostos sintéticos convincentes durante a chamada. Segundo um novo guia publicado pela Resemble AI, esse caso se tornou um exemplo emblemático de como os deepfakes evoluíram de demonstrações isoladas para um risco de segurança de uso comum, afetando empresas, instituições financeiras e agências governamentais, com pesquisas da Gartner, FBI e Fórum Econômico Mundial mapeando o cenário crescente de ameaças.
Funcionário da Arup Autoriza Transferência de US$ 25 Milhões Durante Videoconferência Gerada por IA
O incidente na Arup tornou-se o estudo de caso principal do setor sobre fraude com deepfake por IA. Um funcionário de finanças inicialmente suspeitou de um e-mail de phishing solicitando uma transação confidencial. Em vez de agir imediatamente, o funcionário entrou em uma videoconferência que parecia incluir o diretor financeiro e alguns colegas. Todos pareciam autênticos e soavam autênticos, e a reunião parecia totalmente legítima. Seguindo as instruções recebidas na chamada, o funcionário autorizou múltiplas transferências bancárias totalizando cerca de US$ 25 milhões. Somente depois os investigadores descobriram que quase todos os participantes na chamada haviam sido gerados por IA. O ataque foi bem-sucedido porque contornou controles técnicos que as organizações passaram décadas aprimorando, sem malware, endpoint comprometido ou anexos maliciosos. O funcionário havia identificado corretamente o e-mail suspeito, mas esse julgamento foi sobreposto pela confirmação aparente fornecida por rostos e vozes familiares durante a reunião.
Gartner Relata que 62% das Organizações Sofreram Ataques com Deepfake
Segundo pesquisa da Gartner citada no relatório da Resemble AI, 62% das organizações enfrentaram um ataque de deepfake nos últimos 12 meses. Quase sete em cada dez ataques visaram sistemas de vídeo, enquanto 67% focaram em comunicações por voz. O relatório do FBI de 2025 do Internet Crime Complaint Center estimou que golpes habilitados por IA geraram aproximadamente US$ 893 milhões em perdas reportadas. Pesquisadores também estimam que cerca de oito milhões de peças de mídia sintética circulavam online em 2025, representando um crescimento explosivo em relação a poucos anos antes. Embora as estimativas variem conforme a metodologia, todos os principais estudos apontam na mesma direção: o engano gerado por IA está se expandindo a um ritmo que os controles de segurança existentes nunca foram projetados para lidar. Para instituições financeiras, as implicações vão muito além de desinformação em redes sociais, pois todo processo que depende de reconhecimento de voz, verificação por vídeo ou confiança na identidade digital se torna uma potencial superfície de ataque.
Tecnologia de Clonagem de Voz Precisa de Apenas Segundos de Áudio
O relatório da Resemble AI argumenta que as organizações devem parar de ver deepfakes como eventos isolados de cibersegurança e tratá-los como um problema de identidade. A tecnologia de clonagem de voz agora precisa de apenas segundos de áudio disponível publicamente para produzir imitações convincentes. Apresentações em conferências, chamadas de resultados, podcasts e entrevistas se tornam efetivamente material de treinamento para atacantes que buscam se passar por executivos. A geração de vídeo passou por melhorias semelhantes, com o que antes exigia efeitos visuais caros agora sendo produzido por ferramentas de IA de consumo capazes de gerar expressões faciais convincentes, fala sincronizada e chamadas de vídeo realistas. A Gartner previu anteriormente que até 2026, 30% das empresas não considerariam mais a verificação de identidade confiável por si só devido aos deepfakes gerados por IA, uma previsão que o relatório destaca como cada vez mais relevante à medida que os ataques se tornam mais sofisticados.
Serviços Financeiros Enfrentam Impersonificação de Executivos e Golpes de Investimento
Embora os ataques com deepfake afetem múltiplos setores, os serviços financeiros enfrentam uma exposição única, pois muitas decisões de alto valor dependem de comunicações confiáveis. Aprovações de pagamento, recuperação de contas, onboarding remoto, consultas de gestão de patrimônio e suporte ao cliente cada vez mais ocorrem por canais digitais onde a identidade é tradicionalmente estabelecida visualmente ou por reconhecimento de voz. O guia identifica vários padrões de ataque recorrentes que já afetam organizações. A impersonificação de executivos continua sendo a categoria de maior valor, usando executivos clonados para autorizar pagamentos fraudulentos. Golpes de investimento continuam usando vídeos gerados por IA de políticos, celebridades e personalidades financeiras promovendo plataformas falsas de negociação ou criptomoedas. Fraudes na contratação também crescem, com identidades sintéticas e candidatos gerados por IA tentando obter emprego dentro de organizações para acessar sistemas ou informações sensíveis. Fraudes ao consumidor evoluem com vozes geradas por IA que imitam familiares durante golpes de sequestro virtual ou ataques de impersonificação no atendimento ao cliente.
Ferramentas de Segurança Tradicionais Não Detectam Ataques Baseados em Percepção
O relatório afirma que a maior parte dos investimentos em cibersegurança foca na detecção de softwares maliciosos, e-mails suspeitos ou dispositivos comprometidos, mas os deepfakes operam de forma diferente, atacando a percepção ao invés de redes. Quando um funcionário legítimo autoriza um pagamento usando um laptop confiável durante uma reunião de vídeo aparentemente normal, controles de segurança convencionais muitas vezes não detectam nada incomum. Não há anexos maliciosos para isolar e nenhum dispositivo comprometido, apenas um humano tomando uma decisão de negócio que parece legítima com base em evidências visuais e auditivas fraudulentas. Essa distinção explica por que as empresas cada vez mais veem a detecção de deepfakes como uma disciplina de segurança separada, e não uma extensão das tecnologias anti-phishing existentes.
Guia da Resemble AI Recomenda Estratégia de Defesa em Quatro Camadas
Em vez de confiar em uma única solução, o relatório recomenda uma abordagem em camadas que combina quatro capacidades complementares. A primeira foca na verificação de identidade por meio de detecção de vivacidade e autenticação contínua. A segunda estabelece a proveniência usando tecnologias como Content Credentials e marca d’água digital para verificar a origem do conteúdo. A terceira emprega sistemas de detecção de IA capazes de analisar áudio, vídeo e imagens em busca de artefatos associados à geração sintética, fornecendo resultados explicáveis que equipes de segurança podem investigar. A última camada vai além da detecção, com monitoramento contínuo, permitindo às organizações identificar impersonificação de executivos, uso fraudulento de marcas e outros deepfakes circulando publicamente antes que ganhem tração. Segundo o relatório, nenhuma camada individual consegue eliminar a ameaça completamente, e as organizações devem assumir que atacantes eventualmente contornarão controles específicos, planejando seus programas de segurança de acordo.
FAQ
O que aconteceu no incidente de deepfake na Arup?
Um funcionário de finanças da Arup transferiu quase US$ 25 milhões após participar de uma videoconferência que parecia incluir o diretor financeiro e colegas. Investigadores descobriram posteriormente que quase todos os participantes haviam sido gerados por IA, com atacantes usando vozes e rostos sintéticos convincentes para explorar a confiança humana e contornar controles de segurança técnicos.
Quantas organizações sofreram ataques com deepfake segundo a Gartner?
Segundo pesquisa da Gartner citada no relatório da Resemble AI, 62% das organizações enfrentaram um ataque de deepfake nos últimos 12 meses. Quase sete em cada dez ataques visaram sistemas de vídeo, enquanto 67% focaram em comunicações por voz, com o FBI estimando cerca de US$ 893 milhões em perdas reportadas por golpes habilitados por IA.
Que estratégia de defesa o guia da Resemble AI recomenda contra deepfakes?
O guia recomenda uma estratégia em quatro camadas que combina verificação de identidade por detecção de vivacidade e autenticação contínua, estabelecimento de proveniência usando Content Credentials e marca d’água digital, sistemas de detecção de IA capazes de analisar áudio e vídeo por artefatos sintéticos, e monitoramento contínuo para identificar impersonificação de executivos e uso fraudulento de marcas antes que ganhem tração.
