A industrialização da fraude de identidade na era IA

A industrialização da fraude de identidade na era da inteligência artificial generativa

A transformação provocada pela inteligência artificial generativa ultrapassou há muito tempo o campo da produtividade, da automação e da criação de conteúdo. A mesma tecnologia capaz de produzir textos, imagens, vozes e vídeos com elevado grau de realismo também reduziu barreiras técnicas que historicamente dificultavam a execução de determinados crimes digitais. Entre os cenários mais preocupantes está a evolução das fraudes de identidade, nas quais documentos manipulados, imagens sintéticas, deepfakes e mecanismos automatizados de personificação podem ser combinados para criar identidades fraudulentas com aparência cada vez mais convincente.

Um levantamento divulgado pela InfoMoney, com base em dados da empresa de verificação de identidade Unico e de inteligência da Liminal, aponta uma redução superior a cem vezes no custo de ataques sofisticados entre junho de 2025 e abril de 2026. A pesquisa também identificou um caso em que um único perfil fraudulento teria sido associado a 949 identidades diferentes e alcançado até 30 empresas. Segundo a reportagem, cerca de 90% dos profissionais de fraude consultados consideram conteúdos sintéticos, incluindo documentos manipulados e personificação por bots, entre as principais preocupações atuais.

Para a cibersegurança, esses dados representam uma mudança estrutural. O problema não consiste apenas em criminosos produzirem falsificações mais convincentes. A verdadeira transformação está na economia da fraude: técnicas que antes exigiam conhecimento especializado, equipamentos, tempo e recursos financeiros passaram a ser mais acessíveis e escaláveis.

A consequência é uma alteração no equilíbrio entre ataque e defesa. Se o custo para produzir uma fraude sofisticada diminui drasticamente, organizações financeiras, empresas de tecnologia, seguradoras, plataformas digitais e órgãos públicos precisam elevar simultaneamente sua capacidade de detecção, autenticação e resposta.

 

Da falsificação artesanal à fraude automatizada

Durante muito tempo, a fraude de identidade dependia de uma combinação de habilidades humanas e recursos físicos.

Um criminoso precisava, em muitos casos, obter documentos, modificar imagens, reproduzir assinaturas, falsificar informações ou convencer outra pessoa a participar da operação. A escala era limitada pela capacidade operacional dos envolvidos.

A inteligência artificial generativa altera essa equação.

Hoje, diferentes etapas de uma operação fraudulenta podem ser aceleradas por ferramentas digitais capazes de produzir ou modificar conteúdos em poucos segundos. O resultado é uma redução do custo operacional e uma ampliação da capacidade de repetição.

Isso cria uma espécie de industrialização da fraude.

Em vez de uma operação isolada, o criminoso pode estruturar processos automatizados para testar diferentes identidades, plataformas e métodos de autenticação.

O ataque passa a funcionar como uma cadeia:

obtenção de dados → criação ou adaptação de identidade → produção de conteúdo sintético → tentativa de autenticação → exploração financeira → repetição em escala.

Essa mudança é especialmente perigosa porque transforma a fraude de identidade em um problema de volume.

Quando uma técnica pode ser reproduzida milhares de vezes a um custo reduzido, mesmo uma taxa de sucesso relativamente pequena pode gerar prejuízos expressivos.

 

O deepfake como ferramenta de personificação

Entre as tecnologias mais conhecidas nesse cenário estão os deepfakes.

Eles podem envolver:

  • imagens sintéticas;

  • manipulação facial;

  • clonagem de voz;

  • vídeos modificados;

  • avatares artificiais;

  • conteúdos multimodais.

O problema para os sistemas tradicionais de segurança é que muitos mecanismos de autenticação foram desenvolvidos considerando que determinadas características seriam difíceis de reproduzir.

Uma fotografia, por exemplo, costumava ser tratada como uma representação relativamente confiável da identidade de uma pessoa.

Uma gravação de voz também poderia ser utilizada como elemento adicional de autenticação.

Com a evolução da IA generativa, essas premissas precisam ser revistas.

O que antes funcionava como evidência de identidade pode agora ser produzido artificialmente.

Por isso, o setor de segurança está migrando gradualmente de uma lógica baseada em “isso parece verdadeiro” para uma abordagem orientada à “prova de autenticidade e contexto”.

 

A identidade digital tornou-se um alvo estratégico

A identidade é um dos ativos mais valiosos do ambiente digital.

Quando um criminoso assume a identidade de uma pessoa, pode tentar acessar:

  • contas bancárias;

  • cartões;

  • serviços financeiros;

  • plataformas de crédito;

  • benefícios;

  • contas corporativas;

  • sistemas internos;

  • serviços públicos;

  • plataformas de comércio eletrônico.

Em alguns casos, o objetivo não é simplesmente roubar dinheiro diretamente.

A identidade comprometida pode ser utilizada como uma porta de entrada para outros ataques.

Por exemplo:

identidade fraudulenta → abertura de conta → criação de histórico → obtenção de crédito → movimentação financeira → fraude em cadeia.

Essa estratégia torna a detecção mais difícil porque cada etapa pode parecer legítima quando analisada isoladamente.

O comportamento só se torna claramente suspeito quando a organização observa o conjunto de eventos.

 

O risco de múltiplas identidades vinculadas ao mesmo fraudador

Um dos dados mais relevantes apresentados na reportagem da InfoMoney é a identificação de um perfil fraudulento associado a centenas de identidades diferentes e relacionado a dezenas de empresas. Esse tipo de ocorrência demonstra que a fraude moderna pode ultrapassar o conceito tradicional de um indivíduo utilizando um documento falso.

O criminoso pode tentar construir uma rede de identidades aparentemente independentes.

Cada identidade pode possuir:

  • nome diferente;

  • documento diferente;

  • endereço diferente;

  • número de telefone diferente;

  • endereço de e-mail diferente.

Para uma organização que analisa cada cadastro individualmente, as contas podem parecer legítimas.

Entretanto, quando os dados são correlacionados, podem surgir conexões.

O mesmo dispositivo pode aparecer em diversas contas.

O mesmo endereço IP pode estar relacionado a múltiplos perfis.

O mesmo padrão de comportamento pode se repetir.

O mesmo documento pode apresentar inconsistências.

A mesma infraestrutura digital pode ser utilizada para registrar identidades aparentemente distintas.

Esse é um dos motivos pelos quais a segurança moderna precisa abandonar análises isoladas e adotar mecanismos de correlação de identidade.

 

A fraude como problema de inteligência de dados

A detecção moderna não pode depender exclusivamente da análise documental.

Documentos podem ser falsificados.

Imagens podem ser sintetizadas.

Vozes podem ser clonadas.

Informações pessoais podem ser obtidas por vazamentos.

Por isso, a identidade precisa ser avaliada em múltiplas dimensões.

Entre os sinais que podem ser analisados estão:

  • dispositivo utilizado;

  • localização aproximada;

  • comportamento de navegação;

  • velocidade de preenchimento;

  • padrão de digitação;

  • histórico de acesso;

  • relacionamento entre contas;

  • características biométricas;

  • consistência documental;

  • reputação do ambiente de conexão.

Nenhum desses sinais deve necessariamente determinar sozinho a legitimidade de uma pessoa.

A força está na combinação.

Uma identidade pode apresentar um documento aparentemente perfeito, mas estar sendo utilizada por um dispositivo já associado a dezenas de fraudes.

Outro cadastro pode possuir uma fotografia legítima, mas apresentar um padrão de comportamento incompatível com o histórico declarado.

A inteligência de segurança surge justamente da correlação desses elementos.

 

O papel da inteligência artificial na defesa

A mesma tecnologia que amplia a capacidade dos fraudadores também pode fortalecer os mecanismos de proteção.

Sistemas de IA podem auxiliar na identificação de:

  • padrões anormais;

  • documentos manipulados;

  • comportamentos automatizados;

  • redes de contas relacionadas;

  • tentativas repetitivas;

  • inconsistências biométricas;

  • alterações suspeitas.

Algoritmos podem analisar grandes volumes de dados em tempo real, algo difícil de executar exclusivamente por equipes humanas.

Entretanto, existe uma corrida tecnológica.

À medida que os sistemas defensivos evoluem, os atacantes também aprimoram suas técnicas.

Isso cria um ciclo contínuo:

IA para fraude → IA para detecção → novas técnicas de evasão → novos modelos defensivos.

A segurança passa a ser uma disputa de adaptação permanente.

 

O desafio dos bots e da automação

A automação representa outra dimensão importante.

Bots podem ser utilizados para realizar tarefas repetitivas em grande escala, como tentativas de cadastro, autenticação ou validação de informações.

Quando combinados com conteúdo sintético, esses mecanismos podem aumentar significativamente a capacidade operacional de uma rede criminosa.

Isso significa que as organizações precisam identificar não apenas quem está tentando realizar uma ação, mas também como essa ação está sendo executada.

Comportamentos automatizados podem apresentar características como:

  • velocidade excessiva;

  • repetição de padrões;

  • múltiplas contas originadas de ambientes semelhantes;

  • navegação artificialmente uniforme;

  • ausência de variações naturais de comportamento.

Por outro lado, sistemas de segurança precisam evitar bloqueios excessivos.

Uma automação legítima pode apresentar características semelhantes às de uma operação fraudulenta.

Por isso, o desafio é equilibrar segurança e experiência do usuário.

 

O caso brasileiro e a escala do problema

O Brasil possui características que tornam o tema especialmente relevante.

A economia digital cresceu rapidamente, enquanto serviços financeiros, pagamentos instantâneos e plataformas digitais passaram a fazer parte da rotina de milhões de pessoas.

A reportagem da InfoMoney cita o Brasil como um mercado relevante para compreender essa transformação e menciona centenas de milhares de tentativas de deepfake bloqueadas na região. O levantamento também aponta que métodos avançados representam uma parcela expressiva dos ataques monitorados globalmente e uma proporção ainda maior na América Latina.

Esse contexto cria uma situação paradoxal.

A digitalização facilita o acesso legítimo a serviços, mas também oferece aos criminosos uma superfície de ataque extremamente ampla.

Quanto mais processos são digitalizados, maior é a importância da identidade digital.

Consequentemente, proteger a identidade passa a ser tão importante quanto proteger servidores e redes.

 

A relação entre fraude de identidade e engenharia social

A tecnologia, sozinha, não explica a evolução do problema.

A engenharia social continua sendo um componente central.

Um criminoso pode combinar técnicas tecnológicas com manipulação psicológica.

Uma pessoa pode receber uma mensagem aparentemente legítima, participar de uma chamada de vídeo ou fornecer informações acreditando estar interagindo com uma instituição verdadeira.

A IA pode tornar essa interação mais convincente.

O ataque deixa de ser apenas técnico.

Passa a envolver:

tecnologia + engenharia social + dados pessoais + automação.

Esse modelo híbrido é particularmente difícil de combater porque ultrapassa as fronteiras tradicionais da segurança da informação.

A organização precisa proteger simultaneamente seus sistemas e seus processos humanos.

 

A biometria ainda é suficiente?

A biometria continua sendo uma ferramenta importante, mas não deve ser considerada uma solução absoluta.

Sistemas biométricos modernos podem utilizar:

  • reconhecimento facial;

  • impressão digital;

  • voz;

  • íris;

  • características comportamentais.

Entretanto, ataques de apresentação e técnicas sintéticas desafiam modelos tradicionais.

A segurança biométrica precisa incorporar mecanismos de liveness detection, capazes de avaliar se existe uma pessoa real presente no processo de autenticação.

Mesmo assim, a autenticação deve ser multifatorial.

Uma identidade não deveria depender de um único elemento.

O modelo mais seguro combina diferentes fatores:

algo que o usuário sabe + algo que possui + algo que é + contexto de comportamento.

Essa abordagem dificulta a exploração de uma única vulnerabilidade.

 

O princípio de confiança adaptativa

Uma das tendências mais importantes na segurança de identidade é a autenticação adaptativa.

Nesse modelo, o nível de verificação pode mudar conforme o risco.

Uma transação comum, realizada por um usuário conhecido em um dispositivo habitual, pode exigir menos etapas.

Já uma operação realizada em circunstâncias incomuns pode exigir validações adicionais.

Por exemplo:

novo dispositivo + localização inesperada + comportamento atípico + valor elevado = risco elevado.

Nesse cenário, o sistema pode solicitar autenticação adicional.

Essa abordagem reduz o atrito para usuários legítimos e concentra os controles mais rigorosos nas operações de maior risco.

 

A importância da inteligência de grafos

Quando um criminoso utiliza múltiplas identidades, a análise tradicional de registros pode não ser suficiente.

Uma abordagem baseada em grafos permite visualizar relacionamentos.

Por exemplo:

Identidade A → dispositivo X

Identidade B → dispositivo X

Identidade C → endereço IP Y

Identidade D → telefone Z

Se diferentes identidades apresentam conexões recorrentes, o sistema pode identificar uma possível rede coordenada.

Essa abordagem é particularmente útil para combater:

  • contas sintéticas;

  • redes de fraude;

  • lavagem de dinheiro;

  • abuso de plataformas;

  • múltiplas contas controladas por um mesmo operador.

O objetivo não é necessariamente bloquear automaticamente todos os indivíduos relacionados.

A finalidade é gerar sinais para investigação e elevar o nível de verificação quando necessário.

 

O risco para empresas e instituições financeiras

A fraude de identidade pode provocar impactos significativos em diversos setores.

Entre eles:

Bancos

Podem ocorrer abertura fraudulenta de contas, empréstimos indevidos e movimentações suspeitas.

Seguradoras

Identidades falsas podem ser utilizadas em apólices fraudulentas ou solicitações de indenização.

Varejo

Criminosos podem tentar criar contas, utilizar créditos ou realizar compras fraudulentas.

Telecomunicações

Identidades sintéticas podem ser usadas para obtenção de linhas ou realização de ataques de troca de SIM.

Empresas

Identidades falsas podem ser empregadas para infiltração em processos de contratação ou acesso a sistemas internos.

Isso mostra que o problema possui uma dimensão transversal.

 

Identidade sintética e o risco para a segurança corporativa

Um aspecto particularmente preocupante é a possibilidade de construção gradual de identidades sintéticas.

Em vez de falsificar completamente uma identidade, o criminoso pode combinar informações reais e falsas.

Por exemplo:

dados reais + endereço falso + telefone controlado pelo fraudador + documento manipulado.

Essa identidade pode ser utilizada durante meses para construir reputação.

O criminoso pode criar histórico de movimentações aparentemente legítimas antes de realizar uma fraude maior.

Essa estratégia dificulta a detecção baseada apenas em eventos isolados.

A organização precisa observar a trajetória da identidade.

 

Como as empresas devem se proteger

A resposta deve começar pela arquitetura.

Uma estratégia robusta pode incluir:

  • autenticação multifator;

  • biometria com detecção de presença;

  • análise comportamental;

  • inteligência de dispositivos;

  • detecção de bots;

  • análise de documentos;

  • correlação de identidades;

  • monitoramento contínuo;

  • revisão de transações de alto risco.

Além disso, é fundamental estabelecer políticas claras de resposta.

Quando uma fraude é detectada, a organização precisa saber:

  • como bloquear a conta;

  • como preservar evidências;

  • como investigar identidades relacionadas;

  • como impedir novas tentativas;

  • como comunicar o incidente.

A velocidade da resposta é essencial.

 

A proteção contra deepfakes exige múltiplas camadas

Nenhum detector de deepfake deve ser considerado infalível.

A melhor estratégia é combinar diferentes sinais.

Uma organização pode analisar simultaneamente:

  • autenticidade documental;

  • biometria;

  • prova de vida;

  • dispositivo;

  • comportamento;

  • histórico;

  • contexto da transação.

Se apenas uma camada for enganada, outras podem identificar a inconsistência.

Esse conceito é semelhante à defesa em profundidade utilizada na segurança de redes.

A diferença é que agora o alvo é a identidade.

 

Governança e proteção de dados

A evolução da fraude também aumenta a responsabilidade das empresas no tratamento de dados pessoais.

Quanto mais informações uma organização armazena, maior pode ser o impacto de um vazamento.

Dados como:

  • documentos;

  • fotografias;

  • biometria;

  • endereços;

  • telefones;

podem ser utilizados para alimentar novas tentativas de fraude.

Por isso, medidas de proteção de dados precisam incluir:

  • minimização;

  • criptografia;

  • controle de acesso;

  • retenção adequada;

  • monitoramento;

  • resposta a incidentes.

A segurança da identidade começa antes do processo de autenticação.

Ela começa na proteção dos dados utilizados para provar quem uma pessoa é.

 

O novo equilíbrio entre segurança e experiência do usuário

Existe, entretanto, um desafio importante.

Quanto mais controles uma empresa adiciona, maior pode ser o atrito para usuários legítimos.

Exigir múltiplas validações em todas as situações pode prejudicar a experiência.

Por outro lado, simplificar excessivamente os processos facilita ataques.

A solução está em mecanismos adaptativos.

A autenticação deve ser proporcional ao risco.

Operações de baixo risco podem ser rápidas.

Operações de alto risco devem exigir maior comprovação.

Essa abordagem permite combinar segurança e usabilidade.

 

A necessidade de uma mudança cultural

A fraude de identidade na era da IA generativa não é apenas um problema tecnológico.

É também uma questão de governança.

Executivos precisam compreender que identidade digital é um ativo estratégico.

Equipes de tecnologia precisam tratar autenticação como parte da arquitetura.

Profissionais de segurança precisam monitorar comportamento.

Equipes jurídicas precisam acompanhar regulamentações.

Usuários precisam compreender os riscos.

O combate à fraude exige colaboração entre diferentes áreas.

 

Conclusão

A redução expressiva do custo associado a ataques sofisticados de identidade representa uma das mudanças mais relevantes no cenário contemporâneo de cibersegurança. A inteligência artificial generativa não criou a fraude digital, mas alterou profundamente sua economia operacional. Técnicas que antes dependiam de conhecimento especializado e recursos significativos podem agora ser utilizadas com maior velocidade, escala e sofisticação.

O problema central, portanto, não está apenas na existência de deepfakes ou documentos manipulados. A ameaça real surge quando essas tecnologias são combinadas com automação, engenharia social, dados vazados e redes criminosas capazes de operar múltiplas identidades simultaneamente.

A informação divulgada pela InfoMoney sobre a redução superior a cem vezes no custo de ataques sofisticados, associada à identificação de um perfil relacionado a centenas de identidades, demonstra a dimensão potencial do problema.

Para enfrentar essa realidade, empresas precisam abandonar modelos de autenticação baseados exclusivamente em documentos, senhas ou imagens. A identidade moderna deve ser validada por meio de uma combinação de fatores técnicos, comportamentais e contextuais.

A inteligência artificial também deve ser utilizada na defesa. Sistemas capazes de correlacionar dispositivos, comportamentos, identidades e transações podem ajudar a detectar redes fraudulentas que seriam praticamente invisíveis quando cada evento é analisado individualmente.

A principal conclusão é que a era da IA generativa está transformando a fraude de identidade em um problema de escala industrial. A redução do custo para executar ataques aumenta o número potencial de adversários e exige que as organizações também automatizem sua capacidade de defesa.

No futuro, a segurança da identidade dependerá cada vez menos da pergunta “este documento parece verdadeiro?” e cada vez mais de uma análise abrangente: “essa identidade, neste dispositivo, neste contexto e neste momento, apresenta evidências suficientes de autenticidade?”

Essa mudança de paradigma será essencial para preservar a confiança nos serviços digitais. A tecnologia que facilita a criação de identidades falsas também pode fortalecer a proteção contra elas. O desafio será garantir que a inovação defensiva avance em velocidade igual ou superior à capacidade de adaptação dos criminosos.

 

Referências bibliográficas