A engenharia social sempre se apoiou em um princípio simples: fazer alguém confiar na pessoa errada. O que mudou agora é a qualidade da simulação. Com o avanço dos deepfakes, a fraude deixou de imitar apenas mensagens, domínios e documentos para imitar presença: voz, rosto, contexto e autoridade.
Durante anos, as empresas aprenderam a desconfiar de e-mails maliciosos, links suspeitos e anexos falsos. Esses vetores continuam relevantes, mas já não explicam sozinhos o estágio atual da ameaça. Hoje, o risco também pode aparecer em uma ligação aparentemente legítima, em uma reunião por vídeo ou em uma solicitação feita por alguém que parece um executivo, cliente, fornecedor ou parceiro de negócio.
Os deepfakes deixaram de ser uma curiosidade tecnológica para se tornarem uma ferramenta de fraude corporativa. Eles já são utilizados para induzir colaboradores a compartilhar credenciais, aprovar pagamentos, alterar dados cadastrais ou liberar acessos indevidos. O objetivo não é apenas enganar sistemas. É influenciar pessoas em momentos de decisão crítica.
Esse é o ponto central: o deepfake não ataca somente a infraestrutura tecnológica. Ele explora a confiança.
A confiança sempre foi um elemento essencial nas relações corporativas. Reconhecer a voz de um líder, ver o rosto de um colega em uma reunião, receber uma solicitação aparentemente legítima de um parceiro conhecido. Tudo isso funcionava, até pouco tempo atrás, como um atalho de validação. O problema é que esses atalhos estão sendo corrompidos.
O risco dos deepfakes corporativos deixou de ser um alerta futurista. Se em 2024 os casos da Ferrari e da WPP pareciam isolados, a realidade de 2026 mostra um crime institucionalizado. “De acordo com pesquisas globais de segurança cibernética realizadas por entidades como a ISACA e a Check Point, cerca de 40% das empresas e profissionais de tecnologia já relataram ter enfrentado ou identificado tentativas de ataques utilizando deepfakes de vídeo ou voz em interações corporativas ao vivo. E o mercado chegou ao ponto no qual a biometria tradicional isolada faliu. O desafio do segundo semestre não é apenas treinar o colaborador para desconfiar de um e-mail; é criar protocolos de contratação e transação financeira que assumam que até o rosto na tela pode ser sintético.
Esses casos evidenciam uma mudança importante. O problema não está apenas na qualidade técnica da falsificação, mas na forma como ela se encaixa em rotinas corporativas conhecidas: mensagens rápidas, reuniões virtuais, urgência, confidencialidade e pressão hierárquica. Muitas vezes, o caminho mais fácil para invadir a infraestrutura ou ter acesso a dados estratégicos é o de levar um funcionário a confiar e partilhar chaves e informações. Por isso, a gestão de identidade tem ganhado o foco em todas as estratégias de defesa cibernética.
Relatórios recentes reforçam esse alerta. Os dados mais recentes da Sumsub apontam que o Brasil e a América Latina consolidaram-se como os principais alvos de fraudes de identidade por IA, impulsionados pelo uso de deepfakes em tempo real. Já os indicadores atuais de mercado da McAfee e de consultorias de segurança revelam que as tentativas de golpes envolvendo clonagem de voz tornaram-se um risco corporativo diário, com a imensa maioria dos usuários admitindo ser incapaz de diferenciar uma voz sintética de uma voz real devido à perfeição alcançada pelas ferramentas de IA generativa.
Para as empresas, esse dado é especialmente sensível. Se as pessoas já têm dificuldade de identificar uma fraude em contextos pessoais, o risco tende a ser ainda maior em ambientes corporativos marcados por hierarquia, urgência e processos complexos. Um colaborador pode hesitar em questionar uma solicitação supostamente feita por um executivo. Uma equipe financeira pode ser pressionada a tratar uma operação como confidencial. Um profissional de TI pode receber uma demanda aparentemente legítima para liberar um acesso em caráter emergencial.
É justamente nesse ponto que o ataque se torna mais sofisticado. Deepfakes raramente atuam sós. Eles são combinados com informações públicas disponíveis em redes sociais, organogramas corporativos, eventos, entrevistas, vídeos institucionais e vazamentos de dados. O criminoso não precisa conhecer profundamente a empresa. Muitas vezes, basta mapear quem decide, quem executa e quais processos podem ser explorados.
Por isso, tratar deepfake apenas como um problema tecnológico é um erro. A resposta precisa combinar arquitetura de segurança, governança de identidade, processos de verificação e treinamento contínuo. A empresa precisa definir, antes da crise, quais decisões jamais podem ser autorizadas por um único canal de comunicação.
Na prática, isso significa adotar autenticação multifator robusta, revisar fluxos de aprovação para pagamentos e acessos privilegiados, criar procedimentos de confirmação por canais independentes e treinar equipes para reconhecer sinais de manipulação, urgência artificial e desvio de processo. Também significa tratar a checagem como parte natural da operação, e não como uma demonstração de desconfiança.
Esse talvez seja um dos principais ajustes culturais exigidos pela nova fase da cibersegurança. Desconfiar de uma solicitação incomum não é falta de colaboração. Quando um colaborador pausa uma transação para validar a identidade de quem a solicitou, ele não está atrasando o negócio. Está protegendo a organização.
O próximo grande vetor de roubo de credenciais pode não ser um e-mail malicioso, mas uma voz conhecida (como no emblemático caso da Ferrari em 2024, em que executivos foram alvo de uma tentativa de fraude com clonagem de voz do CEO), um rosto familiar ou uma solicitação feita em tom de urgência por alguém que parece ter autoridade para fazê-la.
No novo cenário da cibersegurança, ver e ouvir já não são garantias de autenticidade. A confiança continuará sendo essencial para os negócios, mas precisará ser acompanhada de validação, governança e disciplina operacional. Empresas que continuarem tratando identidade como percepção, e não como processo verificável, estarão mais expostas a um tipo de ameaça que já não pertence ao futuro. Ela já está na mesa.
*Por Plínio Fava, diretor de Cybersecurity, Networking & Employee Experience da Axians Brasil.
