Por Mario Cesar Santos
No Mind the Sec 2025, o vice-presidente da Aware para a América Latina, Mario Cesar Santos, falou sobre um tema que está transformando rapidamente o panorama da segurança de identidade: o surgimento da IA generativa e dos grandes modelos de linguagem como facilitadores de fraudes.
Para quem não está familiarizado com o assunto, um modelo de linguagem de grande porte (LLM) é um sistema de inteligência artificial treinado com enormes quantidades de dados de texto para compreender e gerar linguagem semelhante à humana. Ferramentas como o ChatGPT ou o Bard são exemplos disso. Os LLMs podem escrever textos convincentes, responder a perguntas, traduzir idiomas ou até mesmo imitar estilos de comunicação. Essas são capacidades que os fraudadores podem explorar para criar mensagens de phishing realistas, roteiros ou identidades falsas em grande escala.
Há anos, as organizações vêm enfrentando fraudadores que utilizavam e-mails de phishing rudimentares, documentos falsificados e credenciais roubadas. Essas táticas não desapareceram, mas estão sendo complementadas (e, em muitos casos, ofuscadas) por ferramentas baseadas em IA que permitem que a fraude ocorra em escala industrial.
A ascensão das fraudes impulsionadas pela IA
A IA generativa reduziu as barreiras à prática de fraudes e potencializou sua execução. Os fraudadores agora estão criando identidades sintéticas ao combinar fragmentos de dados pessoais reais com imagens, vídeos e documentos gerados por IA, que estão se tornando cada vez mais indistinguíveis dos originais. Deepfakes e manipulações de vídeo podem contornar verificações básicas de autenticidade e enganar até mesmo revisores humanos treinados. Ao mesmo tempo, grandes modelos de linguagem estão sendo usados para elaborar roteiros de engenharia social altamente convincentes em vários idiomas, tornando os ataques mais personalizados e eficazes do que nunca.
O impacto não se limita ao phishing ou à falsificação de identidade. A IA também está possibilitando a emulação de aplicativos legítimos, especialmente aplicativos bancários e de verificação de identidade, ou a injeção de código malicioso em aplicativos já existentes. Além disso, os LLMs podem ajudar os fraudadores a identificar vulnerabilidades nos sistemas e a escrever código malicioso sem que precisem ter pleno domínio de linguagens de programação.
Os invasores agora podem orquestrar campanhas em grande escala com agentes automatizados, produzindo variações infinitas de conteúdo fraudulento para evitar a detecção.
Em contraste com as tentativas de fraude manuais e oportunistas do passado, esses novos métodos são realistas, adaptáveis e implacáveis.
Por que as defesas atuais estão se mostrando insuficientes
A verdade incômoda é que muitas organizações ainda não se adaptaram a essa mudança radical nas táticas de fraude. As defesas tradicionais foram concebidas para uma época diferente e são ineficazes contra identidades sintéticas, deepfakes ou fraudes em grande escala impulsionadas por IA. As empresas que continuam a depender de sistemas de identidade legados ou da revisão humana de transações de alto risco correm o risco de se tornarem presas fáceis nesse novo ambiente.
Setores como serviços financeiros e governo eletrônico continuam sendo alvos principais, onde os riscos são maiores e as recompensas potenciais mais atraentes. Telecomunicações, comércio eletrônico e saúde também estão cada vez mais na mira, juntamente com redes corporativas onde sistemas fracos de gerenciamento de identidade e acesso oferecem aos invasores um ponto de entrada fácil. No entanto, em todos os setores, a maioria das organizações permanece despreparada. A dependência de senhas, verificação de documentos e revisão manual não é mais suficiente. Muitas empresas continuam dependendo de regras de verificação de identidade desatualizadas ou de sistemas rudimentares de segurança. liveness detection Métodos que adversários equipados com IA podem contornar com relativa facilidade.
Mudanças nas prioridades da segurança de identidade
Para enfrentar essa nova realidade, as organizações estão começando a reajustar suas prioridades. A verificação de identidade não pode mais se limitar apenas a documentos e senhas. Soluções baseadas em biometria, especialmente aquelas que incorporam múltiplas camadas de defesa, estão se tornando fundamentais. Ferramentas avançadas de detecção de fraudes, capazes de identificar indícios invisíveis aos revisores humanos, são agora essenciais, assim como o monitoramento contínuo que avalia o risco ao longo de toda a jornada do usuário. Ao mesmo tempo, as empresas devem equilibrar eficácia com justiça e conformidade, garantindo que seus sistemas não introduzam preconceitos demográficos nem façam uso indevido de dados pessoais confidenciais.
Os órgãos reguladores estão prestando muita atenção, exigindo transparência, Equidade e responsabilidade. Padrões como as avaliações biométricas do Departamento de segurança interna dos EUA e o programa FATE do NIST fornecem referências para precisão e Equidade. Enquanto isso, normas de privacidade como o GDPR, a LGPD do Brasil e as leis estaduais dos EUA em evolução exigem que as organizações provem que estão protegendo dados biométricos e pessoais de forma responsável. O ônus da compliance está aumentando, assim como o risco de danos à reputação das empresas que não atendem às expectativas de equidade e transparência.
O que o futuro reserva para a fraude
As perspectivas para os próximos anos indicam que as fraudes só tendem a se tornar ainda mais sofisticadas. Deepfakes hiper-realistas, modelos de “fraude como serviço” e identidades sintéticas multimodais irão esmaecer a fronteira entre o real e o artificial.
Na Aware, acreditamos que a resposta está na biometria reforçada por defesas em camadas. Nosso trabalho está focado em promover... liveness detection Por meio de métodos passivos e dinâmicos, construímos "supermodelos" de fusão que integram múltiplas modalidades e fornecemos inteligência antifraude em tempo real que evolui tão rapidamente quanto os adversários. Igualmente importante, nossa plataforma foi projetada para oferecer transparência, flexibilidade e validação independente, garantindo a confiabilidade em cada implementação.
Principais lições para os líderes
A principal lição a ser tirada é clara: a fraude facilitada pela IA generativa não é simplesmente um desafio incremental, mas sim uma mudança radical. Para se manterem seguras, as organizações devem:
- Reconheça essa mudança radical — a fraude facilitada pela IA de Geração (GenAI) não é algo comum.
- Invista na biometria como um pilar fundamental da segurança de identidade.
- Adote defesas em camadas que combinem verificação de vitalidade, monitoramento contínuo e biometria multimodal.
- Utilize referências e validação externa para garantir equidade, conformidade e confiança.
- Busque a agilidade, pois a adaptabilidade é tão importante quanto a força.
Mario encerrou sua palestra com um lembrete que vale a pena repetir: a tecnologia, por si só, é neutra. São as pessoas que decidem como ela é utilizada. Os fraudadores estão usando a IA para explorar as fraquezas humanas. Nossa função é utilizar aprendizado de máquina avançado e biometria para fortalecer as defesas, proteger a confiança e dar às empresas a segurança necessária para crescer nesta nova era. A luta mudou, mas, com as ferramentas e a mentalidade certas, é uma luta que podemos vencer.
