A biometria facial, durante anos tratada como o principal pilar de segurança e conveniência para a abertura de contas digitais e validação de transações financeiras, enfrenta seu teste mais crítico no Brasil. A proliferação de ferramentas acessíveis de inteligência artificial generativa e a disseminação de métodos sofisticados de manipulação audiovisual permitiram que cibercriminosos aperfeiçoassem ataques capazes de contornar mecanismos de reconhecimento de identidade que antes eram considerados invioláveis.
A evolução dos ataques: do documento estático à injeção de vídeo
Historicamente, a maioria das tentativas de fraude documental dependia da adulteração física ou digital de fotos de documentos (RG e CNH) e de máscaras estáticas para tentar ludibriar sensores fotográficos. Esse modelo começou a perder força à medida que as plataformas bancárias e fintechs implementaram a tecnologia de ‘prova de vida’ (liveness detection), que exige movimentos voluntários da vítima, como piscar, sorrir ou girar a cabeça em tempo real.
Contudo, a dinâmica criminosa mudou com a consolidação de duas frentes tecnológicas combinadas: os deepfakes em tempo real e a técnica conhecida como injeção de vídeo (ou camera injection). Em vez de apenas posicionar uma tela ou imagem diante da câmera do aparelho, o fraudador intercepta o fluxo de dados do sistema operacional do smartphone, alimentando o aplicativo bancário diretamente com um arquivo de vídeo manipulado.
Nesse cenário, ferramentas de aprendizado profundo utilizam fotografias em alta resolução de cidadãos — muitas vezes extraídas de redes sociais ou vazamentos prévios de bancos de dados — para sintetizar rostos tridimensionais com movimentos oculares, expressões e iluminação perfeitamente calculados. Para os algoritmos de verificação mais simples, o sinal transmitido aparenta vir de uma câmera ativa gravando um indivíduo de carne e osso.
Impacto econômico e sofisticação das organizações criminosas
Levantamentos recentes do setor de cibersegurança e prevenção a fraudes apontam que o conteúdo sintético passou a figurar entre os vetores de ataque mais agressivos no ecossistema bancário nacional. Além da abertura de contas sob nomes falsos para movimentação de valores provenientes de ilícitos, criminosos recorrem a essas tecnologias para autorizar empréstimos pré-aprovados e alterar limites operacionais de Pix.
Especialistas em segurança da informação destacam que a redução drástica no custo computacional de modelos generativos democratizou técnicas antes restritas a laboratórios especializados. Hoje, pacotes de software com capacidades de emulação de dispositivos e substituição de feeds de câmera circulam livremente em fóruns clandestinos, facilitando operações em larga escala.
Enquadramento jurídico e a teoria do risco no Brasil
O aumento dessas ocorrências também repercute no Poder Judiciário. A legislação brasileira, alicerçada no Código de Defesa do Consumidor e pacificada pelo Superior Tribunal de Justiça (STJ) na Súmula 479, estabelece a responsabilidade objetiva das instituições financeiras por fraudes decorrentes de ‘fortuito interno’.
Isso significa que, perante a jurisprudência dominante, as falhas decorrentes da manipulação de biometria facial em sistemas bancários integram o risco da atividade econômica explorada pelas entidades de crédito. Quando um correntista é lesado por uma conta aberta indevidamente com seus dados ou por um crédito fraudulento chancelado por deepfake, cabe à instituição demonstrar que sua infraestrutura adotava as melhores práticas de mitigação e que não houve vulnerabilidade técnica de sua plataforma.
A resposta do setor: biometria comportamental e autenticação multifatorial
Diante do desgaste da verificação facial passiva, o setor financeiro e as empresas desenvolvedoras de soluções de identidade aceleram a adoção de novas barreiras defensivas:
- Biometria comportamental: análise contínua da forma como o usuário interage com o dispositivo móvel, monitorando a cadência de digitação, a pressão exercida na tela e a angulação natural com que o aparelho é segurado.
- Detecção ativa de injeção e adulteração de sistema: reforço na checagem de integridade dos dispositivos, identificando ambientes emulados, permissões de superusuário (root ou jailbreak) e frameworks de modificação de memória que permitem o desvio do sinal da câmera.
- Desafios estocásticos e microtexturas: algoritmos de última geração projetados para identificar variações imperceptíveis na reflexão da luz na pele e na dilatação pupilar, características que modelos sintéticos de IA ainda têm dificuldade de replicar perfeitamente.
- Adoção de chaves criptográficas (Passkeys): migração progressiva para padrões baseados em hardware e FIDO2, que vinculam o acesso ao próprio chip de segurança do dispositivo, tornando o phishing de credenciais e a clonagem remota ineficazes.
Como empresas e usuários devem agir
Para os departamentos de tecnologia e conformidade de empresas de serviços digitais, o cenário impõe a superação do conceito de ‘fator único’ de validação biométrica. A verificação do cliente (KYC – Know Your Customer) passa a demandar motores de inteligência analítica que cruzem dados cadastrais, geolocalização de rede e histórico comportamental antes de aprovar transações críticas.
Já para os cidadãos, o cuidado primordial envolve a proteção ativa de imagens pessoais e registros oficiais. Evitar o envio de fotos de documentos por canais não oficiais de mensagens e manter sistemas operacionais e aplicativos bancários devidamente atualizados continuam sendo práticas indispensáveis para reduzir a superfície de ataque explorada pelas novas fraudes sintéticas.
Relatórios de cibersegurança e entidades do setor financeiro
