Identidade digital: o lado oculto da fraude com IA

A digitalização acelerada e a democratização da inteligência artificial generativa transformaram o cibercrime, tornando a verificação da identidade real um pilar central para a segurança e a confiança nos negócios digitais. A conclusão é do relatório “Tendências para 2026: Identidade Digital e Prevenção à Fraude”, produzido pela Veridas e baseado em contribuições de 49 líderes globais de instituições reguladoras e grandes corporações. O documento foi publicado hoje no Brasil, conforme noticiado pelo CISO Advisor.

Mas, enquanto o relatório celebra avanços tecnológicos e defesas em camadas, uma pergunta incômoda paira no ar: quem está monitorando os monitores? Afinal, por trás das promessas de segurança impenetrável, escondem-se riscos ocultos que as empresas preferem não discutir — e que podem custar caro para você.

O tsunami de fraude que ninguém quer admitir

O documento aponta que a evolução da fraude migrou de ataques artesanais para uma indústria global de alta precisão, impulsionada por agentes autônomos de IA capazes de executar milhares de ataques personalizados por minuto. Simon Marchand, especialista independente em fraude, afirma que “em poucos anos, passámos da geração de deepfakes, que eram relativamente fáceis de criar, para agentes de IA que representam um tsunami de fraude inimaginável”. Segundo dados da AEECF citados no relatório, as tentativas de fraude cresceram 152% em um único ano, com um custo direto superior a 2,5 bilhões de euros.

É um cenário assustador, sem dúvida. Mas o que o relatório não destaca é que, por trás desses números, estão falhas sistêmicas de responsabilização. As empresas vítimas de vazamentos raramente são punidas de forma proporcional ao dano causado. E quando o assunto é identidade digital, o ônus recai desproporcionalmente sobre o cidadão comum, que precisa provar que não foi ele quem abriu aquela conta fraudulenta ou contratou aquele empréstimo.

Leia também: Falha crítica em IA permite roubo de dados: veja como se proteger. Esse caso recente demonstra como até as ferramentas de inteligência artificial podem se tornar vetores de vazamento, ampliando ainda mais a superfície de ataque.

Desafios regulatórios e arquitetura de defesa: o discurso oficial versus a realidade

O estudo destaca que o novo paradigma da fraude exige uma arquitetura de defesa em três camadas, combinando proteção contra ataques de apresentação (como deepfakes) e ataques de injeção (que contornam a câmera física), além de mecanismos de deduplicação para combater redes organizadas de fraude. Miguel Adán, especialista em fraude da Veridas, explica que “a ameaça da identidade sintética é real e a única forma de a travar é através de uma defesa em camadas”.

No campo regulatório, o relatório aponta a convergência de normas como a AMLR (Anti-Money Laundering Regulation), a DORA (Digital Operational Resilience Act) e o eIDAS2, que estabelecem a Carteira Europeia de Identidade Digital (EUDI Wallet). Eduardo Azanza, CEO da Veridas, destaca que “o eIDAS2 e a carteira de identidade é o projeto europeu mais importante da nossa história, juntamente com o Euro”.

Soa bem no papel. Mas a realidade é que, enquanto as regulamentações avançam a passos lentos, os criminosos evoluem em velocidade exponencial. E há um ponto cego crucial: a responsabilização das empresas. Quando um vazamento ocorre, as organizações rapidamente emitem comunicados lamentando o ocorrido, mas raramente assumem as consequências legais e financeiras que deveriam acompanhar a perda de dados de milhões de usuários.

Além disso, a própria complexidade dos sistemas de defesa pode se voltar contra o usuário. Fluxos de verificação excessivamente rigorosos, embora bem-intencionados, podem excluir pessoas legítimas que não conseguem navegar por exigências burocráticas. E o relatório admite: processos excessivamente complexos podem levar ao abandono de até 30% dos usuários potenciais. Isso significa que, na tentativa de se proteger, as empresas estão afastando exatamente aqueles que deveriam servir.

UX, canais conversacionais e a armadilha da conveniência

O documento também aborda o falso dilema entre segurança e experiência do usuário (UX). Jeerson Honorato, do Bradesco, observa que “o onboarding digital deixou de ser um procedimento administrativo para se tornar a ‘passadeira vermelha’ que o banco estende ao cliente”. O relatório aponta que processos excessivamente complexos podem levar ao abandono de até 30% dos usuários potenciais.

Para resolver essa tensão, a recomendação é adotar fluxos adaptativos e segurança invisível, validando a identidade de forma contínua em segundo plano. O relatório também destaca o papel estratégico de canais conversacionais como o WhatsApp, que no Brasil já é utilizado para abertura de contas e operações de crédito.

Mas aqui reside um perigo sutil: a segurança invisível pode se tornar uma vigilância invisível. Ao validar a identidade continuamente em segundo plano, as empresas coletam uma quantidade massiva de dados comportamentais, muitas vezes sem o consentimento explícito e informado do usuário. E se esses dados caírem em mãos erradas — seja por um ataque de malware/spyware em dispositivos móveis, seja por uma falha de segurança no próprio sistema — o estrago pode ser irreversível.

Aliás, o tema de malware/spyware em dispositivos móveis merece atenção especial. Com o aumento do uso de canais conversacionais para transações financeiras, os smartphones tornaram-se alvos prioritários para cibercriminosos. Um simples clique em um link malicioso pode instalar um spyware que captura todas as suas conversas, senhas e até mesmo os códigos de autenticação de dois fatores. E o pior: muitas vítimas só descobrem o ataque quando já é tarde demais.

Leia também: Elementor Pro: falha crítica em sites WordPress e como se proteger. Esse caso ilustra como uma vulnerabilidade em um plugin amplamente utilizado pode expor milhões de sites e, por extensão, os dados de seus visitantes.

Tecnologia proprietária: a falsa sensação de controle

Por fim, o estudo enfatiza a importância de tecnologia proprietária para responder rapidamente a novos vetores de ataque. Como afirma o CEO da Veridas, “a nossa filosofia central é Own the Tech porque é a única forma de ser mais rápido do que a fraude”.

É uma afirmação ousada, mas que merece ceticismo. A história da segurança digital está repleta de exemplos de empresas que confiaram em suas soluções proprietárias e acabaram sendo vítimas de ataques devastadores. A verdade é que nenhuma tecnologia é infalível, e a dependência de sistemas fechados pode criar uma falsa sensação de segurança. Além disso, a falta de transparência sobre como esses sistemas funcionam impede auditorias independentes e dificulta a identificação de falhas antes que sejam exploradas.

O que as empresas não estão contando é que, por trás de todo o marketing sobre “defesa em camadas” e “segurança invisível”, existe uma indústria bilionária que lucra com o medo. E enquanto elas se concentram em vender soluções cada vez mais complexas, o cidadão comum fica à mercê de vazamentos que podem destruir sua reputação, suas finanças e sua paz de espírito.

O impacto real dos vazamentos: muito além dos números

Quando falamos em vazamentos de dados, é fácil se perder nas estatísticas: milhões de registros expostos, bilhões em prejuízos. Mas o impacto real é profundamente pessoal. Imagine acordar um dia e descobrir que alguém abriu uma conta bancária em seu nome, contraiu empréstimos que você nunca autorizou e deixou um rastro de dívidas que pode levar anos para ser limpo. Imagine receber ligações de cobrança por serviços que você nunca contratou, ou ter seu nome envolvido em investigações criminais por causa de uma identidade roubada.

Essas não são histórias de ficção. São realidades enfrentadas por milhares de brasileiros todos os dias. E o pior: muitas vezes, as vítimas só descobrem o problema quando tentam obter crédito, alugar um imóvel ou até mesmo conseguir um emprego. A essa altura, o estrago já está feito.

É por isso que a responsabilização das empresas é tão crucial. Não basta que elas emitam notas de pesar após um vazamento. É preciso que assumam as consequências legais e financeiras, e que invistam de verdade em prevenção — não apenas em relações públicas. E é preciso que os usuários tenham ferramentas para verificar se seus dados foram comprometidos e para monitorar sua identidade digital de forma proativa.

O que você pode fazer agora: assuma o controle da sua identidade digital

Diante desse cenário, a atitude mais sensata é adotar uma postura proativa. Não espere ser vítima para agir. Aqui estão algumas medidas práticas que você pode tomar hoje:

• Verifique regularmente se seus dados vazaram: utilize serviços de monitoramento de vazamentos para saber se suas informações pessoais estão circulando na dark web.
• Ative a autenticação de dois fatores em todas as contas importantes: isso adiciona uma camada extra de segurança, mesmo que sua senha seja comprometida.
• Desconfie de mensagens suspeitas: não clique em links de remetentes desconhecidos, especialmente se prometerem prêmios ou ameaçarem consequências.
• Mantenha seus dispositivos atualizados: instale as atualizações de segurança assim que estiverem disponíveis, pois elas corrigem vulnerabilidades exploradas por malware/spyware.
• Revise as permissões de aplicativos: verifique regularmente quais aplicativos têm acesso à sua câmera, microfone, localização e contatos, e revogue as permissões desnecessárias.
• Monitore sua identidade digital: acompanhe ativamente qualquer atividade suspeita em seu nome, como abertura de contas ou consultas de crédito não autorizadas.

Na Kzarka, você encontra uma plataforma completa para verificar se seus dados vazaram e monitorar sua identidade digital continuamente. Não espere se tornar mais uma estatística. Aja agora, antes que seja tarde.

FAQ: Perguntas frequentes sobre identidade digital e vazamentos

O que é identidade digital e por que ela é tão visada por criminosos?

Identidade digital é o conjunto de informações que identificam você no ambiente online, como nome, CPF, e-mail, senhas, dados bancários e até mesmo características biométricas. Criminosos visam esses dados porque podem usá-los para cometer fraudes, abrir contas falsas, obter crédito indevidamente e até mesmo cometer crimes em seu nome, causando danos financeiros e reputacionais de longo prazo.

Como a inteligência artificial generativa está sendo usada em fraudes de identidade?

A IA generativa permite criar deepfakes extremamente realistas — vídeos e áudios falsos que imitam perfeitamente uma pessoa. Criminosos usam isso para burlar sistemas de verificação biométrica, enganar atendentes de call centers e até mesmo manipular conhecidos da vítima. Além disso, agentes autônomos de IA podem automatizar ataques em massa, personalizando mensagens de phishing em escala sem precedentes.

O que devo fazer se descobrir que meus dados vazaram?

Primeiro, mantenha a calma e aja rapidamente. Troque as senhas de todas as contas afetadas, ative a autenticação de dois fatores, monitore suas contas bancárias e de cartão de crédito em busca de atividades suspeitas, e registre um boletim de ocorrência. Além disso, considere usar um serviço de monitoramento de identidade para ser alertado sobre usos indevidos de seus dados no futuro.

Como posso me proteger contra malware/spyware em dispositivos móveis?

Para se proteger contra malware/spyware em smartphones, instale apenas aplicativos de fontes oficiais (Google Play ou App Store), mantenha o sistema operacional e os aplicativos sempre atualizados, evite clicar em links suspeitos recebidos por mensagens ou e-mails, use uma solução de segurança confiável e revise regularmente as permissões concedidas aos aplicativos. Desconfie de pedidos de permissão que não fazem sentido para a função do app.