PARDI E MORAISBaixar PDFO fim da prova sensorial.
Como deepfakes e inteligência artificial vão redesenhar a fraude até 2031.
Ver e ouvir já não
provam quem alguém é.
Uma análise do que já aconteceu, do que é tendência mensurável e do que é projeção para os próximos cinco anos, com as consequências jurídicas para empresas, instituições financeiras e plataformas.
Uma videochamada em que ninguém era real.
Em janeiro de 2024, um funcionário do escritório de Hong Kong da Arup, uma das maiores empresas de engenharia do mundo, entrou em uma videochamada com o diretor financeiro do grupo e outros colegas. Ele viu rostos conhecidos e ouviu vozes conhecidas. A conversa era sobre uma operação confidencial. Ao final, ele fez 15 transferências para cinco contas, somando HK$ 200 milhões, cerca de US$ 25 milhões. Ninguém naquela chamada era real. A própria Arup confirmou depois: “vozes e imagens falsas foram usadas”. Nenhum sistema da empresa foi invadido.
Esse caso costuma ser contado como curiosidade. Prefiro tratá-lo como marco. Foi a primeira vez, em escala corporativa e com confirmação pública, que a fraude dispensou completamente a invasão técnica e atacou diretamente o que sempre foi a última camada de segurança de qualquer organização: o fato de que uma pessoa vê e ouve outra pessoa.
Nos próximos cinco anos, ver e ouvir deixarão de ser prova de identidade, de autorização e, em boa medida, de fatos.
Quem continuar decidindo pagamentos, cadastros e contratos com base no que vê e ouve vai operar dentro de uma calamidade em formação. E o Direito, que também se apoia no que se vê e se ouve, terá de mudar junto.
A seguir separo o que já é dado, o que é tendência mensurável e o que é projeção. A distinção importa, porque o tema atrai exagero, e exagero não ajuda ninguém a se proteger.
O que já é fato, e não previsão.
Antes de olhar para 2031, vale fixar o ponto de partida. Toque em cada item para ler.
Em estudo publicado em fevereiro de 2025, a iProov testou 2.000 pessoas no Reino Unido e nos Estados Unidos. Apenas 0,1% identificou corretamente todos os conteúdos reais e falsos apresentados.
O dado mais perigoso não é esse, mas o seguinte: a confiança dos participantes em suas próprias respostas ficou acima de 60%, estivessem certos ou errados. Erramos e achamos que acertamos.
Em julho de 2025, em uma conferência do Federal Reserve, Sam Altman, presidente da OpenAI, disse que o fato de instituições financeiras ainda aceitarem a impressão de voz como autenticação era “uma loucura”, porque “a IA derrotou completamente isso”. Ele falou em uma “crise de fraude significativa e iminente”.
Desde 2023, levantamento da McAfee com 7.000 pessoas em nove países já indicava que três segundos de áudio bastavam para gerar um clone com 85% de correspondência com a voz original.
Em novembro de 2024, a FinCEN, unidade de inteligência financeira dos Estados Unidos, publicou o alerta FIN-2024-Alert004, descrevendo o uso de mídia sintética para burlar a verificação de identidade de bancos, abrir contas e aplicar golpes de pagamento.
Em fevereiro de 2024, a Gartner já previa que, até 2026, 30% das empresas deixariam de considerar confiáveis, isoladamente, as soluções de verificação de identidade e autenticação, por causa de deepfakes. A mesma Gartner registrou aumento de 200% dos chamados ataques de injeção em 2023, em que o criminoso não mostra um rosto falso para a câmera: ele injeta o vídeo sintético diretamente no fluxo de dados, como se a câmera nem existisse.
O Identity Fraud Report 2025-2026 da Sumsub, publicado em novembro de 2025, apontou crescimento de 126% nas fraudes com deepfakes e identidades sintéticas no Brasil, que passou a responder por cerca de 39% de todos os deepfakes detectados na América Latina.
Em outubro de 2025, a Polícia Civil do Rio Grande do Sul deflagrou uma operação contra um grupo que usava vídeos falsos de Gisele Bündchen e outras celebridades em anúncios nas redes sociais. O prejuízo estimado passou de R$ 20 milhões. O líder do grupo, segundo a investigação, mantinha uma espécie de curso para ensinar a técnica a outros criminosos.
Em agosto de 2026, dados apresentados em painel da Febraban Tech, noticiados pelo InfoMoney, indicaram que a participação de deepfakes nas fraudes financeiras monitoradas saltou de 0,1% para 6,5% em pouco mais de um ano.
Cinco vetores que vão definir
os próximos cinco anos.
Por que falar em calamidade não é exagero.
Uso a palavra com cuidado. Calamidade, aqui, não é uma previsão de colapso do sistema financeiro. É a constatação de que três curvas estão se cruzando.
A Deloitte projetou que as perdas com fraudes viabilizadas por IA generativa nos Estados Unidos passariam de US$ 12,3 bilhões em 2023 para US$ 40 bilhões em 2027, um crescimento anual composto de 32%. Apenas como exercício aritmético, e não como previsão: mantida a mesma taxa, o valor ultrapassaria US$ 120 bilhões em 2031.
Os bancos brasileiros devem investir R$ 50,4 bilhões em tecnologia em 2026, segundo a Febraban, e a segurança é uma fatia relevante desse orçamento. O problema é que boa parte da defesa ainda está ancorada nos mesmos sinais que o deepfake aprendeu a imitar: rosto, voz e documento.
Quando o custo de atacar cai, a escala sobe e a defesa continua confiando no que pode ser falsificado, a consequência não é uma fraude maior. É uma mudança de regime.
Três movimentos que devem
se consolidar até 2031.
O fortuito interno vai se expandir
A Súmula 479 do STJ responsabiliza as instituições financeiras pelo fortuito interno relativo a fraudes. Quando reguladores, consultorias e o próprio mercado alertam publicamente desde 2024 que voz e rosto não bastam como autenticação, continuar autorizando operações sensíveis com base apenas nesses fatores deixa de ser imprevisível. A tendência é que a falha em adotar autenticação resistente a deepfake seja tratada como defeito do serviço.
As plataformas passam a responder pelo anúncio fraudulento
Em junho de 2025, ao julgar os Temas 987 e 533 da repercussão geral, o STF declarou a inconstitucionalidade parcial do art. 19 do Marco Civil da Internet e fixou presunção de responsabilidade dos provedores por conteúdos ilícitos veiculados em anúncios e impulsionamentos pagos ou por redes artificiais de distribuição, salvo prova de atuação diligente e em tempo razoável. Deepfakes de celebridades vendendo produtos inexistentes são exatamente esse tipo de conteúdo.
A regulação da IA chega, em velocidades diferentes
Na União Europeia, as obrigações de transparência do art. 50 do AI Act para quem utiliza sistemas que geram deepfakes estão em vigor desde 2 de agosto de 2026, e os fornecedores de sistemas lançados antes dessa data têm até 2 de dezembro de 2026 para implementar a marcação técnica do conteúdo sintético. No Brasil, o PL 2.338/2023, aprovado pelo Senado em dezembro de 2024, ainda aguardava parecer na comissão especial da Câmara na data desta análise.
Um ponto da LGPD merece destaque. O dado biométrico é dado pessoal sensível (art. 5º, II). Uma senha vazada pode ser trocada. Um rosto e uma voz, não. Cada vazamento de biometria cria um passivo permanente para o titular, e a discussão sobre a responsabilidade de quem não protegeu esse dado vai ganhar peso proporcional.
Antes que o cenário se consolide.
Quase todas as defesas eficazes já existem. O que falta é tratá-las como prioridade de governança, e não como projeto de TI. Marque o que sua empresa já faz.
Retirar o valor probatório do sentido
Nenhum pagamento, mudança de dados bancários ou liberação de acesso deve ser autorizado apenas porque alguém “viu” ou “ouviu” o solicitante. A confirmação deve ocorrer por canal independente, iniciado pela empresa, com dados de contato previamente cadastrados.
Adotar autenticação resistente a phishing
A FinCEN recomenda expressamente autenticação multifator resistente a phishing. Chaves de segurança e passkeys (padrão FIDO2) são o exemplo mais conhecido: não podem ser imitadas por um rosto ou uma voz.
Criar protocolos de palavra-chave para operações críticas
Simples, baratos e surpreendentemente eficazes contra a imitação de executivos.
Governar os agentes de IA
Limites de valor, mandatos claros, registro de decisões e revisão humana para operações fora do padrão. Quem não documentar o que o seu agente pode fazer terá dificuldade em provar o que ele não deveria ter feito.
Preparar a prova antes do incidente
Retenção de logs, metadados de chamadas, registro de autorizações e, quando possível, certificação de origem de conteúdo (como o padrão C2PA) no momento da captura.
Revisar contratos
Cláusulas de alocação de risco para fraudes por imitação, deveres de verificação entre as partes e cobertura de seguro específica para engenharia social.
Por milhares de anos, reconhecer um rosto e uma voz bastou.
Por milhares de anos, reconhecer um rosto e uma voz foi a forma mais confiável de saber com quem estávamos falando. Essa confiança sustentou contratos, transações, testemunhos e provas. Ela está acabando, e mais rápido do que a maioria das organizações percebe.
O mundo não caminha para uma calamidade porque a tecnologia de fraude é invencível. Caminha porque a maior parte das defesas, dos processos internos e até das regras de prova ainda parte do pressuposto de que ver e ouvir é suficiente. Empresas que abandonarem esse pressuposto agora vão atravessar os próximos cinco anos com perdas controláveis. As que esperarem vão descobrir o problema da forma mais cara possível: em uma videochamada com alguém que não existe.
Quem assina esta análise.
Danilo Pardi
Advogado e sócio-fundador da Pardi e Morais. Atua em direito digital, proteção de dados e cibersegurança, com foco em prevenção e resposta a fraudes. Pós-graduado em Direito Digital e Compliance (IBMEC) e especialista em Privacidade e Proteção de Dados (Data Privacy Brasil). Professor na IEBS Business School e membro da ANPPD.
Afonso Morais
Advogado e sócio-fundador da Pardi e Morais, formado pela PUC-SP. Há mais de 40 anos atua em direito bancário, recuperação de crédito e litígios financeiros complexos. Criador e apresentador do podcast Falando de Fraudes, com mais de 115 episódios, colunista semanal do portal Diário do País e colaborador do quadro Alerta de Fraudes, do programa Trocando em Miúdos.
Referências (20)
- Arup. Declaração pública sobre fraude com deepfake em Hong Kong (maio de 2024), conforme reportagem da Dezeen, 17/5/2024.
- iProov. Deepfake Blindspot (estudo com 2.000 consumidores do Reino Unido e dos EUA), 12/2/2025.
- Altman, Sam. Fala na conferência do Federal Reserve sobre o arcabouço de capital de grandes bancos, Washington, 22/7/2025, conforme reportagem da Fortune, 23/7/2025.
- McAfee. Artificial Imposters: Cybercriminals Turn to AI Voice Cloning for a New Breed of Scam (pesquisa com 7.000 pessoas em nove países), 2023.
- Financial Crimes Enforcement Network (FinCEN). FIN-2024-Alert004: Fraud Schemes Involving Deepfake Media Targeting Financial Institutions, 13/11/2024.
- Gartner. Previsão sobre deepfakes e soluções de verificação de identidade (Akif Khan), 1/2/2024.
- Sumsub. Identity Fraud Report 2025-2026, novembro de 2025.
- Entrust Cybersecurity Institute e Onfido. 2025 Identity Fraud Report, novembro de 2024.
- Experian. 2026 Future of Fraud Forecast, 13/1/2026.
- Deloitte Center for Financial Services. Deepfake banking and AI fraud risk on the rise, 29/5/2024.
- Federal Bureau of Investigation, Internet Crime Complaint Center (IC3). Internet Crime Report 2025, abril de 2026.
- Febraban. Pesquisa Febraban de Tecnologia Bancária 2026, junho de 2026.
- InfoMoney. “Fatia dos deepfakes em fraudes sobe de 0,1% para 6,5% e inflama desconfiança”, 25/8/2026.
- Polícia Civil do Rio Grande do Sul. Operação contra grupo que usava deepfakes de celebridades em anúncios, 1º/10/2025, conforme reportagem da CNN Brasil.
- Chesney, Robert; Citron, Danielle Keats. “Deep Fakes: A Looming Challenge for Privacy, Democracy, and National Security”. California Law Review, v. 107, 2019.
- Supremo Tribunal Federal. RE 1.037.396 (Tema 987) e RE 1.057.258 (Tema 533), j. 26/6/2025.
- Superior Tribunal de Justiça. Súmula 479.
- Regulamento (UE) 2024/1689 (AI Act), art. 50.
- Projeto de Lei nº 2.338/2023 (marco legal da inteligência artificial).
- Código de Processo Civil, art. 422. Lei nº 13.709/2018 (LGPD), art. 5º, II. Lei nº 12.965/2014 (Marco Civil da Internet), art. 19.
Leve esta análise com você.
A Pardi e Morais é uma boutique jurídica de Alphaville (SP) dedicada a fraudes digitais e golpes financeiros, com atuação em prevenção, investigação e resposta jurídica para pessoas e empresas em todo o Brasil.