Treinamento de conscientização sobre Deepfake: um guia rápido

Em fevereiro de 2024, um funcionário do departamento financeiro da empresa de engenharia Arup participou de uma videochamada com o que parecia ser o diretor financeiro da empresa e vários colegas. Todas as pessoas presentes na chamada, exceto o funcionário, eram deepfakes. Ao final da semana, US$ 25,6 milhões haviam sido transferidos para os invasores.

Essa é a realidade da fraude por deepfake em 2026: ela não se parece mais com um vídeo de celebridade com sincronização labial mal feita. Parece o seu CEO no Teams, pedindo algo urgente. Este guia explica o que são deepfakes, como são usados contra organizações, quais regras de verificação realmente os impedem e quais plataformas de treinamento de conscientização sobre deepfakes você pode usar para preparar seus funcionários.

O que são deepfakes e por que são perigosos?

Deepfakes são mídias sintéticas (vídeo ou áudio) geradas ou manipuladas por meio de inteligência artificial para fazer com que as pessoas pareçam dizer ou fazer coisas que, na verdade, nunca disseram ou fizeram. É possível trocar rostos e clonar vozes de forma a soarem assustadoramente convincentes. Um deepfake pode convencer outras pessoas de que uma pessoa disse ou fez coisas que, na verdade, nunca disse nem fez.

Ao longo dos anos, todos nós aprendemos a não confiar sempre no que lemos. No entanto, as pessoas ainda não aprenderam a desconfiar de tudo o que veem e ouvem. Isso está sendo explorado atualmente por criminosos cibernéticos. Seja um vídeo falso de um CEO fazendo uma declaração polêmica ou uma voz clonada solicitando urgentemente informações confidenciais, os deepfakes podem causar danos no mundo real.

Principais riscos das deepfakes para as organizações

As deepfakes criam ameaças em várias camadas para as empresas. Os principais riscos incluem:

Fraude e perda financeira do CEO

Uma das principais ameaças é a fraude de CEO com deepfake. Os criminosos usam uma voz ou um vídeo clonado de um executivo sênior para induzir os funcionários a transferir dinheiro. Esses ataques já estão ocorrendo. Por exemplo:

• Em 2019, uma empresa de energia do Reino Unido perdeu US$ 243.000 após uma chamada de voz deepfake de um "CEO".
• Em 2020, os fraudadores usaram a tecnologia de voz deepfake para roubar US$ 35 milhões.
• Em 2024, uma empresa de engenharia do Reino Unido perdeu mais de £ 20 milhões depois que uma chamada de vídeo falsa se fez passar por um executivo de alto nível.

Os funcionários tendem naturalmente a obedecer às solicitações urgentes da liderança, especialmente sob pressão. As falsificações profundas exploram esse instinto, contornando os procedimentos usuais de verificação.

Danos à reputação e desinformação

Os deepfakes também podem ser usados como arma para destruir reputações. Imagine um vídeo falso de seu CEO fazendo comentários racistas - ou uma prova falsa de que seu produto não é seguro - viralizando on-line. Mesmo que seja desmentido posteriormente, o dano à confiança e à percepção do público pode ser irreversível.

A Europol alerta que os deepfakes podem ser usados para divulgar informações falsas sobre as empresas, criando pânico entre os acionistas, boicotes de clientes ou até mesmo investigações regulatórias.

phishing direcionado e engenharia social

Os deepfakes levam a engenharia social a um nível totalmente novo. Em vez de um e-mail suspeito, imagine receber uma chamada de vídeo convincente do seu "departamento de TI" solicitando que você faça login em uma página phishing . Ou uma mensagem de voz de seu "CFO" solicitando informações confidenciais urgentes.

• O vishing ( phishing por voz) e phishing vídeo são ameaças crescentes.
• Os invasores precisam apenas de um clipe de áudio curto (por exemplo, de mídia social) para clonar a voz de uma pessoa de forma convincente.

Os deepfakes criam autenticidade emocional, tornando mais difícil para os funcionários detectar fraudes com base apenas no instinto.

Na vida privada, muitas pessoas já foram alvo de deepfakes de seus filhos ou pais. Se a voz inconfundível de seu filho lhe disser que ele está em perigo e precisa de dinheiro agora, você está calmo e consciente o suficiente para verificar a identidade dele?

Três ataques reais com deepfake contra empresas (e o que impediu dois deles)

Arup, Hong Kong, 2024. Um funcionário do departamento financeiro recebeu um e-mail sobre uma “transação confidencial” e, em seguida, participou de uma videochamada na qual o diretor financeiro e outros colegas apareciam ao vivo. Todos eram imagens geradas por IA. O funcionário realizou 15 transferências, totalizando HK$ 200 milhões (cerca de US$ 25,6 milhões). Nenhuma falha ocorreu na infraestrutura tecnológica; o ataque deu certo porque a videochamada foi considerada prova de identidade.

Ferrari, 2024. Um executivo recebeu mensagens pelo WhatsApp e, em seguida, uma ligação de alguém com a voz do CEO Benedetto Vigna — incluindo seu sotaque do sul da Itália — sobre uma aquisição confidencial. O executivo fez uma pergunta que somente o verdadeiro CEO poderia responder (o título de um livro que ele havia recomendado dias antes). A pessoa que ligou desligou. Custo: zero.

WPP, 2024. Os invasores organizaram uma reunião no Microsoft Teams usando uma foto pública do CEO Mark Read, uma voz clonada e um vídeo do YouTube, e tentaram convencer um dirigente da agência a estabelecer um “novo negócio” e a compartilhar informações financeiras e dados pessoais. O alvo suspeitou da situação e denunciou o caso. Custo: zero.

O padrão é sempre o mesmo: um rosto ou uma voz de confiança, um motivo para manter o sigilo e a pressão do tempo. A diferença entre uma perda de US$ 25 milhões e nenhuma perda não residiu na habilidade de detecção. Residiu no fato de o funcionário ter ou não verificado por meio de um segundo canal antes de agir.

Por que security awareness tradicional security awareness não é mais suficiente

A maioria das empresas oferece treinamento anual de security awareness sobre security awareness , abrangendo phishing, higiene de senhas e higiene cibernética básica. Mas isso não é mais suficiente contra deepfakes:

• Os deepfakes são uma ameaça nova e em rápida evolução. Os funcionários devem aprender a questionar até mesmo fontes confiáveis, como vídeos e chamadas telefônicas.
• A maioria dos programas de treinamento tradicionais nem sequer menciona deepfakes.
• Pesquisas mostram que, mesmo depois de serem avisadas sobre deepfakes, as pessoas não conseguem detectá-las.
• O treinamento de segurança tradicional é estático, enquanto as técnicas de deepfake evoluem mensalmente.
• Os incidentes de deepfake exigem novas respostas processuais, como a verificação de chamadas suspeitas por meio de canais alternativos e a existência de mecanismos claros de denúncia.

Sem um treinamento específico de conscientização sobre deepfake, os funcionários podem cair em ataques porque subestimam o quanto a mídia sintética pode ser convincente.

O protocolo de verificação de deepfakes: cinco regras que impedem praticamente todos os ataques

Não se pode esperar que os funcionários consigam identificar um deepfake de qualidade. Os clones de áudio (veja “vishing”) agora requerem apenas alguns segundos de amostra de áudio, e os deepfakes de vídeo ao vivo funcionam em equipamentos comuns. Portanto, o treinamento precisa passar da detecção para a verificação. Essas cinco regras abrangem a grande maioria dos incidentes reais:

1. Ligue de volta para um número conhecido. Qualquer solicitação envolvendo dinheiro, credenciais, dados pessoais ou direitos de acesso que chegue por meio de ligação, vídeo ou mensagem de voz deve ser confirmada ligando de volta para a pessoa no número que já está no seu celular ou na sua lista de contatos. Nunca ligue para um número fornecido na mensagem.
2. Combine uma senha para solicitações urgentes. A diretoria e o departamento financeiro compartilham uma senha verbal simples que nunca é registrada por e-mail ou chat. Se um “CEO” não puder fornecê-la, a conversa é encerrada.
3. Cada pagamento e cada alteração nos dados bancários passam por uma dupla verificação. Nenhum funcionário, por si só, pode realizar uma transferência acima de um limite definido ou alterar a conta bancária de um fornecedor. Os deepfakes têm como alvo pessoas específicas; um segundo aprovador impede o ataque.
4. Urgência mais sigilo é igual a “pare”. “Não conte a ninguém” e “isso tem que acontecer hoje” são as duas frases que aparecem em quase todos os casos de fraude com deepfakes. Treine os funcionários para que encarem essa combinação como um sinal para dar uma pausa, e não para agir.
5. Mude de canal. A solicitação chegou por vídeo? Confirme por telefone. Chegou por telefone? Confirme pessoalmente ou pelo chat da empresa. Os invasores raramente controlam dois canais ao mesmo tempo.

Coloque as cinco regras em uma única página, peça à liderança para assiná-la e inclua-a no processo de integração. Um protocolo que a liderança siga de forma visível vale mais do que qualquer dica de detecção.

Dicas práticas: preparando os funcionários para incidentes de deepfake

Veja como as organizações podem começar a se preparar hoje mesmo:

• Campanhas de conscientização com exemplos reais: mostre aos funcionários exemplos reais de deepfakes. Comparar vídeos reais com os falsos ajuda a desenvolver um ceticismo saudável. O segredo aqui é a repetição. Um treinamento anual é esquecido após poucas semanas.
• Ensine habilidades de detecção: Treine a equipe para detectar inconsistências sutis (por exemplo, movimentos labiais incompatíveis, iluminação estranha, vozes monótonas).
• Definir procedimentos claros de denúncia: Os funcionários devem saber como verificar solicitações incomuns e relatar suspeitas sem medo de serem culpados.
• Use ferramentas técnicas: Explore softwares que possam detectar mídia sintética ou implementar a verificação de dois fatores para solicitações confidenciais.

Treinamento de conscientização sobre deepfakes por função: quem precisa de quê

Um módulo genérico do tipo “os deepfakes existem” não muda quase nada. É preciso focar nas pessoas que estão realmente sendo atacadas:

Finanças e contas a pagar

Cenários: transferências urgentes, alterações nos dados bancários de fornecedores, pagamentos relacionados a “aquisições confidenciais”. Treine a regra de confirmação e a regra dos quatro olhos até que se tornem reflexos. Realize pelo menos uma simulação de clonagem de voz por trimestre.

Recursos Humanos e folha de pagamento

Cenários: alterações na conta salarial, integração de “novos funcionários” com identidades sintéticas, candidatos falsos em entrevistas por vídeo. Treinar a equipe de RH para verificar documentos de identidade por meio de uma interação ao vivo e espontânea e para confirmar alterações na conta por meio de um segundo canal.

Executivos e assistentes executivos

As vozes dos executivos são as mais reproduzidas na empresa, pois suas gravações são públicas. Treine os assistentes para tratar qualquer pedido incomum “do chefe” como não confirmado e treine os executivos para aceitarem ser contatados novamente sem se irritarem. O protocolo só funciona se a liderança colaborar.

TI e o suporte técnico

Cenários: solicitações de redefinição de senha e de autenticação multifatorial (MFA) feitas por “um funcionário” por telefone; solicitações de acesso remoto feitas por um “fornecedor”. A violação de segurança da MGM Resorts em 2023 começou com uma ligação para o suporte técnico. Exija etapas de verificação de identidade que não possam ser aprovadas apenas com a voz.

Como oferecer um treinamento eficaz de security awareness deepfake

O Guardey ajuda as organizações a criar resiliência cibernética contínua com treinamento security awareness gamificado e fácil de usar, que inclui conscientização sobre deepfake:

• Gamificação: Os funcionários ganham pontos, distintivos e competem em tabelas de classificação amigáveis, tornando o aprendizado divertido e memorável.
• Aprendizado contínuo: Em vez de uma sessão anual, o Guardey oferece microaprendizagem semanal ou mensal, ajudando os funcionários a se manterem atualizados à medida que as ameaças de deepfake evoluem.
• Conteúdo relevante: O Guardey adapta os cenários ao setor de cada cliente, tornando as lições altamente relacionáveis.

O modelo contínuo e gamificado do Guardey incentiva os funcionários a pensar criticamente sobre o que veem e ouvem, criando hábitos duradouros de ceticismo.

→ Saiba mais sobre o Guardey durante uma demonstração

Comparação entre plataformas e ferramentas de treinamento para conscientização sobre deepfakes

Atualmente, a maioria das plataformas de conscientização sobre segurança inclui um módulo de deepfake. As diferenças residem no grau de realismo das simulações, se a voz e o vídeo são abordados e se o treinamento é contínuo ou consiste em um curso único.

Seja qual for a plataforma que você escolher, verifique três coisas: ela simula chamadas de voz ou vídeo (não apenas e-mail)? O treinamento é contínuo, em vez de ser realizado apenas uma vez por ano? E é possível verificar, por funcionário, quem concluiu o treinamento e quem não concluiu? Se a resposta à última pergunta for “não”, você não poderá avaliar se o treinamento está surtindo efeito.

Lista de verificação para conscientização sobre deepfakes na sua organização

• Protocolo de verificação redigido e assinado pela liderança, parte do processo de integração
• Números para retorno de ligação de todos os executivos e funcionários do departamento financeiro em uma lista de contatos que os funcionários realmente utilizam
• Palavra-código acordada entre a liderança, o departamento financeiro e os assistentes executivos
• A regra dos “quatro olhos” está configurada no sistema de pagamentos, e não apenas na política
• Módulos atribuídos com base em funções: finanças, RH, executivos, TI
• Pelo menos um clone de voz ou simulação em vídeo por trimestre
• Canal para denunciar chamadas suspeitas que é mais rápido do que enviar um e-mail
• Análise de áudios e vídeos públicos de executivos (o que está disponível é o que pode ser reproduzido)
• Manual de procedimentos para incidentes: a quem ligar nos primeiros 30 minutos após uma suspeita de transferência de deepfake
• Métricas monitoradas: taxa de verificação nas simulações, tempo para envio do relatório, não a conclusão do curso

Perguntas frequentes

O que é o treinamento de conscientização sobre deepfakes?

Treinamento que ensina aos funcionários como vozes, vídeos e imagens gerados por IA são utilizados em fraudes e lhes fornece regras de verificação a serem seguidas antes de dar andamento a qualquer solicitação que pareça ter sido feita por uma pessoa conhecida.

Existe algum curso sobre deepfakes para os funcionários?

Sim. A maioria das plataformas de conscientização em segurança oferece um módulo ou curso sobre deepfakes; a Guardey aborda deepfakes, vishing e fraudes do tipo “CEO” em seus desafios semanais, além de seu treinamento de conscientização sobre IA. Um curso isolado é um bom começo, mas cursos pontuais são esquecidos em poucas semanas. É o treinamento contínuo e breve, com simulações, que muda o comportamento.

O que é o treinamento sobre phishing com deepfake?

Treinamento combinado com simulações nas quais os funcionários recebem chamadas, mensagens de voz ou convites em vídeo com deepfakes realistas, porém inofensivos, para que você possa avaliar quem verifica e quem age.

Com que frequência os funcionários devem receber treinamento sobre deepfakes?

Conteúdo breve mensalmente; uma simulação, pelo menos trimestralmente, para funções de alto risco. As técnicas de deepfake evoluem tão rapidamente que um módulo anual já está desatualizado quando é concluído.

Conclusão: aja agora para se manter à frente

Os deepfakes não são mais ficção científica. A torto e a direito, os criminosos cibernéticos estão tentando enganar os funcionários para que façam coisas que podem prejudicar as finanças ou a reputação da sua organização. Investir em treinamento recorrente é a única opção para preparar seus funcionários.