10 exemplos de deepfake: casos reais de fraude e como reconhecê-los (2026)

Resumindo: um deepfake é um áudio, vídeo ou imagem criado com IA que mostra uma pessoa real a dizer ou a fazer algo que nunca aconteceu. Os dez exemplos de deepfakes abaixo são casos documentados entre 2019 e 2026, desde a videoconferência de 200 milhões de HK$ na Arup até um falso primeiro-ministro holandês a vender investimentos no Facebook. Seis dos dez tinham como alvo uma empresa. O padrão é sempre o mesmo: um rosto ou uma voz familiar, um pedido urgente e confidencial e um canal diferente do habitual. As tentativas que falharam foram impedidas por um colaborador que verificou a situação, e não por alguém que reparou numa falha.

O que é um deepfake e por que é um problema para os empregadores

O material de base é público: os atacantes que visaram a WPP usaram imagens do CEO no YouTube. Para uma empresa, o deepfake raramente constitui o ataque por si só. É uma camada convincente que se sobrepõe a técnicas conhecidas de engenharia social, como a fraude do CEO ou o vishing. O procedimento para o impedir está descrito passo a passo no nosso guia de formação sobre sensibilização para o deepfake.

• A chamada vem em segundo lugar. A maioria dos casos de negócio começa no WhatsApp ou por e-mail. O deepfake vem a seguir, para dissipar as dúvidas.
• O ponto fraco é o pedido, não a qualidade. É urgente, secreto e tem a ver com dinheiro ou acesso.
• O procedimento supera a perceção. Ligar de volta e fazer uma pergunta de verificação impediu as tentativas que se seguem.

Os 10 exemplos de deepfake num relance

Os 10 exemplos de deepfake em pormenor

1. Empresa de energia do Reino Unido (2019): uma voz clonada e 220 000 €

O que aconteceu: Em março de 2019, o diretor executivo de uma empresa de energia do Reino Unido recebeu uma chamada de alguém que parecia ser o diretor executivo da sua empresa-mãe alemã, a pedir 220 000 € para um fornecedor húngaro, a ser pagos dentro de uma hora. Ele pagou, segundo a seguradora Euler Hermes.

A lição: só a terceira chamada, de um número austríaco, é que o deixou desconfiado. Bastava ter ligado de volta para o número que já conhecia para acabar com tudo.

2. bunq (2023): o funcionário holandês que verificou

O que aconteceu: Um funcionário do banco holandês bunq recebeu uma mensagem no WhatsApp do suposto «CEO Ali Niknam» sobre uma aquisição que exigia um adiantamento urgente, seguida de uma videochamada com um falso Niknam, segundo noticiou a NOS.

A lição: a imagem pixelizada foi atribuída a uma má ligação. O funcionário não pagou e confirmou com o verdadeiro Niknam.

3. Arup (2024): 200 milhões de HK$ após uma videoconferência

O que aconteceu: Em janeiro de 2024, um funcionário do escritório da Arup em Hong Kong participou numa videoconferência com o diretor financeiro e vários colegas, todos clones digitais. Ele fez 15 transferências: 200 milhões de HK$, cerca de 20 milhões de £ (25,6 milhões de US$). A Arup confirmou que «foram utilizadas vozes e imagens falsas».

A lição: só se soube disso quando ele perguntou à sede. Várias caras conhecidas numa chamada continuam a ser apenas um canal.

4. Chamada automática do Biden (2024): um deepfake para os eleitores

O que aconteceu: Dois dias antes das primárias de New Hampshire, em janeiro de 2024, milhares de eleitores receberam uma chamada com uma voz gerada por IA que se parecia com a do presidente Biden, a dizer-lhes para guardarem o seu voto para novembro. O consultor responsável por isso foi multado em 6 milhões de dólares pela FCC; um júri absolveu-o das acusações criminais em 2025.

A lição: os funcionários deparam-se com este tipo de situação na vida privada. O princípio é o mesmo: uma voz familiar não é uma fonte.

5. LastPass e WPP (2024): dois CEOs no WhatsApp

O que aconteceu: Um colaborador da LastPass recebeu chamadas, mensagens de texto e uma mensagem de voz no WhatsApp com um áudio deepfake do CEO, segundo informou a empresa. Na WPP, os atacantes usaram uma conta do WhatsApp com a foto do CEO Mark Read para marcar uma reunião no Teams com um clone de voz e imagens do YouTube.

A lição: ambos os contactos surgiram fora dos canais normais de negócio. O funcionário da LastPass ignorou-os e comunicou o caso. Nenhuma das empresas sofreu qualquer prejuízo.

6. Ferrari (2024): a pergunta a que quem ligou não soube responder

O que aconteceu: Em julho de 2024, um executivo da Ferrari recebeu mensagens no WhatsApp e, depois, uma chamada do «CEO Benedetto Vigna» — com sotaque do sul de Itália e tudo — sobre uma grande aquisição e uma transação cambial, segundo o The Drive, citando a Bloomberg.

A lição: ele perguntou que livro o Vigna tinha recomendado recentemente. Quem ligou desligou. Uma pergunta pessoal não custa nada.

7. KnowBe4 (2024): o deepfake que se candidatou a um emprego

O que aconteceu: A KnowBe4, uma empresa especializada em sensibilização para a segurança, contratou um engenheiro de software que acabou por ser um falso profissional de TI da Coreia do Norte. Ele usou uma identidade norte-americana roubada e uma foto de arquivo alterada por IA e passou em quatro entrevistas por vídeo, segundo noticiou o CyberScoop.

A lição: o novo portátil dele ficou infetado com malware assim que chegou, e a equipa de segurança conseguiu conter a infeção em cerca de 25 minutos. Verifica a identidade para além da videochamada.

8. Guido Crosetto (2025): a voz de um ministro, uma conta bancária na Holanda

O que aconteceu: Em fevereiro de 2025, alguns líderes empresariais italianos foram contactados pelo «ministro da Defesa, Guido Crosetto», que lhes pediu cerca de 1 milhão de euros para libertar jornalistas sequestrados. O antigo proprietário do Inter de Milão, Massimo Moratti, pagou quase 1 milhão de euros, segundo a Reuters.

A lição: um ministro não pede dinheiro aos cidadãos. A Moratti apresentou uma queixa e a polícia congelou o dinheiro numa conta bancária na Holanda.

9. Dick Schoof (2025): o primeiro-ministro como vendedor de investimentos

O que aconteceu: Em junho de 2025, a organização de consumidores holandesa Consumentenbond alertou para um vídeo deepfake em que o primeiro-ministro Dick Schoof parece apresentar uma plataforma de investimento. Os fraudadores divulgaram-no através de anúncios no Facebook.

A lição: este é o deepfake que os funcionários vêem primeiro, no próprio telemóvel. Nenhum político vende investimentos num anúncio.

10. Singapura (2026): um primeiro-ministro no Zoom

O que aconteceu: Em maio de 2026, a polícia de Singapura alertou para o caso de uma vítima que perdeu pelo menos 4,9 milhões de dólares de Singapura após uma chamada no Zoom com vídeos falsificados do primeiro-ministro Lawrence Wong e de outros responsáveis. O pedido: um financiamento urgente relacionado com o Estreito de Ormuz, a ser reembolsado pelo governo.

A lição: O e-mail de acompanhamento veio de um endereço proton.me. Os governos não pedem às pessoas para transferirem dinheiro.

Os quatro tipos de deepfakes

• Clone de voz: uma chamada ou mensagem de voz com uma voz familiar, como nos exemplos 1, 5, 6 e 8.
• Videochamadas ao vivo: participantes falsos no Teams ou no Zoom, como aconteceu na bunq, na Arup e em Singapura.
• Vídeo pré-gravado: um vídeo que se espalha através de anúncios ou das redes sociais, como o vídeo do Schoof.
• Identidade sintética: uma identidade roubada ou inventada com uma foto alterada por IA, usada para conseguir um emprego, como na KnowBe4.

Como reconhecer um deepfake e por que é que a estratégia de «detetar a falha» está a perder eficácia

As dicas clássicas continuam a valer: lábios que ficam atrasados em relação ao som, pestanejar de forma pouco natural, um rosto que fica desfocado quando passas a mão à frente dele, uma voz monótona ou um pouco mecânica.

No entanto, como método de controlo, o olho treinado está a falhar. Num teste realizado em 2025 pela iProov junto de 2 000 consumidores no Reino Unido e nos EUA, 0,1% identificou corretamente todo o conteúdo real e falso. Na Ferrari, o sotaque estava quase perfeito. Na bunq, a imagem de má qualidade foi simplesmente explicada como sendo resultado de uma má ligação.

O que se mantém reconhecível é o pedido. Nos dez exemplos, foi o conteúdo que denunciou a fraude antes mesmo dos píxeis: urgência, sigilo, um canal invulgar e, no final, dinheiro ou acesso.

O que funciona, em vez disso: verificações que não dependem dos teus olhos

1. Liga de volta para um número que já tenhas. Nunca para o número que está na mensagem.
2. Princípio dos «quatro olhos» nos pagamentos. É preciso um segundo aprovador para transferências de montantes elevados e para qualquer alteração dos dados bancários.
3. Uma palavra-chave ou uma pergunta pessoal. Acordada entre a direção, o departamento financeiro e os assistentes, nunca escrita no chat.
4. Muda de canal. Confirma o pedido pelo WhatsApp ou por vídeo por outro meio.
5. Denuncia todas as tentativas. O próximo alvo costuma ser um colega.

Como formar os colaboradores sobre deepfakes

Começa pelas funções que podem movimentar dinheiro ou conceder acesso: finanças, assistentes executivos, RH e recrutadores, e o serviço de assistência informática. Apresenta-lhes casos práticos, não só teoria. Os dez exemplos acima funcionam porque são reais e encaixam-se nos ataques apresentados na nossa visão geral dos tipos de ataques de phishing.

Depois, pratica o procedimento em si. Para quem ligas, para que número, e o que acontece ao pagamento entretanto? A direção tem de deixar bem claro que é bem-vindo que te liguem de volta. Sessões curtas e frequentes funcionam melhor do que uma sessão anual: a Guardey propõe a cada colaborador um desafio gamificado de cerca de três minutos por semana, com simulações de phishing incluídas.

Perguntas mais frequentes

O que é um exemplo de deepfake?

Uma videochamada em que o diretor financeiro e os colegas são gerados por IA, como aconteceu na Arup em 2024. Outros exemplos são uma chamada com a voz clonada de um CEO (Ferrari) e um vídeo falso de um político a promover investimentos (Dick Schoof).

Existem exemplos de deepfakes em neerlandês?

Sim. Em 2023, um colaborador da bunq foi alvo de uma videochamada falsa do CEO e, em 2025, apareceu um deepfake do primeiro-ministro Dick Schoof em anúncios de investimento no Facebook.

Ainda consegues reconhecer um deepfake se olhares com atenção?

Às vezes, mas não contes com isso. No teste do iProov, só 0,1% dos participantes acertaram tudo. A verificação através de um segundo canal funciona, por melhor que seja a falsificação.

O que deves fazer se o dinheiro já tiver sido transferido?

Liga já para o teu banco e comunica o caso à polícia. Em Singapura, em março de 2025, um diretor financeiro transferiu 499 000 dólares americanos na sequência de uma chamada no Zoom com um vídeo falsificado (deepfake). Ele avisou o banco um dia depois, e a polícia localizou e apreendeu o dinheiro no dia seguinte.