Resumo
- Um homem preso em Murcia, na Espanha, usou deepfake em tempo real e documentos falsificados para se passar por cidadãos reais em videochamadas de verificação de identidade.
- O que revelou seu rosto verdadeiro foi um atraso de cerca de um segundo no próprio software que ele usava, não um controle da verificação.
- O caso mostra que comparar um rosto com um documento na tela não basta quando os dois podem ser fabricados de forma coerente entre si.
Diante da webcam, o homem segurava um documento de identidade falsificado, com a foto alterada digitalmente. Enquanto isso, um software modificava seu rosto na tela em tempo real, deixando-o idêntico à foto do documento. Do outro lado, o sistema de segurança de uma empresa emissora de certificados de assinatura eletrônica conduzia a videoidentificação.
O caso foi divulgado pela Polícia Nacional da Espanha em 11 de agosto de 2026, que descreveu a técnica como pioneira. Segundo o comunicado, foram até 38 tentativas de obter certificados de forma fraudulenta, usando mais de 30 identidades de cidadãos reais, com o objetivo de conseguir assinaturas digitais autorizadas para aplicar golpes financeiros depois. A polícia afirma que ele conseguiu se passar por várias vítimas nas videoconferências, mas o comunicado não informa se, ou quantos, certificados chegaram a ser emitidos.
O que chama mais atenção nessa história não é a tecnologia utilizada pelo golpista, mas o fato de que foi necessária uma falha do lado do criminoso para que o golpe fosse descoberto.
Como o ataque funcionava
Deepfake em tempo real
O homem aparecia pessoalmente nos vídeos de verificação de identidade mostrando o documento falsificado, enquanto técnicas de deepfake modificavam seu rosto em tempo real para que ficasse idêntico à fotografia do documento. Não se tratava de um vídeo gravado reproduzido diante da câmera, e sim de uma transformação feita ao vivo, sessão a sessão, a cada identidade usada.
Documento falsificado com foto alterada
Os documentos de identidade exibidos eram falsificados, com fotografias alteradas digitalmente e aparentes elementos de segurança.
Iluminação para simular os elementos de segurança
Para dar aparência de autenticidade ao documento, ele usava focos domésticos com lâmpadas coloridas posicionadas estrategicamente. Ao movimentar o documento diante da webcam, recriava os brilhos e os hologramas que um documento verdadeiro exibe sob luz real.
Anonimização em larga escala
As conexões passavam por VPN. A investigação sobre e-mails e meios de pagamento identificou mais de 320 linhas telefônicas, associadas a 24 aparelhos diferentes, a maioria contratada com identidades de terceiros e adquirida em pontos de venda em Murcia.
A falha que expôs o golpista
Durante uma das seções de verificação, o programa de deepfake que modificava o rosto do homem sofreu um pequeno atraso de processamento. Por cerca de um segundo, a imagem da vítima saiu da tela e o rosto real do suspeito ficou visível para o sistema antifraude da empresa. Isso permitiu identificá-lo e, depois, prendê-lo.
Esse segundo é o ponto mais citado do caso, mas é também o menos útil para quem opera uma verificação de identidade. Uma operação não pode depender de a ferramenta do fraudador falhar. Se o software tivesse funcionado sem interrupção naquela sessão, a comparação entre rosto e documento teria mostrado exatamente o que ele pretendia mostrar.
O que de fato funcionou como controle está em outra parte do comunicado. As investigações começaram depois que foram detectadas múltiplas solicitações fraudulentas à empresa emissora: até 38 tentativas, sobre mais de 30 identidades. E a estrutura que sustentava essas tentativas, com centenas de linhas telefônicas e dezenas de aparelhos, apareceu na investigação sobre os dados de contato e pagamento.
Nenhuma chamada isolada revela isso. Cada sessão, vista individualmente, podia parecer uma verificação legítima. O padrão só aparece quando as solicitações são observadas em conjunto.
Quais camadas de segurança poderiam barrar esse ataque?
Cada elemento do ataque explora um ponto específico da verificação, e cada um pede um tipo diferente de controle.
Uma camada de segurança sozinha não resolve o problema. O golpista atacou as duas pontas da comparação entre rosto e documento ao mesmo tempo. Quando rosto e documento são falsos e coerentes entre si, a comparação confirma a fraude em vez de barrá-la.
Também não se trata de dizer que a verificação da empresa espanhola era mal desenhada. O comunicado não informa se a verificação era feita por pessoas, por um sistema de biometria facial ou pelos dois, nem que tecnologia a empresa usava. O ponto é o tipo de controle, não a execução de uma empresa específica
Empresas brasileiras também estão ameaçadas
Operações brasileiras de crédito, abertura de conta e formalização de contratos usam videochamada para confirmar identidade à distância. O ataque descrito no comunicado não depende de país nem de setor: depende de haver uma verificação que se apoia na comparação entre um rosto e um documento exibidos na tela.
A mesma inteligência artificial que tornou o ataque possível é a que permite detectá-lo dentro da chamada, analisando sinais que o olho humano não capta em tempo real.
Por onde começar
Algumas perguntas que uma operação pode fazer sobre o próprio processo de videoidentificação, cada uma ligada a um elemento do caso:
- A verificação detecta imagem inserida por software no fluxo de vídeo, ou apenas compara o rosto com a foto do documento?
- A autenticidade do documento é validada por algo além da leitura visual na tela?
- Alguém analisa as solicitações em conjunto, cruzando dispositivo, rede e identidade, ou cada chamada é avaliada isoladamente?
- O processo identifica quando a mesma pessoa aparece sob identidades diferentes?
Panorama Nuvidio: fraudes, golpes e segurança no sistema financeiro
O caso de Murcia não mostra que a videoidentificação deixou de funcionar. Mostra que a comparação entre rosto e documento, sozinha, é insuficiente quando as duas pontas podem ser fabricadas.
As soluções de verificação de identidade por vídeo da Nuvidio são desenvolvidas justamente para esse tipo de tentativa. A prova de vida é construída para distinguir uma pessoa real, presente diante da câmera, de uma foto, de um vídeo reproduzido em tela ou de um rosto gerado por deepfake. E a verificação não se resume a um momento da chamada: a biometria facial e a análise de comportamento por inteligência artificial acompanham toda a interação, sinalizando inconsistências enquanto ela acontece.
Ao final, cada interação gera indicadores de risco e um registro auditável do que foi verificado, o que dá à operação base para decidir quais interações merecem revisão antes de qualquer aprovação. Para entender como isso se aplica à sua operação, fale com nossa equipe.
Perguntas frequentes
Deepfake consegue enganar uma videochamada de verificação de identidade?
Consegue, e esse caso é um exemplo documentado. Segundo a Polícia Nacional da Espanha, o golpista conseguiu se passar por várias vítimas em videoconferências de verificação, usando deepfake em tempo real e documentos falsificados. O risco é maior quando a verificação depende da comparação entre o rosto e a foto do documento, porque as duas pontas podem ser fabricadas para coincidir.
O que é ataque de injeção em verificação por vídeo?
É quando um vídeo sintético é inserido diretamente no fluxo da chamada por software, substituindo a imagem da câmera, sem que nada real passe diante dela. É diferente de mostrar uma foto ou uma tela para a câmera. Por isso, a detecção de injeção é um controle distinto da prova de vida tradicional. No caso espanhol, o comunicado não detalha por qual meio a imagem modificada chegava à videochamada.
Como se proteger contra esse tipo de ataque?
Combinando camadas que atacam pontos diferentes: prova de vida e detecção de injeção no fluxo de vídeo, validação do documento que não dependa só da leitura visual, sinais de dispositivo e de rede, e análise das solicitações em conjunto, e não apenas de cada chamada isolada. Nenhuma delas, sozinha, cobre todas as partes de um ataque como o descrito pela polícia espanhola.