O cenário que agora vemos com certa regularidade não se parece em nada com um e-mail de phishing cheio de erros de digitação. Um integrante da equipe financeira entra em uma videochamada já em andamento. O CFO está na tela, falando com uma voz familiar, mencionando um negócio real em curso, e pedindo uma transferência urgente da tesouraria para fechá-lo antes de um prazo que não pode se estender. Tudo na chamada parece e soa correto. Não é o CFO.
Isso é diferente das imagens estáticas de deepfake e das ligações telefônicas com voz clonada que recebem a maior parte da atenção pública, e é diferente do comprometimento comum de e-mail corporativo. A fraude por deepfake de vídeo em tempo real usa síntese ao vivo de rosto e voz durante uma videochamada real, reagindo a perguntas, sustentando uma conversa e ajustando o tom no momento. É mais convincente do que um clipe pré-gravado porque responde como uma conversa de verdade, e é direcionada especificamente ao único contexto, um pedido ao vivo de um executivo, que muitas organizações ainda tratam como autorização suficiente por si só.
Por que transferências da tesouraria em criptomoedas são um alvo preferencial
Uma transferência de criptomoedas é definitiva no momento em que é confirmada on-chain. Não há dia útil intermediário, nenhum banco correspondente para sinalizar um padrão incomum, e nenhum pedido simples de estorno depois que a transação já foi liquidada. Para um atacante que personifica um executivo, isso torna a carteira cripto de uma empresa um alvo consideravelmente mais atraente do que uma conta bancária, onde uma transferência fraudulenta ao menos tem uma janela estreita em que ainda pode ser interrompida ou revertida antes de ser compensada.
A própria chamada costuma ser o ápice de um trabalho de reconhecimento, não o primeiro passo. Atacantes frequentemente recorrem a material disponível publicamente, teleconferências de resultados, palestras em conferências, reuniões internas publicadas on-line, para treinar o modelo usado para personificar um executivo específico, e normalmente já conhecem terminologia interna, nomes de negócios e relações hierárquicas o suficiente para soar críveis sem que esses detalhes revelem nada.
Por que uma videochamada isolada deixou de ser uma verificação confiável
Muitas organizações construíram sua conscientização interna contra fraude em torno da ideia de que uma ligação telefônica ou videochamada era a forma segura de confirmar um pedido suspeito por e-mail, já que uma voz ou um rosto em uma chamada ao vivo parecia mais difícil de falsificar de forma convincente do que um texto. Essa suposição está hoje ultrapassada. Uma chamada ao vivo acrescenta uma camada de legitimidade aparente que pode tornar a equipe menos propensa a questionar um pedido incomum, não mais, justamente porque parece mais pessoal e mais difícil de fabricar do que realmente é.
A defesa que realmente funciona não é aprender a identificar um deepfake no momento. A detecção em uma chamada ao vivo é genuinamente difícil mesmo para quem sabe o que procurar. A defesa que funciona é recusar-se a tratar qualquer canal de comunicação isolado, incluindo uma videochamada ao vivo, como autorização suficiente para uma transferência irreversível.
Protocolos de verificação que vale a pena implementar
- Confirmação fora de banda para qualquer transferência acima de um limite estabelecido, ou seja, o pedido precisa ser confirmado de forma independente por um segundo canal que o solicitante não tenha iniciado, como uma ligação feita para um número já registrado, em vez de um fornecido durante a chamada original.
- Uma palavra-código verbal rotativa, conhecida apenas por um pequeno grupo interno e alterada periodicamente, que deve ser fornecida antes que qualquer instrução de transferência de alto valor seja executada, independentemente de como o pedido chegue.
- Uma política rígida de retorno de chamada: se um pedido chega com urgência em uma chamada ao vivo, o destinatário desliga e liga de volta para o solicitante em um número conhecido e previamente registrado, em vez de continuar na linha original ou confiar em um número fornecido durante a chamada.
- Uma exigência de dupla aprovação para movimentações de tesouraria acima de determinado valor, estruturada de forma que o segundo aprovador não possa ser contatado pelo mesmo canal de comunicação do primeiro pedido.
- Uma postura padrão de que a própria urgência é um sinal de alerta. Uma pressão de tempo genuína sobre uma transferência cripto irreversível é rara o suficiente para que deva gerar mais escrutínio, não menos.
Se uma transferência já foi enviada
O identificador da transação, o endereço da carteira de destino, e um registro completo da própria chamada, incluindo qualquer gravação, metadados da reunião, e o pedido exato feito, são o ponto de partida para qualquer investigação. Preserve-os antes que a discussão interna sobre o que aconteceu tenha a chance de confundir a linha do tempo. A partir daí, o caso é tratado de forma muito semelhante a qualquer outro comprometimento de carteira empresarial: o caminho rastreável que os fundos percorreram importa mais do que reconstruir exatamente o quão convincente foi a personificação.