Uma fraude por videoconferência com deepfakes levou a Arup a perder cerca de US$ 25,5 milhões, segundo relato citado pelo Fórum Econômico Mundial. O caso chama atenção pela tecnologia, mas funcionou porque uma história de autoridade, sigilo e urgência conduziu pessoas a executar transferências.
O ataque entra pela decisão
Engenharia social explora atalhos humanos. Sob pressão, tendemos a obedecer autoridade, reduzir verificação e evitar parecer desconfiados. Áudio e vídeo sintéticos tornam o pedido mais convincente, mas o mecanismo psicológico continua reconhecível.
Treinamentos anuais que pedem atenção são insuficientes quando o processo recompensa velocidade e não oferece uma forma segura de pausar. A pessoa precisa saber como verificar sem desafiar hierarquias ou atrasar legitimamente a operação.
Segurança é um sistema sociotécnico
Tecnologia pode detectar anomalias e reforçar autenticação. Psicologia ajuda a compreender gatilhos. Comunicação cria mensagens de alerta úteis. Administração separa funções. Direito orienta resposta, registro e proteção. Cada disciplina cobre uma parte do risco.
O Global Cybersecurity Outlook 2026 aponta ameaças em evolução, vulnerabilidades na cadeia e falta de competências entre os principais desafios. Nenhuma ferramenta isolada resolve dependências entre fornecedores, pessoas e processos.
Controles que cabem no momento crítico
Transferências excepcionais podem exigir confirmação por canal independente, dupla aprovação e tempo mínimo. Palavras combinadas, contatos previamente validados e limites por perfil reduzem a chance de uma única narrativa dominar a decisão.
Simulações devem reproduzir contexto, sem humilhar quem erra. O objetivo é aprender onde o sistema falhou e tornar a resposta correta mais fácil.
O que podemos fazer com esse conhecimento?
- Exigir verificação independente para pedidos financeiros fora do padrão.
- Rever permissões, limites e segregação de funções.
- Simular cenários de fraude e corrigir o processo após cada exercício.
- Criar uma regra explícita que proteja quem interrompe uma operação suspeita.
Confiar melhor, não desconfiar de tudo
A resposta aos deepfakes não pode ser abandonar toda confiança. Precisa transformar confiança em processo verificável. Quando pessoas têm tempo, autoridade e canais para confirmar, a tecnologia perde parte do poder de explorar a pressa.