Deepfakes de CEOs exploram obediência e colocam empresas em risco
Durante décadas, a segurança da informação concentrou grande parte de seus esforços no fator humano para reduzir ameaças internas. Funcionários insatisfeitos, administradores mal-intencionados e prestadores de serviço com acessos excessivos sempre estiveram entre os principais riscos considerados pelas equipes de segurança.
Agora, um novo paradigma está surgindo.
Com a rápida adoção de sistemas de Inteligência Artificial autônomos e ferramentas capazes de reproduzir rostos e vozes, as organizações começam a enfrentar uma categoria de ameaça diferente: criminosos que utilizam deepfakes para imitar executivos e induzir funcionários a executar ações perigosas.
# publicidade
O problema não está apenas na capacidade da tecnologia de reproduzir a aparência ou a voz de uma pessoa. Está também na forma como os criminosos exploram um dos mecanismos mais antigos do comportamento humano: a obediência à autoridade.
O fantasma de Milgram nas empresas
Em 1963, o psicólogo Stanley Milgram realizou um dos experimentos mais conhecidos da psicologia social. O estudo demonstrou como pessoas comuns poderiam continuar aplicando supostos choques elétricos em outra pessoa quando recebiam ordens de uma figura de autoridade.
O experimento ajudou a demonstrar o impacto que a autoridade pode exercer sobre decisões individuais.
Décadas depois, a mesma lógica pode aparecer em ataques digitais.
Um criminoso não precisa apenas comprometer uma conta ou roubar uma senha. Ele pode tentar criar a impressão de que uma solicitação veio diretamente de alguém com autoridade dentro da empresa.
Imagine receber uma chamada de vídeo aparentemente feita pelo CEO solicitando uma transferência urgente, uma alteração de dados bancários ou o envio de informações confidenciais.
A tecnologia pode tornar essa situação muito mais convincente.
Nesse contexto, o funcionário pode deixar de agir com base no próprio julgamento e passar a enxergar a ação como uma simples execução de uma ordem superior.
É justamente esse comportamento que os golpes com deepfakes procuram explorar.
A cultura do “não pergunte, apenas faça”
Empresas possuem hierarquias por uma razão. Decisões precisam ser tomadas e responsabilidades precisam ser distribuídas.
O problema aparece quando a cultura organizacional transforma autoridade em obediência automática.
Uma organização pode incentivar velocidade, autonomia e execução rápida. Entretanto, quando uma solicitação aparentemente vem da alta liderança, muitos funcionários podem hesitar em questioná-la.
Essa reação é perfeitamente compreensível.
Questionar diretamente um superior pode gerar desconforto, principalmente quando a solicitação parece urgente e envolve uma situação que o funcionário acredita não ter autoridade para contestar.
Os criminosos sabem disso.
Por isso, golpes com deepfakes podem combinar três elementos extremamente eficazes:
Autoridade.
Urgência.
Pedido atípico.
A combinação cria pressão psicológica para que a vítima execute a tarefa antes de pensar cuidadosamente sobre ela.
Cultura é o remédio de longo prazo; consciência é o antídoto imediato
Mudar uma cultura baseada em obediência automática para uma cultura de autonomia crítica exige tempo, treinamento e comprometimento da liderança.
Os criminosos, entretanto, não precisam esperar por essa transformação.
Por isso, a defesa individual e departamental pode começar imediatamente com três ações simples:
Parar.
Observar.
Questionar.
Esses três comportamentos podem formar uma barreira simples contra ataques que dependem da pressão psicológica.
1. Pare: crie um freio cognitivo
Golpes com deepfakes costumam combinar autoridade, pedido atípico e urgência extrema.
Uma solicitação inesperada de um executivo para realizar uma transferência financeira, compartilhar informações confidenciais ou alterar um procedimento importante deve ser suficiente para interromper o fluxo automático da execução.
A pausa deliberada precisa se tornar um hábito.
Assim como uma pessoa olha para os dois lados antes de atravessar uma rua, o funcionário deve criar um intervalo entre receber uma ordem e executá-la quando houver sinais de anormalidade.
Em situações que envolvem grandes transferências financeiras ou outras operações críticas, empresas podem estabelecer previamente uma palavra-chave, código de confirmação ou procedimento obrigatório de validação.
O objetivo é criar uma barreira entre a solicitação e a execução.
Essa pequena pausa pode ser suficiente para impedir que um golpe bem elaborado produza um prejuízo significativo.
2. Observe: procure sinais comportamentais
Os deepfakes modernos estão se tornando cada vez mais convincentes.
Falhas visuais grosseiras, movimentos artificiais ou vozes claramente robóticas podem deixar de ser pistas confiáveis.
Por isso, a análise precisa ir além da aparência.
Detalhes comportamentais podem oferecer pistas importantes.
A forma habitual de cumprimentar colegas, o uso de determinados apelidos, o canal normalmente utilizado para solicitações, a cadência da fala e até o vocabulário característico da pessoa podem ajudar a identificar uma situação anormal.
Nenhum desses sinais isoladamente prova que uma comunicação é falsa.
Porém, quando vários elementos parecem diferentes ao mesmo tempo, o estranhamento deve ser suficiente para interromper a operação e iniciar uma verificação.
O funcionário não precisa descobrir sozinho se o vídeo ou áudio é um deepfake.
Ele precisa reconhecer quando uma situação foge do padrão e acionar o procedimento de segurança.
3. Questione: recupere a autonomia
Questionar uma ordem aparentemente vinda de um superior pode gerar desconforto psicológico.
Esse é justamente um dos elementos explorados pelos criminosos.
Quando uma pessoa acredita estar recebendo uma ordem direta do CEO ou de outro executivo, a pressão para obedecer pode ser muito maior do que em uma solicitação comum.
Por isso, a organização precisa deixar claro que confirmar uma ordem suspeita não representa desobediência.
Representa segurança.
A confirmação deve ocorrer por um canal independente.
Isso pode significar ligar para o número oficial do executivo, enviar uma mensagem por outro canal previamente validado, confirmar presencialmente ou utilizar um código combinado.
Quando a operação envolve valores elevados ou informações extremamente sensíveis, essa segunda verificação deve ser obrigatória.
Tecnologia deve funcionar como cinto de segurança, não como motorista
O ser humano possui uma forte tendência à conformidade social.
Esperar que cada funcionário consiga resistir sozinho à pressão de uma autoridade em todas as situações é uma estratégia frágil.
A tecnologia precisa funcionar como uma camada adicional de proteção.
Uma solução de segurança não deve depender exclusivamente da capacidade do funcionário de identificar sozinho um deepfake. Ela deve ajudar a interromper ou sinalizar uma situação potencialmente perigosa antes que uma ação irreversível seja executada.
Nesse contexto, ferramentas de detecção de deepfakes precisam ser avaliadas principalmente por três características.
Operação em tempo real
A proteção precisa funcionar durante a chamada ou interação, e não apenas depois que o incidente aconteceu.
Uma análise forense posterior pode ajudar na investigação, mas não impede que uma transferência financeira seja realizada.
Integração ao fluxo de trabalho
A tecnologia precisa estar integrada aos canais utilizados diariamente pelos funcionários.
Se o mecanismo de segurança exigir procedimentos extremamente complexos ou interromper constantemente o trabalho, os usuários podem tentar contorná-lo.
O equilíbrio entre proteção e usabilidade é fundamental.
Sinais acionáveis
Detectar uma anomalia não é suficiente.
O usuário precisa receber uma indicação clara sobre o que deve fazer.
Um alerta contextual que informe que uma chamada apresenta características suspeitas pode ser muito mais útil do que simplesmente registrar um evento em um sistema de logs.
O objetivo é transformar a detecção em uma ação.
Responsabilidade compartilhada: o início da mudança cultural
Quando uma empresa combina treinamento de conscientização, procedimentos claros de verificação e mecanismos técnicos de proteção, transmite uma mensagem importante: combater deepfakes é uma responsabilidade coletiva.
O funcionário não deve ser colocado sozinho diante de uma decisão de alto risco.
A organização precisa criar processos que tornem a verificação uma parte normal do trabalho.
Isso significa estabelecer regras claras para determinadas situações, principalmente quando envolvem dinheiro, credenciais, dados confidenciais ou alterações críticas em sistemas.
A cultura começa a mudar quando pausar, verificar e questionar uma solicitação anormal deixa de ser visto como burocracia e passa a ser reconhecido como comportamento correto.
Nesse ambiente, o funcionário não precisa escolher entre obedecer ao chefe e proteger a empresa.
O próprio processo corporativo deixa claro que a verificação faz parte da execução da tarefa.
Como as empresas podem se proteger contra golpes com deepfakes
A proteção precisa começar antes de qualquer incidente.
Empresas podem estabelecer políticas específicas para solicitações consideradas de alto risco, principalmente transferências financeiras, alterações de dados bancários, compartilhamento de informações confidenciais e concessão de acessos.
Também é importante definir canais oficiais de comunicação e mecanismos independentes de confirmação.
Outra medida importante é treinar funcionários com simulações realistas.
Treinamentos exclusivamente teóricos podem não reproduzir a pressão de uma situação real. Exercícios controlados podem ajudar os profissionais a desenvolver o hábito de parar, observar e questionar.
A tecnologia deve complementar esse processo com autenticação forte, controles de acesso, monitoramento de transações e mecanismos de detecção de comportamentos suspeitos.
Nenhuma dessas medidas é suficiente isoladamente.
A proteção mais eficiente surge da combinação entre pessoas preparadas, processos bem definidos e tecnologia adequada.
Deepfake é também um problema de engenharia social
É fácil tratar deepfakes exclusivamente como uma ameaça tecnológica.
Entretanto, o componente mais importante do ataque pode estar justamente fora da tecnologia.
O criminoso não precisa necessariamente criar um vídeo perfeito.
Ele precisa criar uma situação na qual a vítima acredite que deve obedecer.
Essa diferença é fundamental.
Mesmo que a reprodução da voz ou do rosto apresente pequenas imperfeições, a pressão causada pela autoridade e pela urgência pode fazer com que a vítima ignore sinais de alerta.
Por isso, combater deepfakes também significa combater técnicas tradicionais de engenharia social.
A tecnologia mudou.
O mecanismo psicológico continua sendo conhecido.
Considerações finais: recuperando a autonomia
O experimento de Milgram colocou participantes em uma situação artificial de autoridade e coerção.
No ambiente corporativo moderno, entretanto, criminosos podem reproduzir parte dessa pressão utilizando tecnologias capazes de imitar rostos, vozes e comportamentos de pessoas em posições de autoridade.
Isso transforma o deepfake em um problema que vai muito além da tecnologia.
A defesa precisa combinar três dimensões:
Cultura no longo prazo.
Processos no médio prazo.
Tecnologia no curto prazo.
A cultura cria profissionais preparados para questionar situações anormais.
Os processos estabelecem mecanismos formais de confirmação.
A tecnologia adiciona uma camada de proteção capaz de identificar sinais que podem passar despercebidos pelo usuário.
A melhor defesa contra a imitação cada vez mais convincente de uma autoridade não é depender exclusivamente de uma tecnologia capaz de detectar todos os deepfakes.
É criar organizações nas quais um funcionário possa dizer:
“Isso não parece certo. Vou confirmar antes de executar.”
E, principalmente, saber que será protegido por fazer exatamente isso.
