Deepfake de vídeo em tempo real numa videoconferência
Um burlão pode assumir o rosto e a voz de um dirigente numa videoconferência. O que dizem as fontes e a verificação que protege.
Em 30 segundos
- Onde acontece
- Numa troca eletrónica em que o interlocutor afirma ser uma pessoa de confiança. O MITRE descreve o phishing como engenharia social transmitida por via eletrónica, tendo a usurpação de uma fonte de confiança entre as suas técnicas1.
- O que o atacante quer
- Obter informações, muitas vezes credenciais2. Os rostos manipulados realistas são o objeto do estudo FaceForensics++3. O NCSC acrescenta os pagamentos não autorizados4.
- O reflexo
- Perante qualquer pedido importante, verificar através de um segundo tipo de comunicação, regra que o NCSC enuncia para os pedidos por correio eletrónico4.
- Se já aconteceu
- Avisar de imediato o serviço responsável pela segurança. O NCSC recomenda um procedimento de comunicação claro, sem censura para quem cedeu4.
Do que se trata
Uma chamada por videoconferência dá a impressão de falar com uma pessoa conhecida: vê-se o rosto e ouve-se a voz. Um burlão apresenta-se com o aspeto de um dirigente ou de um colega para obter uma transferência, uma informação ou um acesso.
Esta ficha deve ser lida com um limite em mente. As fontes reunidas para ela descrevem o phishing em geral e a manipulação de imagens de rostos. Nenhuma descreve um caso de fraude com deepfake numa videoconferência. O que se segue limita-se, por isso, ao que estas fontes estabelecem, e o texto assinala o que elas não cobrem.
Perguntas diretas
É possível reconhecer um deepfake a olho nu?
O estudo FaceForensics++ (2019) examina o realismo das manipulações de rostos e a dificuldade de as detetar, de forma automática ou por humanos3. Os autores concluem que o seu método de deteção supera os observadores humanos3. O estudo não incide sobre os deepfakes em direto de hoje. As fontes do dossiê não fornecem uma lista de sinais visíveis no ecrã. Um colaborador não deve, portanto, basear a sua decisão na impressão de ter "visto" um defeito ou de não ter visto nenhum.
Quem é visado?
O NCSC distingue os serviços em contacto com o público, que recebem muitas mensagens não solicitadas, das pessoas autorizadas a aceder a informações sensíveis, a gerir fundos ou a administrar sistemas. Estas últimas interessam mais a um atacante e podem sofrer uma campanha sofisticada de spear phishing4.
Que fazer perante um pedido de transferência recebido numa videoconferência?
Aplicar a regra do NCSC: verificar os pedidos importantes através de um segundo tipo de comunicação, como uma mensagem de texto, uma chamada telefónica, o início de sessão numa conta ou uma confirmação presencial4. O NCSC enuncia-a para os pedidos por correio eletrónico. O princípio, um canal independente do primeiro, aplica-se da mesma forma a uma chamada de vídeo, mas esta extensão é uma leitura da regra e não um texto da fonte.
Deve ligar-se para o número indicado pelo interlocutor?
As fontes descrevem a armadilha inversa. O MITRE refere que as vítimas recebem mensagens que lhes pedem para ligar para um número, onde o atacante tenta recolher informações confidenciais2. Dedução deste artigo, que não consta das fontes: o número fornecido por quem faz o pedido não pode servir de segundo canal independente, e é preferível um número que a empresa já conheça.
Um colaborador que caiu na armadilha arrisca uma sanção?
O NCSC aconselha a não repreender as pessoas em dificuldade: quem teme represálias comunica os seus erros tarde, ou nunca. Pede que esta mensagem seja apoiada por todos os departamentos, incluindo os recursos humanos e a direção4.
1Na pele do atacante1 min
O MITRE apresenta o phishing como um meio de obter acesso inicial aos sistemas da vítima. Pode ser dirigido a uma pessoa, a uma empresa ou a um setor (fala-se então de spear phishing) ou não ser dirigido1. Entre as técnicas descritas: fazer-se passar por uma fonte de confiança, usurpar a identidade de um remetente ou inserir-se numa conversa já existente1.
Uma variante visa a informação e não a execução de código malicioso. O MITRE explica que o atacante procura então levar a vítima a divulgar credenciais ou outros dados utilizáveis, e que pode consegui-lo através de mensagens instantâneas ou de outros meios de conversação eletrónica2. Uma subtécnica chama-se "Spearphishing Voice", o spear phishing por voz1.
O NCSC acrescenta que os atacantes exploram as formas de trabalhar: podem levar alguém a transmitir informações, palavras-passe incluídas, ou a efetuar pagamentos não autorizados4. Um falso dirigente numa videoconferência enquadra-se nesta lógica, mas nenhuma fonte do dossiê o documenta.
2O que vê no ecrã1 min
As fontes não estabelecem nenhum sinal visual fiável. Dizem apenas que manipulações de rostos como DeepFakes, Face2Face, FaceSwap e NeuralTextures são suficientemente realistas para que se tenha construído um banco de ensaio destinado a detetá-las3. Segundo os autores, um detetor treinado com estes dados supera os observadores humanos, mesmo quando o vídeo está muito comprimido3.
Para um colaborador, a consequência prática é não confiar na impressão visual. Se um pedido for invulgar, urgente ou envolver dinheiro, a verificação por outro canal impõe-se, quer a imagem pareça perfeita quer não.
3Por baixo do capôEquipas de TI1 min
As fontes do dossiê não descrevem o funcionamento da troca de rosto ou da clonagem de voz em direto. Não permitem, por isso, escrever aqui sobre câmaras virtuais ou latência. Dois elementos estão estabelecidos.
O primeiro: o FaceForensics++ propõe um banco de ensaio público para a deteção de manipulações faciais. Contém um conjunto de teste oculto e uma base com mais de 1,8 milhões de imagens manipuladas3.
O segundo: o NIST publicou em 26 de julho de 2024 um perfil dedicado à IA generativa, o NIST-AI-600-1. Pode ajudar as organizações a identificar os riscos próprios deste tipo de IA e propõe ações para os gerir5. O quadro geral do NIST é de utilização voluntária5.
4AutópsiasCasos reais1 min
Janeiro de 2019: um estudo examina a deteção de rostos manipulados
Os investigadores do FaceForensics++ depositaram o seu estudo em 25 de janeiro de 20193. Notam que os progressos da síntese de imagens suscitam preocupações na sociedade. Na melhor das hipóteses, escrevem, isso leva a uma perda de confiança nos conteúdos digitais3. O estudo não descreve nenhuma fraude: a deteção automática supera nele o olho humano3.
Um caso de phishing numa instituição financeira (data não indicada)
O NCSC descreve um caso real, sem indicar a data. Uma empresa do setor financeiro com cerca de 4000 colaboradores recebeu 1800 mensagens de correio eletrónico com variantes do software malicioso Dridex, apresentadas como uma fatura urgente4. O filtro bloqueou 1750, e 50 chegaram às caixas de entrada4. Dessas 50, 36 foram ignoradas ou comunicadas, das quais 25 comunicadas no total, e 14 foram abertas4. Apenas um posto foi infetado, e a chamada do software ao seu operador foi detetada, comunicada e bloqueada4. O posto foi apreendido, examinado e limpo em poucas horas4. Este caso mostra o efeito de várias camadas de defesa, incluindo a comunicação por parte dos colaboradores. Não diz respeito à videoconferência.
Ficha
- Identificador
- CP-296
- Ala
- 4. Inteligência artificial
- Competência Brain
- Deepfake (deepfake)
- Reflexo Brain
- air-030
- Esquema
- G4 · Cronologia do incidente (autópsia)
- Idiomas
- de, en, es, fr, it, nl, pt
- Fontes
- 5 fontes verificadas em 3 de novembro de 2026
Fontes5 fontes
- MITRE ATT&CK, «Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/ (consultado em 3 de novembro de 2026)
- MITRE ATT&CK, «Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1598/ (consultado em 3 de novembro de 2026)
- arXiv, «FaceForensics++: Learning to Detect Manipulated Facial Images», 25 de janeiro de 2019. https://arxiv.org/abs/1901.08971 (consultado em 3 de novembro de 2026)
- NCSC (Royaume-Uni), «Phishing attacks: defending your organisation», 5 de fevereiro de 2018. https://www.ncsc.gov.uk/guidance/phishing (consultado em 3 de novembro de 2026)
- NIST, «AI Risk Management Framework». https://www.nist.gov/itl/ai-risk-management-framework (consultado em 3 de novembro de 2026)
Citar este artigo
Brain, «Deepfake de vídeo em tempo real numa videoconferência», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp296_pt_2026,
author = {Brain},
title = {Deepfake de vídeo em tempo real numa videoconferência},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/pt/articles/deepfake-tempo-real-videoconferencia/},
note = {CC BY 4.0}
}