Brasil: Open Finance e fraudes com deepfakes

Linha do tempo da operação

Cadeia de ataque e TTPs

O padrão observado no material é compatível com uma cadeia de ataque modular. O primeiro passo costuma ser o acesso inicial por engenharia social, phishing, smishing, vishing ou abordagens presenciais. No Brasil, a Exame observa que muitos golpes de Open Finance usam dados reais como nome, CPF, endereço e histórico de compras para tornar mais críveis os pedidos de consentimento. Essa etapa inicial não busca uma intrusão técnica complexa, mas sim obter uma ação do usuário, um código, uma aprovação ou uma abertura de sessão.

Depois vem a fase de suplantação ou abuso de contas válidas. A MITRE define a técnica Valid Accounts como o uso de credenciais legítimas comprometidas para acessar sistemas. No corpus brasileiro, isso se traduz em invasão de contas, sequestro de identidades digitais, acesso ao GOV.BR, reutilização de credenciais e abertura de produtos financeiros em nome da vítima. A operação pode continuar com alteração de contatos, desvio de autenticadores, portabilidade de chaves Pix ou abertura de contas laranja para movimentar o dinheiro.

O segundo grande bloco é a evasão de controles biométricos. Diário do Nordeste, Metro1, CNN Brasil, Itaú Unibanco e IT Section descrevem deepfakes, selfies manipuladas, vídeos sintéticos e técnicas de injeção para burlar prova de vida e reconhecimento facial. A ideia não é apenas parecer real, mas produzir uma sinalização aceitável para o sistema automatizado. O Correio 24 Horas chegou a reportar um caso na Bahia em que fotos de rostos de idosos foram usadas para driblar o reconhecimento facial em apps bancários e contratar empréstimos.

Nesse ponto, a técnica Masquerading da MITRE se encaixa com precisão. O atacante usa identidades e aparências falsas para contornar defesas. A falsificação pode ser documental, biométrica ou de contexto. Em vários reportes também aparece a combinação de foto, áudio e vídeo, o que sugere campanhas que cruzam credenciais, suplantação audiovisual e manipulação do fluxo de onboarding.

O terceiro bloco é a monetização. Surgem transferências por Pix, contratação fraudulenta de empréstimos, movimentos para contas de terceiros, esvaziamento de contas e uso de boletos falsificados. A investigação da Agência Brasil e da Quod mostra que o Pix foi o canal predominante. O caso da Operação Infiltrados, com cerca de R$ 45 milhões desviados, e a prisão de um funcionário suspeito de desviar cerca de R$ 2 milhões, mostram que a monetização pode se apoiar tanto em canais automatizados quanto em abuso interno.

A persistência costuma ser completada com lavagem e fragmentação. A Evertec descreve organizações criminosas com divisão de funções entre engenharia social, malware, lavagem de dinheiro, abertura de contas laranja, falsificação de documentos e tráfico de dados. Isso importa porque ajuda a explicar por que os ataques já não parecem atos isolados, mas serviços especializados. O modelo Fraud as a Service reduz a barreira de entrada para grupos menores e profissionaliza a operação.

Impacto regional

Panorama regional

O caso brasileiro tem valor de referência para o restante da América Latina porque combina três elementos que nem sempre aparecem juntos. Primeiro, uma infraestrutura de pagamentos e dados altamente integrada, com Open Finance, Pix e fintechs interconectadas. Segundo, uso crescente de IA generativa para fraude de identidade, deepfakes e personificação. Terceiro, uma resposta regulatória que avança rápido, mas ainda depende de coordenação em tempo real entre bancos, fornecedores e autoridades.

A relação entre identidade e fraude deixou de ser um tema puramente documental. Os relatórios citados mostram que a indústria começou a tratar biometria facial, prova de vida e consentimento digital como superfícies atacáveis. Em paralelo, o crime organizado trabalha com acesso a dados vazados, engenharia social direcionada e sequestro de sessão. Essa combinação se repete, com variações, em vários países da região, embora o Brasil concentre a maior profundidade do material reunido.

Brasil

O Brasil é o centro do relatório. Evertec Trends, Exame, Agência Brasil, Quod, CNN Brasil, Serasa, O Globo, IT Section, Itaú Unibanco, Metro1, Diário do Nordeste, Polícia Federal, Banco Central e ANPD compõem um quadro consistente. O fraude se deslocou do uso indevido de cartões e boletos para um ambiente em que o atacante explora Open Finance, Pix, identidade digital e biometria facial.

Os números são expressivos. Mais de 9 milhões de indícios de fraude no primeiro semestre de 2026, 78% via celular, 85% com Pix e cerca de 40% originados em engenharia social. A isso se somam mais de 24 milhões de vítimas estimadas pela Fenasbac e pela GASA entre julho de 2024 e junho de 2025, quase R$ 29 bilhões em prejuízos e crescimento de 43% nas perdas via Pix em relação a 2023. A ANPD, por sua vez, situou o Brasil com 39% dos casos de deepfake da América Latina em 2025 e alta de 126% na comparação anual em ataques com imagens, vozes e identidades falsas.

A frente operacional reflete essa escala. O material inclui fraudes em contas sociais da Caixa, abertura de contas falsas, empréstimos fraudulentos, desvios em contas de beneficiários, abuso interno por parte de funcionários de banco e um caso de grande fraude histórica, o Bank Master, que a Insight Crime relaciona a redes criminosas e milícias. A leitura combinada é que o fraude financeiro brasileiro deixou de depender apenas do perímetro digital clássico e passou a penetrar a cadeia de confiança que sustenta o sistema de pagamentos.

Colômbia

A Colômbia aparece com uma agenda regulatória e preventiva mais visível no material. A Lei 2573 de 2026, segundo El País, suspende cobranças e apaga temporariamente registros negativos por suplantação de identidade a partir de novembro de 2026. A Superintendência Financeira criou um espaço específico para orientar a população sobre phishing, smishing, vishing, suplantação de identidade e fraude amigável, com recomendações de reporte imediato, inativação de produtos e denúncia à polícia e à Promotoria.

O risco prático, porém, já mostra sinais semelhantes aos do Brasil. A TintaTIC descreve mais de 218 mil reclamações por suplantação de identidade e destaca a abertura de contas digitais com dados roubados e a criação de cadastros adulterados. A Semana alerta para e-mails, vozes e vídeos deepfake que imitam bancos ou pessoas de confiança. A Pulzo chamou atenção para o smishing ligado ao lançamento do Bre-B, com mensagens falsas que pedem senhas, códigos e até biometria. Já o BBVA Colômbia recomenda ativar autenticação biométrica e verificar, pela app oficial, notificações suspeitas.

O bloco de casos também é robusto. O Espacio Digital reportou um falso assessor bancário em Bogotá que obtinha dados para fraude com cartões de crédito. A FM descreveu um golpe em carteiras digitais que usa identidades suplantadas e transferências "por erro" para lançar dívidas na vítima. Creditolab e Juan Antonio Matiz reuniram passos de resposta, como denunciar à Promotoria, contatar o banco, bloquear cartões, revisar relatórios de crédito e agir em caso de possível SIM swapping. No conjunto, o país mostra uma combinação de controles regulatórios, educação do usuário e alertas contra suplantação e fraude de onboarding.

México

O México apresenta um padrão técnico paralelo, embora com menos detalhe regulatório no material. A Condusef reportou 43.871 reclamações por tentativas de fraude financeira no primeiro semestre de 2026, alta de 16,7% na comparação anual, e 118.287 registros totais, 11,3% acima do ano anterior. A Shufti Pro afirma que o país enfrenta account takeover, manipulação de pagamentos por SPEI, engenharia social e lavagem vinculada a cartéis, o que sugere convergência entre fraude financeira e cibercrime organizado.

Juan Guevara, citado pela Imagen Radio, descreveu uma técnica de injeção em processos de abertura de contas por aplicativo. O atacante interrompe a câmera e substitui o sinal por um vídeo falso gerado por IA para enganar o sistema de selfie ou vídeo. O mesmo corpus menciona uma forte alta da fraude em abertura de contas digitais e do account takeover, embora esses percentuais apareçam atribuídos pelas fontes e não devam ser tratados como série oficial consolidada neste relatório.

O Banorte respondeu com uma estratégia de dupla segurança baseada em verificação de linhas telefônicas com operadoras e biometria comportamental que analisa geolocalização, uso do dispositivo e outros padrões. A Xataka México acrescenta que a CNBV aprovou mudanças para permitir identificação com documentos oficiais, impressões digitais e reconhecimento facial, especialmente em contas nível 3 e 4, e que depósitos ou saques em dinheiro acima de 140.000 pesos devem ser comprovados com biometria. A MITRE se encaixa bem no quadro mexicano, porque o material reflete acesso inicial por engenharia social, uso de contas válidas comprometidas e masquerading com deepfakes ou identidades sintéticas.

Indicadores técnicos

O material consolidado não trouxe IOCs técnicos clássicos, como hashes, IPs, domínios, URLs de infraestrutura criminosa ou artefatos de malware. O corpus, porém, traz indicadores operacionais e de contexto que ajudam a perfilar as campanhas.

Análise para equipes de segurança

A principal lição operacional é que a defesa já não pode depender de uma única camada. No Brasil, o atacante combina consentimento induzido, comprometimento de credenciais, manipulação biométrica e monetização rápida via Pix ou crédito. Isso obriga a detecção a sair do evento isolado e acompanhar a sequência completa de comportamento.

Para times antifraude, o primeiro foco deve ser o fluxo de consentimento. Se o Open Finance se apoia em autorizações válidas do usuário, a telemetria precisa detectar desvios na experiência de cadastro, sequestro de sessão, mudanças bruscas de dispositivo, horários atípicos, origem de rede incomum e reutilização de dados reais vazados para disparar solicitações. O material sugere que muitos ataques não são percebidos porque a operação parece autorizada. É preciso observar a qualidade do consentimento, não só sua existência.

O segundo foco é a biometria. A combinação de selfie, vídeo e prova de vida exige controles contra injeção, deepfakes e manipulação documental. A IT Section detalha que, em validações remotas, já são exigidos mecanismos específicos contra deepfake e injeção biométrica. Na prática, a validação de identidade não deveria depender apenas de uma imagem frontal, mas de biometria multimodal, sinais de liveness, comparação com bases confiáveis e análise contextual. A CNN Brasil e a ClickPetroleo e Gás / Exame citam o uso de biometria multimodal e liveness 3D como resposta justamente para evitar que um rosto sintético passe por real.

O terceiro foco está nos pagamentos instantâneos. O Banco Central já endureceu regras, mas a capacidade do atacante de movimentar dinheiro com velocidade segue sendo o risco central. Por isso, a verificação prévia de CPF/CNPJ, nome do titular e comportamento transacional precisa ser integrada antes de habilitar chaves Pix, portar chaves ou aceitar transações em contas com suspeita fundada. A Resolução BCB nº 501/25 e normas relacionadas mostram que o regulador está empurrando a detecção para o momento anterior ou imediatamente posterior à autorização, e não só para o chargeback.

O quarto foco é o fraude organizado. A Evertec descreve uma estrutura com especialistas separados por função. Isso obriga a pensar a defesa como um problema de cadeia de suprimento criminosa. Não basta bloquear o usuário enganado. Também é necessário identificar redes de contas laranja, dispositivos reutilizados, padrões de afiliação entre contas, uso repetido de identidades sintéticas, senhas recicladas e comportamento de funis coordenados. O objetivo é quebrar a economia de escala do fraude, e não apenas reagir caso a caso.

Em termos de priorização, os times deveriam tratar como alta prioridade três cenários concretos. Primeiro, onboarding remoto com selfie ou vídeo. Segundo, autorização de consentimento ou de chaves Pix a partir de dispositivos novos ou sessões sequestradas. Terceiro, pedidos de empréstimo ou abertura de conta com dados reais vazados e sinais de engenharia social. Nesses casos, a fricção adicional, como challenge step-up, verificação por segundo canal, revisão humana ou suspensão temporária, parece justificável diante do nível de risco mostrado pelo material.

Também vale cruzar fraude e cibersegurança de forma mais estreita. A MITRE ajuda a organizar a análise. Initial Access cobre o acesso inicial por phishing ou smishing. Valid Accounts explica o uso de credenciais legítimas comprometidas. Masquerading reflete deepfakes e suplantação visual. Essa taxonomia, aplicada ao fraude bancário, permite compartilhar linguagem entre equipes antifraude, SOC, IAM, risco e compliance.

Limitações do material

O material não traz indicadores técnicos exploráveis de infraestrutura criminosa, como IPs, hashes, domínios ou amostras de malware. Também não reúne um único caso investigado do início ao fim, com cadeia completa confirmada desde o acesso inicial até a monetização. O que está disponível é uma combinação robusta de relatórios técnicos, regulatórios, judiciais e jornalísticos que permite reconstruir padrões, mas não atribuir com certeza uma campanha unificada.

Vários números aparecem atribuídos pelas próprias fontes e não por documentos primários acessíveis no corpus. Esse é o caso de alguns percentuais reportados por veículos sobre crescimento de deepfakes, account takeover ou abertura de contas digitais. Neste relatório, essa incerteza foi preservada quando necessário.

A cobertura geográfica é desigual. O Brasil concentra a maior parte do material verificável e, por isso, estrutura a análise principal. Colômbia e México oferecem fatos suficientes para uma leitura comparada. Argentina, Chile, Paraguai, Bolívia, Peru, Estados Unidos e Uruguai não trouxeram fatos verificáveis adicionais dentro do research consolidado, então não aparecem como subseções separadas.