Guia Segurança

Um vídeo do administrador da empresa pede transferências urgentes. Uma chamada do diretor financeiro autoriza um pagamento de última hora. A voz é igualzinha. O rosto também. Mas nada daquilo é real. Bem-vindo à era do deepfake em Portugal, onde a inteligência artificial gera vídeos e áudios falsos tão convincentes que enganaram já departamentos financeiros em todo o mundo — incluindo casos com prejuízos superiores a 20 milhões de euros num único pagamento.

O que é um deepfake?

Um deepfake é um conteúdo multimédia — vídeo, imagem ou áudio — gerado ou manipulado por inteligência artificial para fazer parecer que alguém disse ou fez algo que nunca aconteceu. Em 2026, há aplicações de telemóvel que produzem deepfakes razoáveis em minutos, e ferramentas que clonam uma voz a partir de apenas três segundos de gravação.

Os deepfakes que afetam empresas dividem-se em três categorias: deepfake de vídeo (face swap em videochamadas), deepfake de áudio (clonagem de voz para chamadas fraudulentas), e deepfake de imagem estática (falsificação de documentos e perfis).

Como funciona uma fraude por deepfake?

1. Reconhecimento — recolha de informação pública no LinkedIn e site institucional.
2. Recolha de material — segundos de entrevista no YouTube são suficientes para clonar a voz.
3. Contacto inicial — email a anunciar uma “operação confidencial” com videochamada urgente.
4. Ataque em tempo real — videochamada com deepfake do rosto do administrador a pedir transferência.
5. Pressão psicológica — “não fales com ninguém”, “se não enviarmos hoje perdemos o negócio”.

Como reconhecer um vídeo deepfake?

• Olhos e pestanejar — irregular ou raro, reflexos nas íris não coincidentes com a iluminação.
• Sincronização lábios/voz — desfasamentos subtis entre articulação visível e som.
• Bordas do rosto — pixelização ou contornos esbatidos quando a pessoa vira a cabeça.
• Dentes e orelhas — áreas onde a IA falha frequentemente.
• Falhas no movimento — artefactos visuais quando a pessoa se vira de perfil.

Como detectar uma voz clonada?

• Cadência estranha — frases sem hesitações ou interjeições humanas naturais.
• Voz “demasiado limpa” sem ruído de fundo coerente.
• Respostas genéricas a perguntas inesperadas e específicas.
• Resistência a interrupções — peça para parar a meio de uma frase.

Ferramentas de Detecção

Deepware Scanner, DeepFake-o-Meter, TrueMedia.org e Microsoft Video Authenticator analisam vídeos e indicam probabilidade de manipulação por IA. A ENISA recomenda combiná-las com formação interna e processos de verificação humana.

Como Proteger a Sua Empresa

1. Dupla aprovação para movimentos financeiros — nenhuma transferência acima de um valor definido é executada com base numa única instrução. Valide sempre por um segundo canal.
2. Palavras-chave internas — combine uma frase de validação que nunca circula por escrito. Um atacante com deepfake não a sabe.
3. Autenticação em dois passos em tudo — veja o guia sobre autenticação em dois passos (2FA).
4. Formação trimestral — partilhe exemplos reais e simule cenários com a equipa.
5. Reduza a exposição pública — menos vídeos dos administradores online = mais difícil treinar um modelo.
6. Reporte incidentes ao CNCS e à PJ.

O Que Fazer Se Já Foi Enganado

1. Contacte o banco imediatamente para bloquear a transferência. 2. Mude todas as passwords. 3. Apresente queixa à PJ. 4. Notifique a CNPD se houver dados pessoais comprometidos (prazo 72h RGPD). Veja o nosso guia sobre o que fazer se foi hackeado.

Deepfakes e Engenharia Social

O deepfake amplifica técnicas clássicas de manipulação. A defesa exige conhecer também os mecanismos psicológicos — leia o artigo sobre engenharia social e como a inteligência artificial pode proteger a sua empresa.

Conclusão

Em 2026, ver e ouvir já não são garantia de identidade. A proteção exige processos novos — dupla validação, palavras-chave internas, formação contínua. A maioria das fraudes com deepfake é evitável apenas com bons procedimentos.