Deepfakes: Tipos, Deteção e Defesa (PT-PT)

Um deepfake é um meio sintético ou manipulado criado com técnicas de machine learning para fazer uma pessoa parecer dizer, fazer ou apresentar algo que não ocorreu. Deepfakes podem alterar ou gerar imagens, vídeo e áudio; em ataques de identidade, podem personificar uma pessoa real, criar uma persona sintética, modificar provas de identidade ou alimentar meios forjados num fluxo de verificação remota.

A defesa contra deepfakes não é um único detetor. Decisões fiáveis combinam proveniência de meios, análise forense, captura fidedigna, deteção de ataque de apresentação, ligação de identidade, sinais de dispositivo e rede, contexto da transação e um processo de escalonamento para casos incertos.

Principais conclusões

• Deepfake é uma categoria de meios, não um único ataque. Trocas de rosto, encenação, sincronização labial, clonagem de voz, pessoas totalmente geradas e documentos alterados criam diferentes provas e riscos.
• Ataques de apresentação e injeção são diferentes. Um ataque de apresentação mostra um artefacto a um sensor real; um ataque de injeção insere meios forjados após ou em vez do sensor.
• A inspeção visual humana não é um controlo suficiente. A compressão e os novos geradores apagam artefactos familiares, enquanto os meios genuínos também podem parecer invulgares.
• As pontuações de deteção são condicionais. Os resultados dependem do gerador, ataque, caminho de captura, compressão, população, limiar e ambiente operacional usados nos testes.
• A verificação é mais forte do que a aparência por si só. Um pedido de alto risco deve estar vinculado a uma identidade, dispositivo, canal autenticado e processo de aprovação independente.

O que é um deepfake?

O termo combina “deep learning” e “fake”. Originalmente descrevia vídeos com troca de rosto, mas o uso comum agora inclui imagens, vídeos e discursos realistas gerados ou manipulados por IA. A questão definidora não é se cada pixel é gerado. É se a manipulação computacional cria provas enganosas de identidade, discurso, comportamento ou origem.

Os deepfakes pertencem à categoria mais ampla de meios sintéticos. Os meios sintéticos também têm usos legítimos em filmes, acessibilidade, educação, localização, privacidade e trabalho criativo. O risco de segurança aparece quando os meios são usados para fazer uma alegação falsa — especialmente uma alegação sobre quem está presente, quem autorizou uma ação ou de onde o meio veio.

Deepfake, cheapfake e identidade sintética

• Deepfake: meios gerados ou manipulados com métodos de machine learning para imitar ou fabricar uma pessoa, objeto ou evento.
• Cheapfake: meios enganosos produzidos com edição mais simples, rotulagem, mudanças de velocidade, recorte seletivo ou reutilização fora do seu contexto original.
• Identidade sintética: uma identidade montada a partir de atributos fabricados e reais. Pode usar meios deepfake, mas o registo de identidade — não apenas os meios — é o ataque.
• Morfagem de rosto: um retrato combinado de duas ou mais pessoas, muitas vezes para fazer o resultado assemelhar-se a múltiplas identidades.
• Replay: meios genuínos ou manipulados reproduzidos para um sistema de captura. O conteúdo pode ser real enquanto a alegação de presença ao vivo é falsa.

Estas categorias podem sobrepor-se. Um fraudador pode combinar um documento roubado, um retrato morfológico, uma troca de rosto em tempo real, um proxy residencial e uma conta comprometida numa única tentativa.

Que tipos de deepfakes existem?

Tipo	O que muda	Risco de identidade típico	Camadas de controlo úteis
Troca de rosto	Um rosto é mapeado para outra pessoa	Personificação no registo, chamadas ou recuperação de conta	Captura fidedigna, vivacidade, comparação de rosto, verificações de injeção
Encenação facial	Expressão, pose ou olhar são conduzidos por outra fonte	Passar instruções ou imitar comportamento ao vivo	Pistas imprevisíveis, análise temporal, integridade do sensor
Sincronização labial	O movimento da boca é alterado para corresponder a um novo áudio	Declarações fabricadas ou personificação em chamadas	Consistência áudio-vídeo, proveniência, confirmação independente
Clonagem de voz	A fala é sintetizada na voz-alvo	Engenharia social para pagamento ou redefinição de credenciais	Chamada de retorno, autenticação forte, aprovação dupla, análise de áudio
Pessoa totalmente gerada	Imagem ou vídeo representa uma pessoa que não existe	Contas sintéticas, perfis falsos, recrutamento de mulas	Prova de identidade, verificações de base de dados, análise de dispositivo e rede
Manipulação de documento	Retrato, texto, layout ou funcionalidades de segurança são alterados	Provas de identidade falsas	Validação de documento, captura de documento ao vivo, NFC ou verificações do emissor
Morfagem de rosto	Múltiplos rostos são misturados num único retrato	Um documento pode parecer corresponder a mais de uma pessoa	Deteção de morfagem, referência de qualidade do emissor, revisão humana

Nenhuma linha tem um controlo único perfeito. Um detetor de rosto não pode estabelecer a autenticidade do documento. A proveniência do conteúdo não pode provar a identidade real do signatário. A vivacidade no sensor não deteta automaticamente meios injetados a jusante.

Como são criados os deepfakes?

Os deepfakes modernos podem ser produzidos com várias famílias de modelos. Os detalhes técnicos diferem, mas o fluxo de trabalho prático geralmente inclui recolha de fontes, aprendizagem de representação, geração, composição e pós-processamento.

1. O material de origem é recolhido

O atacante recolhe imagens, vídeos ou gravações de voz do alvo. Entrevistas públicas, perfis sociais, reuniões de vídeo, documentos vazados e capturas de verificação anteriores podem tornar-se material de origem. Para identidades totalmente geradas, o modelo cria um novo sujeito em vez de copiar uma pessoa.

2. O modelo aprende ou preserva características de identidade

Os sistemas de troca de rosto codificam a estrutura e a aparência facial, depois renderizam a identidade alvo sobre um intérprete de origem. Os sistemas de encenação transferem pose ou expressão. Os sistemas de voz aprendem as características do locutor e geram fala a partir de texto ou de outra voz.

3. O conteúdo sintético é gerado

Redes generativas adversariais, autoencoders, modelos de difusão e sistemas de renderização neural podem todos contribuir. A família do modelo por si só não diz aos defensores qual artefacto permanecerá; diferentes dados de treino e pós-processamento produzem diferentes vestígios.

4. O resultado é composto e corrigido

Mistura, correção de cor, realce, limpeza de áudio, interpolação de quadros e sincronização labial tornam a saída mais coerente. Um fraudador pode adicionar deliberadamente desfoque ou compressão para esconder vestígios do gerador.

5. Os meios são entregues

A entrega determina a superfície de ataque. Um ficheiro pode ser carregado, mostrado num ecrã, impresso, reproduzido durante uma videochamada, encaminhado através de uma câmara virtual ou injetado entre o componente de captura e o servidor.

Esse passo final é o motivo pelo qual uma definição puramente forense não é suficiente para sistemas de identidade. O mesmo rosto gerado cria uma ameaça diferente quando é publicado publicamente, mostrado a uma câmara ou injetado num SDK de verificação.

Como são usados os deepfakes em ataques de identidade?

Ataque de apresentação

O atacante apresenta uma foto, ecrã, máscara impressa, reprodução ou outro artefacto à câmara legítima ou sensor biométrico. A ISO/IEC 30107 chama ao controlo nesta fronteira de captura Deteção de Ataque de Apresentação (PAD). A deteção de vivacidade é um subconjunto de PAD.

Ataque de injeção

O atacante contorna ou interfere com a captura esperada e insere meios forjados no caminho de processamento. Exemplos incluem câmaras virtuais, emuladores, hooks, SDKs modificados, pedidos de rede manipulados ou substituição de ficheiros no lado do servidor.

NIST SP 800-63A-4 trata a prevenção de injeção e a deteção de meios forjados como requisitos distintos. Nota que a comparação biométrica por si só não impede meios injetados e recomenda controlos que aumentam a confiança no sensor de captura e no canal protegido.

Personificação e engenharia social

Um clone de voz ou vídeo pode fazer um pedido urgente parecer vir de um executivo, funcionário, cliente, fornecedor ou membro da família. O objetivo pode ser um pagamento, redefinição de credenciais, divulgação ou exceção de política. Aqui, a melhor defesa pode ser a adesão ao processo — como um caminho de chamada de retorno conhecido ou aprovação dupla — em vez de tentar julgar pixels em tempo real.

As orientações de resposta a deepfake do OWASP enfatizam processos de segurança duráveis, controlos financeiros, procedimentos de verificação, consciencialização e resposta a incidentes, em vez de um foco restrito na identificação de defeitos visuais.

Criação de contas sintéticas

Retratos gerados, atributos fabricados, provas alteradas, pontos de contacto descartáveis e ligações de rede ofuscadas podem ser combinados para criar contas que não correspondem a uma pessoa genuína. Os meios são apenas um sinal num grafo mais amplo de identidade e comportamento.

Recuperação e religação de contas

Se um fluxo de recuperação depender de uma selfie ou videochamada, meios sintéticos podem ser usados para assumir uma conta existente ou vincular um novo autenticador. A recuperação geralmente merece uma garantia mais forte do que o login de rotina, porque pode substituir os controlos que normalmente protegem a conta.

Como funciona a deteção de deepfakes?

A deteção de deepfake questiona se os meios foram gerados ou manipulados. A verificação de identidade questiona se uma pessoa é quem afirma ser. Essas questões sobrepõem-se, mas nenhuma contém totalmente a outra.

Proveniência e credenciais de conteúdo

A proveniência regista informações sobre como os meios foram criados e alterados. A especificação C2PA Content Credentials define uma estrutura à prova de adulteração que pode vincular asserções de origem e edição a um ativo.

A proveniência válida pode aumentar a confiança na história dos meios e no signatário. A proveniência em falta não é prova de manipulação, e a proveniência válida não garante que a alegação representada seja verdadeira. A proveniência é um sinal positivo, não um detetor universal.

Análise forense espacial

Os modelos de imagem podem inspecionar textura, limites de mistura, iluminação, reflexos, padrões de frequência, ruído, geometria e artefactos do gerador. Estas características podem funcionar bem em famílias de ataques conhecidas e degradar-se quando o modelo, câmara ou compressão mudam.

Análise temporal e audiovisual

A análise de vídeo pode examinar a consistência entre quadros, movimento, pose, fluxo óptico, marcos faciais, tempo de fala e alinhamento áudio-vídeo. A análise de voz pode inspecionar vestígios espectrais, prosódicos e de geração. O uso em tempo real adiciona latência rigorosa e restrições de qualidade.

Deteção de ataque de apresentação e vivacidade

O PAD procura uma tentativa de enganar o sensor de captura. A vivacidade passiva pode analisar uma captura sem pedir ao utilizador para realizar uma ação explícita. A vivacidade ativa pede uma resposta a uma instrução ou desafio.

O PAD é limitado à fronteira de captura. A ISO/IEC 30107-3 trata explicitamente os ataques fora do dispositivo de captura biométrica como fora do âmbito. Um fornecedor que reivindica cobertura de PAD deve explicar separadamente os controlos de injeção, câmara virtual, emulador e canal.

Integridade da captura e atestação de dispositivo

Os controlos de captura tentam estabelecer que os meios vieram do sensor, aplicação, estado do dispositivo e canal protegido esperados. Os sinais podem incluir integridade do SDK, atestação de dispositivo, deteção de emulador ou câmara virtual, eventos de captura assinados, medidas anti-adulteração e proteção contra reprodução no lado do servidor.

Nenhum sinal de dispositivo é infalível. O objetivo é tornar a entrega forjada mais difícil, detetável e dispendiosa, preservando um caminho de recuperação para utilizadores genuínos em dispositivos incomuns.

Ligação de identidade e prova

A comparação de rosto pode ligar uma captura ao vivo a um retrato fidedigno; a validação de documentos pode testar a própria prova; a validação de base de dados pode corroborar atributos. Estes controlos não classificam todos os meios sintéticos, mas reduzem o valor de um rosto convincente que carece de uma âncora de identidade defensável.

Risco contextual e comportamental

A reutilização de dispositivos, inconsistência de IP e localização, viagens impossíveis, tentativas repetidas, velocidade, histórico de conta, contexto da transação e grafos de relacionamento podem expor padrões que a análise de meios não deteta. Uma pontuação de deepfake deve contribuir para uma decisão de risco em vez de apagar as outras provas.

Revisão humana e verificação independente

Os revisores precisam de meios originais, saídas do detetor, códigos de motivo, detalhes de captura, histórico do cliente e um plano de ação definido. Para ações de alto impacto, um canal fidedigno independente — como uma chamada de retorno para um número conhecido ou aprovação num sistema autenticado — pode ser mais fiável do que um julgamento visual.

O que os detetores de deepfake podem errar?

Falso negativo

O detetor classifica meios manipulados como genuínos. Esta é a falha de segurança que permite a passagem de um ataque.

Falso positivo

O detetor classifica meios genuínos como manipulados. Isso pode bloquear um cliente real, desencadear uma revisão desnecessária ou afetar desproporcionalmente certos dispositivos e populações.

Desvio de domínio

O ambiente de produção difere do conjunto de testes: novos geradores, pipelines de câmara, codecs, iluminação, idiomas, demografia ou comportamento de ataque. O programa de avaliação de deepfake GenAI do NIST foca-se em testes adversariais e operacionalmente relevantes precisamente porque o desempenho de benchmark académico pode não se transferir diretamente para a implementação.

Incompatibilidade de limiar

Cada pontuação torna-se uma decisão apenas após a aplicação de um limiar. Um limiar ajustado para triagem forense pode estar errado para a abertura instantânea de contas. A segurança, o atrito do utilizador, a capacidade de revisão manual e a perda a jusante influenciam o ponto de operação.

Confusão de âmbito

Um detetor avaliado em imagens de rosto carregadas pode não dizer nada sobre clones de áudio, câmaras virtuais em tempo real, morfagens de documentos ou reprodução. As etiquetas de produto devem ser substituídas por uma matriz de cobertura ataque por ataque.

Como as equipas devem avaliar as defesas contra deepfake?

Defina primeiro o modelo de ameaça

Liste a ação protegida, a capacidade do atacante, o tipo de meio, o caminho de entrega, os dispositivos esperados, as âncoras de identidade disponíveis e a consequência do erro. “Detetar deepfakes” não é um requisito testável.

Exija uma matriz de cobertura de ataques

Pergunte se os testes incluem trocas de rosto, encenação, sincronização labial, rostos totalmente gerados, clones de voz, morfagens, reproduções impressas e em ecrã, câmaras virtuais, emuladores, adulteração de SDK e injeção de API. Registe qual controlo é responsável por cada ataque.

Inspecione os dados de teste

Procure geradores não vistos, múltiplas ferramentas de ataque, utilizadores genuínos, cobertura demográfica, diferentes câmaras, compressão, degradação da rede e captura semelhante à produção. Separe os conjuntos de desenvolvimento, validação e teste. Pergunte com que frequência a avaliação é atualizada.

Revise ambas as taxas de erro

Obtenha o comportamento de falso positivo e falso negativo no limiar de operação, não apenas um título de precisão. Peça intervalos de confiança, contagens de amostras, resultados por ataque, análise de subgrupos e taxas de não resposta.

Teste toda a jornada

Avalie o SDK de captura, transporte, backend, motor de decisão, webhooks, comportamento de repetição, revisão manual e estado da conta. Um classificador de meios forte ainda pode estar por trás de um pedido reproduzível ou de um fluxo de recuperação inseguro.

Execute uma implementação sombra

Antes de bloquear clientes, pontue o tráfego semelhante à produção em modo sombra. Compare os resultados do detetor com os achados do revisor, fraude confirmada, repetições do utilizador, casos de suporte e perdas a jusante. Em seguida, defina ações graduadas, como permitir, intensificar, rever, limitar a taxa ou recusar.

Planeie para o desvio

Defina a propriedade para a ingestão de novos ataques, exercícios de red-team, atualizações de modelos, revisão de limiares, resposta a incidentes e reversão. Um teste de fornecedor único não pode cobrir um ecossistema de geradores em mudança.

Erros comuns na defesa contra deepfake

Treinar utilizadores para procurar falhas visuais

Piscadelas, mãos, dentes, sincronização labial e artefactos de borda podem ser pistas, mas não são necessários nem suficientes. Vídeos normais podem parecer estranhos após a compressão, e novos geradores podem remover os sinais de ontem.

Comprar uma única “pontuação de deepfake”

Uma pontuação raramente cobre todos os meios e caminhos de entrega. Exija provas sobre o âmbito do modelo, cobertura de ataques, condições de teste, limiares e compromissos de erro.

Assumir que a vivacidade impede a injeção

A vivacidade pode ajudar na fronteira do sensor. Os ataques de injeção visam o caminho em torno ou após essa fronteira, exigindo também controlos de integridade de captura e de canal.

Tratar a proveniência em falta como prova de fraude

Muitos ativos genuínos não possuem credenciais de conteúdo. A ausência significa que o sinal de proveniência não está disponível, não que os meios sejam falsos.

Recusar automaticamente todos os resultados incertos

Casos ambíguos precisam de intensificação ou revisão baseada no risco. A incerteza de um detetor não deve tornar-se uma negação permanente inexplicável.

Ignorar controlos não relacionados com meios

Aprovações de pagamento, recuperação de conta, alterações de credenciais e divulgação de dados devem ter controlos que sobrevivam a uma imitação perfeita. Autenticação forte, separação de funções, chamadas de retorno fidedignas, limites e atrasos podem reduzir o impacto mesmo quando a deteção falha.

Um modelo de defesa em camadas

Camada	Questão	Resultado de exemplo
Proveniência	Existe um histórico válido e fidedigno para este ativo?	Credencial verificada, credencial em falta, ligação inválida
Perícia de meios	Os meios mostram evidência de manipulação ou geração?	Pontuação de risco com evidência da família de ataque
Integridade da captura	Os meios vieram do sensor e aplicação esperados?	Captura atestada, câmara virtual, reprodução, desconhecido
PAD e vivacidade	Uma pessoa de boa-fé está presente no sensor?	Boa-fé, ataque de apresentação, tentar novamente
Ligação de identidade	A pessoa corresponde a provas de identidade fidedignas?	Correspondência, não correspondência, qualidade insuficiente
Contexto	O dispositivo, rede, conta e comportamento concordam?	Normal, inconsistente, alta velocidade, abuso ligado
Processo	A ação solicitada está independentemente autorizada?	Permitir, intensificar, aprovação dupla, reter

As camadas devem produzir provas explicáveis e ações limitadas. Um resultado de alto risco pode desencadear uma captura mais forte, um fator diferente, revisão manual ou uma confirmação independente em vez de um resultado imediato e irreversível.

Onde a Didit se encaixa

A Didit oferece Vivacidade Passiva a 0,10 $ e Vivacidade Ativa a 0,15 $, e as suas certificações incluem iBeta Nível 1 PAD. Estes controlos de apresentação podem ser combinados com Verificação de ID, Deteção de Vivacidade, Comparação Facial e Análise de Dispositivo e IP num fluxo de trabalho baseado no risco.

Cada controlo tem um limite. As equipas devem mapear o resultado do PAD para ataques de apresentação, avaliar as proteções de captura e injeção separadamente, e reter a sua própria lógica de decisão e revisão. As taxas de módulo publicadas estão disponíveis na página de preços.

Perguntas frequentes

Todas as imagens geradas por IA são deepfakes?

Não necessariamente. “Deepfake” geralmente implica meios sintéticos ou manipulados que fabricam identidade, fala, comportamento ou um evento. Uma ilustração gerada claramente rotulada é um meio sintético sem ser necessariamente enganosa.

As pessoas conseguem detetar deepfakes de forma fiável a olho nu?

Não. Pistas visuais podem apoiar a triagem, mas a fiabilidade muda com o gerador, qualidade dos meios, compressão e visualizador. Decisões de alto impacto precisam de verificação técnica e processual.

Qual é a diferença entre um ataque de apresentação e um ataque de injeção?

Um ataque de apresentação coloca um artefacto em frente ao sensor esperado. Um ataque de injeção insere meios forjados no caminho de processamento, contornando ou interferindo com a captura esperada.

A deteção de vivacidade impede todos os deepfakes?

Não. A vivacidade é um controlo focado na captura. A sua cobertura depende do método e dos testes, e não abrange automaticamente áudio, documentos, proveniência de conteúdo ou injeção a jusante.

As credenciais de conteúdo são prova de que os meios são verdadeiros?

Podem fornecer proveniência à prova de adulteração sobre a origem e edições quando o signatário e a ligação são fidedignos. Não fazem um juízo de valor sobre se a alegação representada é verdadeira.

Que métricas importam para um detetor de deepfake?

Comportamento de falso negativo e falso positivo no limiar de implementação, detalhado por tipo de ataque, gerador, condição de captura, dispositivo e população relevante. As equipas também devem medir as taxas de não resposta, latência, carga de revisão e fraude a jusante.

O que deve acontecer quando um detetor está incerto?

Use uma resposta graduada: solicite uma nova captura fidedigna, exija outro autenticador, verifique através de um canal independente, coloque a ação em espera ou encaminhe o caso para revisão por pessoal treinado.

Referências primárias

• NIST SP 800-63A-4: Prova e Registo de Identidade
• NIST GenAI: Programa de avaliação de Deepfakes 2026
• ISO/IEC 30107-3:2023 Teste e Relatório de PAD
• Explicador de Credenciais de Conteúdo C2PA
• Guia OWASP para preparar e responder a eventos de deepfake
• Ataques e contramedidas de prova de identidade remota da ENISA

A resiliência a deepfake resulta de fazer várias perguntas mais específicas em vez de confiar numa pontuação abrangente. Verifique o histórico dos meios, o caminho de captura, a pessoa viva, as provas de identidade, o contexto circundante e o processo de autorização — depois decida de acordo com o risco.