# Deepfake em verificação remota, a ameaça real e as defesas Guia · UNIFOKAL · 25 de agosto de 2026 · Atualizado em 1 de outubro de 2026 · 6 min de leitura · Antifraude O que um rosto sintético consegue contra a prova de vida, por onde ele entra no fluxo e por que defesa séria é em camadas. Com ISO/IEC 30107, as avaliações públicas do NIST e o alerta da Europol. Deepfake é mídia sintética: vídeo ou imagem em que um rosto é trocado, reencenado ou inteiramente gerado por modelos de aprendizado de máquina. A técnica saiu do laboratório para o noticiário e, no caminho, encontrou um alvo com dinheiro na ponta: os fluxos de verificação de identidade remota, em que uma selfie e uma prova de vida decidem se uma conta abre. A ameaça é real, mas costuma ser descrita de forma errada nos dois extremos. Nem o deepfake é um passe-livre que derrota qualquer sistema, nem existe fornecedor honesto prometendo bloquear todo deepfake para sempre. A Europol, agência europeia de cooperação policial, dedicou ao tema um relatório público em 2022, Facing reality? Law enforcement and the challenge of deepfakes, alertando para o uso de mídia sintética em fraudes, inclusive contra verificação de identidade remota. Entender o ataque por dentro é o primeiro passo para avaliar defesas sem comprar promessa impossível. ## Por onde o rosto falso entra: tela ou injeção Um deepfake precisa chegar até o software de análise, e há dois caminhos com naturezas muito diferentes. O primeiro é o ataque de apresentação: o vídeo sintético é exibido numa tela, e a tela é apresentada à câmera real do dispositivo. Esse é o território da norma ISO/IEC 30107-1, que define o quadro conceitual de ataques de apresentação em sistemas biométricos, e da detecção correspondente, o PAD, sigla de presentation attack detection. Contra apresentação, os sinais físicos ajudam a defesa: reflexo e moiré da tela, ausência de volume tridimensional, bordas do dispositivo. O segundo caminho é a injeção: o fraudador entrega o vídeo diretamente ao software por câmera virtual ou manipulação do fluxo de captura, sem que lente nenhuma participe. Nesse cenário os sinais físicos da tela desaparecem, porque não há tela, e a defesa muda de natureza: em vez de analisar só o conteúdo, é preciso analisar a procedência da captura. Esse ataque tem anatomia própria, destrinchada no artigo sobre [injeção de câmera](https://unifokal.com/blog/injecao-de-camera). ## O que a pesquisa mostra sobre detectar rosto sintético A detecção de manipulação facial é uma área ativa de pesquisa, e os resultados públicos ensinam humildade. O [FaceForensics++](https://arxiv.org/abs/1901.08971), conjunto de dados e estudo publicado por Rössler e coautores em 2019, mediu a conta com precisão: o melhor detector avaliado no trabalho acerta 99,26% em vídeo cru, 95,73% com compressão leve e 81,00% em vídeo de baixa qualidade. E o detector baseado em características de esteganálise, que supera o observador humano por larga margem no vídeo cru, cai abaixo do desempenho humano justamente na faixa de baixa qualidade. Vídeo que trafega por aplicação real chega comprimido, ou seja, a faixa em que a detecção é mais frágil é exatamente a que um produto encontra em produção. Do lado dos ataques de apresentação, o NIST, o instituto de padrões dos Estados Unidos, mantém [avaliações públicas de tecnologias de PAD dentro do programa FATE](https://pages.nist.gov/frvt/html/frvt_pad.html), com resultados que variam bastante conforme o tipo de instrumento de ataque. A leitura honesta dos dois corpos de evidência é a mesma: detecção funciona, melhora continuamente e nunca é definitiva, porque o gerador do outro lado também melhora. É uma corrida, não uma linha de chegada. ## Defesa que funciona é defesa em camadas Se nenhuma camada isolada resolve, a arquitetura certa combina camadas com falhas independentes: - Prova de vida ativa e passiva: a análise de vivacidade do rosto capturado, medida contra ataques de apresentação nos termos da ISO/IEC 30107. - Sinais de captura: indícios de câmera virtual, de automação e de manipulação do ambiente de execução, que atacam a injeção onde o conteúdo não denuncia nada. - Desafio imprevisível: instruções que o usuário executa na hora, elevando o custo de gerar o vídeo certo em tempo real. - Coerência entre evidências: o rosto da selfie contra o rosto do documento, os dados do documento contra a base cadastral, tudo tendo que fechar junto. - Busca um-para-muitos: o mesmo rosto tentando abrir contas repetidas é sinal forte mesmo quando cada tentativa isolada parece limpa, como descrito no artigo sobre [detecção de contas duplicadas](https://unifokal.com/blog/deteccao-de-contas-duplicadas). - Limites e monitoramento: contagem de tentativas, velocidade entre etapas e revisão do que insiste em falhar. O ponto da arquitetura não é nenhuma camada ser perfeita; é obrigar o ataque a vencer todas ao mesmo tempo. Um deepfake excelente exibido numa tela cai no sinal físico; um deepfake injetado cai na procedência da captura; um ataque que passa uma vez esbarra na repetição. Na UNIFOKAL o desenho segue essa lógica de camadas, e mantemos a regra de honestidade que recomendamos exigir de qualquer fornecedor: descrever o que cada camada mede, nunca prometer imunidade. Quando o rosto falso aparece numa videochamada, e não no cadastro, a defesa muda de lugar: o texto sobre [prova de humano na era do deepfake](https://unifokal.com/blog/prova-de-humano-na-era-do-deepfake) mostra por que a aprovação precisa sair do canal do golpe. ## Como avaliar promessas de fornecedor sem se enganar Três perguntas separam marketing de engenharia. Primeira: contra que classe de ataque a solução foi medida? Apresentação e injeção são problemas diferentes, e a ISO/IEC 30107-3 define como se mede a parte de apresentação, com taxas de erro específicas; peça os números e o contexto do teste. Segunda: o que acontece com o caso que a análise não decide? Sistema sério tem rota de revisão, não só aprova e reprova. Terceira: com que frequência os modelos são atualizados? Numa corrida, a cadência de atualização vale mais que o resultado de um teste antigo. E uma pergunta para o próprio leitor: qual é o custo de errar para cada lado no seu produto? Deepfake é um risco entre vários no funil de cadastro, e gastar contra ele mais do que contra os vazamentos maiores é erro de alocação. O artigo sobre [onde o funil de onboarding vaza](https://unifokal.com/blog/onboarding-digital-fraude) coloca essa ameaça no mapa completo, e setores obrigados por lei a usar biometria facial, como o de [apostas de quota fixa](https://unifokal.com/blog/verificacao-de-identidade-para-bets-lei-14790), têm motivo extra para fazer essa conta com cuidado. ## Fontes citadas - ISO/IEC 30107-1, quadro conceitual de ataques de apresentação em biometria, e ISO/IEC 30107-3, metodologia de teste e métricas de PAD - NIST, avaliações públicas de detecção de ataque de apresentação no programa FATE (Face Analysis Technology Evaluation): [pages.nist.gov](https://pages.nist.gov/frvt/html/frvt_pad.html) - Europol, Facing reality? Law enforcement and the challenge of deepfakes, relatório público de 2022 - Rössler et al., FaceForensics++: Learning to Detect Manipulated Facial Images, publicado na ICCV 2019: [arxiv.org/abs/1901.08971](https://arxiv.org/abs/1901.08971)