Em meio a um potencial quase infinito para o uso da ferramenta da vez, há questões práticas e éticas que precisam ser endereçadas com urgência

*Por Fabio Ferreira

Os crimes digitais envolvendo roubo ou falsificação de identidade estão em ascensão no universo corporativo. Eles ainda não são o maior foco de ataques porque a engenharia que esse tipo de golpe exige é bem mais complexa do que aquela necessária para explorar vulnerabilidades de outra natureza, mas nem por isso eles devem ocupar uma posição menor no ranking das muitas preocupações dos responsáveis pela segurança da informação.

Se você ainda não está convencido disso, talvez seja importante saber que sete entre dez organizações sofreram ao menos uma violação relacionada à identidade digital em 2025, segundo o relatório “State of Identity Security 2026”, realizado pela Sophos por meio de pesquisa independente com 5 mil líderes de TI e cibersegurança em 17 países. Sim, estamos falando de um tipo de golpe que tem crescido em escala global.

Consertar o estrago feito por esse tipo de ataque não sai barato. Ainda segundo o mesmo estudo, o custo médio de remediação de uma violação de identidade chegou a US$ 1,64 milhão, com mediana de US$ 750 mil. Três quartos (73%) das organizações afetadas estimaram custos acima de US$ 250 mil. Organizações com mais de 3 mil funcionários reportaram o maior custo médio: US$ 2,45 milhões. 

Poucos ataques, muitos prejuízos

A chegada de novos golpes não torna os antigos – como  senhas roubadas ou phishing – obsoletos. Mas em um ambiente em que qualquer identidade — de um CEO, um funcionário, um fornecedor ou até um agente de IA — pode ser copiada, manipulada ou explorada, a TI precisa fazer mais do que estar atenta. Ela precisa se capacitar e fazer investimentos para ter condições de enfrentar essa nova ameaça.

Esse golpe tem forte probabilidade de ocasionar fraudes de altos valores. Afinal, para ser aplicado, ele exige que o golpista levante um grande número de informações. Um criminoso não vai se dar a esse trabalho para furtar um montante irrisório. Se você duvida, basta lembrar o roubo das contas-reserva de bancos e fintechs por meio de transferências Pix fraudulentas.  O valor total roubado foi R$ 813.793.086,00, uma rapinagem possível porque a quadrilha teve acesso a uma credencial-chave, obtida a partir do suborno de um operador de computador com acesso a ela.

Esse ainda foi um caso que envolveu engenharia social e corrupção de um agente envolvido no sistema. Há um perigo latente, resultante da proliferação de mecanismos de reconhecimento facial e outras leituras biométricas. No já citado estudo das Sophos, constatou-se que a fraca gestão de identidades humanas foi o fator determinante para 60,2% dos ataques. Identidades não-humanas também serviram como porta de entrada para boa parte dos crimes, especialmente desvios de pagamento. 

Ou seja: as vulnerabilidades dos sistemas de identificação estão sendo cada vez mais exploradas. Isso faz com que os criminosos consigam assinar termos digitais com os dados biométricos de suas vítimas, que terão severas dificuldades em provar que não foram elas que autorizaram aquelas transações.

Cenário turvo

Faça um exercício rápido de memória e lembre de quantas operações você realizou nessa semana que exigiram que você fornecesse seus dados biométricos. É até capaz que sua resposta seja “foram tantas que nem me lembro bem quais”. Cada vez mais, digitalizamos nossa identidade no mundo virtual, mas a transparência sobre como essas informações estão sendo armazenadas, cuidadas e geridas ainda é difusa. 

Os agentes que fazem a coleta e manutenção desses dados são terceirizados, e a postura da maior parte das empresas contratantes é delegar a eles toda a responsabilidade sobre essa tarefa. Porém, essas empresas não exercem sobre esses parceiros o mesmo nível de governança que aplicam nos processos internos, ainda que sejam elas as usuárias dessas informações. Para garantir uma segurança mais robusta, seria preciso ter mais gestão sobre esses agentes. 

A regra é clara: quanto maior a exposição de uma informação, maior o risco de ela ser usada para fins nocivos. Dados biométricos não são usados somente no âmbito da empresa: são empregados em compras online, ações nas redes sociais, autenticações de diversos aplicativos e sites… Isso favorece muito que criminosos hábeis no uso da engenharia social e/ou do hacking obtenham esses dados. 

Além disso, ainda há pouca conversa franca e direta sobre os muitos cuidados que deveríamos ter ao utilizar esses mecanismos de identificação. Será que eles estão sendo empregados da maneira correta? Ou, mais importante, eles são necessários em todos os casos em que são empregados?

A biometria se tornou cada vez mais disseminada sem que se discutisse o quão necessária ela era. Claro, ela traz comodidade para o usuário, mas o que mais ela entrega de valor? Essas são perguntas a serem feitas caso a caso, mas a verdade é que ninguém está parando para refletir sobre quais operações realmente demandam a coleta de dados sensíveis e quais poderiam prescindir dela.

Distopia consolidada

Diante de todo esse cenário, você pode se perguntar: será que chegaremos a um ponto onde esse golpe pode se tornar tão sofisticado que não será possível saber com quem estou lidando em uma troca digital? A minha resposta, sem medo de errar, é “com certeza”. Isso já acontece com pessoas menos familiarizadas com tecnologia. O “golpe do amor” nada mais é que um caso clássico de fraude a partir de roubo de identidade. 

Mas essa população não é a única que está vulnerável. O uso da identidade digital é tão corriqueiro atualmente que é fácil não se atentar aos elementos que podem caracterizar uma fraude ou um roubo de identidade, até mesmo para usuários com maior maturidade digital. Acreditar-se imune a esse tipo de ataque é um erro terrível para qualquer pessoa – física ou jurídica.