Em resumo
- Os deepfakes são áudio, vídeo ou imagens gerados por IA que imitam uma pessoa real. O custo caiu de "estúdio de Hollywood" para "app grátis no telemóvel" em dois anos. O teu ouvido e o teu olho já não bastam — a defesa é um pequeno hábito, não uma melhor deteção.
- O deepfake mais nocivo hoje é um clone de voz de 20 segundos de um familiar ou do teu chefe, usado ao telefone para pedir dinheiro ou um código. "Mãe, tive um acidente com o carro, preciso de dinheiro já."
- Dois hábitos derrotam quase todos os deepfakes de nível consumidor: uma palavra-código familiar para verificar qualquer pedido urgente por voz ou vídeo, e uma chamada de retorno calma através do número de telefone que já tinhas — nunca um número que aparece no ecrã.
- Filhos de figuras públicas, vítimas de violações de dados passadas, e pessoas com muito áudio ou vídeo público — podcasters, executivos, influenciadores, figuras públicas — estão em maior risco. E as suas famílias também.
- O abuso baseado em imagem — deepfakes íntimos não consentidos — é uma categoria à parte que precisa da sua própria resposta. Serviços globais (StopNCII.org, Take It Down) conseguem remover estas imagens sem que tenhas de carregar a imagem em lado nenhum.
- "Comigo não pega" é o que toda a pessoa enganada acreditava.
O que é?
Um deepfake é qualquer conteúdo sintético — áudio, imagem ou vídeo — que imita uma pessoa real de forma suficientemente convincente para ser usado como se fosse verdadeiro. Três categorias atuais:
- Clones de voz. Construídos a partir de apenas 5–10 segundos da voz de alguém — um excerto de podcast, um TikTok, uma mensagem de voz, uma entrevista no YouTube, uma gravação de Zoom. O clone pode ler qualquer texto novo na voz da pessoa, com entoação.
- Vídeo de troca de rosto e sincronização labial. Um curto vídeo de referência do rosto do alvo mapeado sobre o corpo de outra pessoa, ou um vídeo existente do alvo re-dobrado com novo áudio. A qualidade varia, mas fica mais barata a cada mês.
- Imagens fixas geradas por IA. Uma foto de uma pessoa real colocada num cenário onde nunca esteve — às vezes íntimo, às vezes politicamente comprometedor, às vezes para burla romântica ou de identidade.
Estes são usados sobretudo de cinco maneiras:
- Chamadas de voz de "emergência familiar" — a burla do avô, evoluída.
- Pedidos falsos do CEO ou do diretor financeiro aos funcionários — o comprometimento de e-mail empresarial, evoluído.
- Burla romântica com "prova" em vídeo — o burlão aparece numa breve chamada para provar que é real.
- Desinformação política — clips de áudio ou vídeo coordenados lançados antes de eleições.
- Abuso baseado em imagem — deepfakes íntimos que atingem desproporcionadamente mulheres e menores.
A tecnologia subjacente já não é exótica. As ferramentas estão disponíveis publicamente, são na maioria legais de usar, e melhoram rapidamente. Tratar isto como algo que acontece "aos outros" é o mesmo erro que as pessoas cometeram sobre o phishing em 2015.
Como reconhecê-lo?
O velho conselho — "procura desfoque na linha do maxilar, conta os dedos" — está agora praticamente obsoleto. As gerações recentes de ferramentas de deepfake já não deixam essas pistas. Os sinais fiáveis passaram do artefacto para o contexto.
Numa chamada telefónica:
- A voz está certa mas a conversa é superficial. Quem liga não faz referência a memórias partilhadas, não consegue responder a "do que é que falámos no fim de semana passado", não se deixa levar para detalhes que só a pessoa real conheceria.
- A urgência é alta. Sempre urgência. "Não contes a ninguém — estou em apuros."
- O método de pagamento é invulgar. Cartões de oferta. Cripto. Transferência para uma conta desconhecida. Familiares reais que pedem dinheiro emprestado não te pedem, normalmente, para enviares cartões de oferta da Apple.
- Quem liga quer levar a conversa para fora do canal original — "liga-me de volta para este número de WhatsApp, o meu telefone avariou."
Numa videochamada:
- O rosto move-se ligeiramente menos do que os rostos reais — as microexpressões parecem subtilmente estranhas.
- Os olhos não seguem naturalmente quando pedes à pessoa para olhar à volta da sala.
- A luz sobre o rosto não corresponde bem à luz do fundo.
- Um teste simples: pede-lhe para se virar de lado e mover devagar uma mão à frente do rosto. Os deepfakes em tempo real de hoje ainda falham nisto — a mão desaparece, o rosto falha, a sincronização labial escorrega.
Numa imagem fixa:
- Faz uma pesquisa reversa da imagem. Os rostos gerados por IA normalmente não têm outras aparições online; as pessoas reais têm.
- As mãos e as orelhas continuam a ser as áreas mais propensas a erro nas imagens fixas.
- O fundo é demasiado limpo ou estranhamente inconsistente — uma janela sem vista, uma parede sem sombra, um logótipo que é quase um logótipo real.
O mais fiável: ignora os artefactos. Verifica por outro canal. Sempre.
O que fazer?
Se uma voz ou vídeo suspeito acabou de te contactar:
- Para a conversa. Com educação ou sem ela. "Deixa-me ligar-te de volta." Desliga. Fecha o chat.
- Verifica por um canal conhecido. Liga à pessoa para o número que tens dela há anos. Se não atender, liga a um familiar que saberia onde ela está. Não ligues de volta para o número que te acabou de contactar.
- Usa a palavra-código familiar. Explicada mais abaixo. Se ainda não tens uma, este é o momento de inventá-la.
- Se pediram dinheiro, não o envies — mesmo que estejas 90% certo de que era mesmo essa pessoa. O caso dos 10% pode ser catastrófico; a espera é recuperável.
- Se mostraram urgência em manter segredo — "não digas à tua mãe" — isso confirma-o. As emergências reais não são segredo.
Se descobrires o deepfake depois do facto (dinheiro enviado, mensagem acreditada, imagem partilhada):
- Liga ao teu banco imediatamente. As transferências internacionais às vezes podem ser revertidas dentro de 24 horas; depois disso, muito mais difícil.
- Guarda tudo. Capturas de ecrã, mensagens de voz, registos de chamadas, conversas de mensagens, confirmações de transações. O registo do caso conta mesmo que nunca recuperes o dinheiro, porque ajuda a próxima vítima.
- Reporta à polícia. À unidade de cibercrime do teu país, e à plataforma por onde o contacto chegou. Na UE, avisa também a tua autoridade nacional de proteção de dados se a tua imagem ou voz foi usada — isso é, por si só, uma violação de dados pessoais.
- Avisa o teu círculo. A mesma operação provavelmente vai visar a seguir a tua família e os teus contactos, usando a credibilidade que acabaste, sem querer, de lhes emprestar.
- Se estiveram envolvidas imagens íntimas, usa já um serviço de remoção — vê mais abaixo.
Cria agora uma palavra-código familiar, enquanto todos estão calmos.
- Uma palavra ou frase curta que só a tua casa conhece. Não uma data de nascimento, não o nome de um animal de estimação (esses estão nas redes sociais).
- "Pôr do sol de abóbora", "lagostim azul", "terça-feira Ivone". Qualquer coisa memorável mas impossível de pesquisar no Google.
- Quem quer que ligue com urgência tem de dizer a palavra. Sem exceções.
- Diz aos familiares mais velhos por escrito. Alguns não se lembrarão da regra sob pressão; um íman no frigorífico ajuda.
O que NÃO fazer
- Não confies no "eu reconheceria a voz dela" ou "são mesmo iguais a ele". Esse reconhecimento é exatamente aquilo que a tecnologia foi construída para explorar.
- Não discutas com o deepfake. Interagir só confirma os teus dados e fornece mais voz para treino.
- Não publiques vídeos de crianças com o nome completo e a escola. A voz e o rosto — os dois ingredientes para um clone — são recolhidos de publicações públicas.
- Não pagues uma taxa de extorsão por um "nu deepfake" de ti ou do teu filho. Pagar confirma um alvo que paga; a exigência volta. Guarda provas, reporta, e usa serviços de remoção.
- Não tentes ser mais esperto do que quem liga com perguntas-armadilha. As operações sofisticadas têm guiões com respostas preparadas. As palavras-código funcionam melhor do que os enigmas.
- Não confies na autenticação biométrica — rosto ou voz — para nada importante, a menos que emparelhada com um segundo fator. Um clone de voz consegue derrotar a autenticação por voz em alguns bancos; alguns sistemas de reconhecimento facial são enganados por um vídeo de alta qualidade.
- Não te culpes. Pessoas inteligentes são enganadas por isto todos os dias. A tecnologia foi projetada para explorar a confiança normal.
Usar a IA para te ajudar
Dois prompts para copiar e adaptar. Cola a situação entre parênteses. Não coles palavras-passe nem códigos de dois fatores.
Analisar um clip suspeito:
"Recebi este clip de áudio (ou vídeo / imagem) e não tenho a certeza se é genuíno ou um deepfake. Abaixo está o contexto — quem o enviou, o que está a alegar, e o que me foi pedido. Por favor, analisa: (a) que sinais de alerta vês na situação (não no artefacto — assume que o próprio conteúdo é convincente), (b) que verificação eu poderia fazer nos próximos dez minutos para confirmar ou refutar, (c) o que especificamente NÃO devo fazer até ter verificado, e (d) numa escala de 1 a 10, qual a probabilidade de isto ser um ataque de deepfake, com o teu raciocínio.
Contexto: [colar aqui]"
Planear uma rotina de verificação familiar:
"Quero proteger a minha família — incluindo [listar idades e à-vontade com tecnologia, ex.: filhos adolescentes, os meus pais idosos] — de ataques de clone de voz e deepfake de vídeo. Por favor, dá-me (a) uma rotina de verificação familiar de uma página, incluindo um sistema de palavra-código que até uma pessoa de 80 anos consiga seguir sob stress, (b) os cenários específicos que devo treinar com cada familiar hoje à noite (a chamada 'mãe, tive um acidente com o carro', a chamada 'o CEO precisa de uma transferência de emergência' para o meu parceiro no trabalho, o e-mail 'tenho o teu nu e vou enviá-lo a toda a gente' para um adolescente), e (c) o que devo mudar nos nossos hábitos de publicação nas redes sociais para reduzir o risco futuro."
Um lembrete: a IA pode estar seguramente errada sobre leis específicas do teu país quanto a conteúdos sintéticos, sobre se deves envolver a polícia, e sobre que vias de denúncia funcionam. Usa-a para planear; verifica com o teu banco, a tua polícia local e a autoridade de proteção de dados do teu país para os passos formais.
A quem ligar?
A ordem: a plataforma onde o deepfake apareceu, o teu banco se houve dinheiro em movimento, serviços de remoção se estiverem envolvidas imagens íntimas, a polícia para uso criminoso.
Encontrar os contactos mais recentes para o teu país com IA:
"Estou em/no [teu país]. Lista os canais oficiais que devo contactar sobre um incidente de deepfake — o organismo nacional de denúncia de cibercrime, a autoridade de proteção de dados (para uso não autorizado de imagem ou voz), a linha de fraude financeira se houve dinheiro em movimento, e qualquer serviço governamental ou ONG que trate especificamente do abuso de conteúdos sintéticos (sobretudo o abuso de imagens íntimas). Para cada um, dá o site oficial e o telefone público, e diz-me qual contactar primeiro consoante (a) tenha havido dinheiro em movimento, (b) a minha imagem tenha sido usada para defraudar outros, (c) imagens íntimas minhas ou do meu filho tenham sido criadas ou partilhadas, ou (d) o deepfake seja político ou relacionado com eleições. Cita a página oficial da fonte para cada. Sinaliza tudo o que possa estar desatualizado."
Uma breve lista curada (para o mais recente, prefere o prompt IA acima):
- Abuso baseado em imagem — serviços globais de remoção (NÃO carregues a imagem):
- StopNCII.org — gera um hash no teu dispositivo; as plataformas participantes (Meta, TikTok, Reddit, OnlyFans, Pornhub, Bumble, X, e mais) bloqueiam os carregamentos correspondentes sem nunca receberem a própria imagem.
- Take It Down (operado pelo NCMEC, EUA) — mesma abordagem, especificamente para menores de 18 anos; também aceita adultos preocupados com imagens antigas.
- Portugal — CNCS / Linha Internet Segura (1407); APAV (apav.pt); SNS 24 (808 24 24 24) para apoio em situação de crise.
- Brasil — SaferNet (safernet.org.br); CVV 188 (prevenção do suicídio); Ligue 180 (mulheres); Disque 100.
Quando escalar para além do chat
- Já foi enviado dinheiro e a conversa continua — liga para a linha de fraude do banco no próximo minuto, não na próxima hora. As janelas de reversão internacional são curtas.
- Foi criado ou ameaçado um deepfake íntimo de ti ou de uma criança — usa o StopNCII ou o Take It Down hoje; denúncia à polícia em paralelo. Não pagues extorsão.
- Um deepfake está a ser usado para defraudar pessoas na tua rede — o teu rosto ou a tua voz numa chamada falsa do CEO para os teus funcionários, por exemplo — alerta os RH, o TI ou um advogado imediatamente. Pode existir uma dimensão de responsabilidade empresarial.
- Um deepfake político de ti está a circular — verifica com a tua equipa de comunicação ou um advogado antes de responderes publicamente; desmentidos descoordenados podem amplificar o original.
- Um adolescente na tua família está a ser vítima de sextorsão com uma imagem de nu gerada por IA — isto é matéria criminal na maioria dos países mesmo que a imagem tenha sido gerada e não seja real. O Take It Down do NCMEC, mais a polícia, mais a escola se estiverem envolvidos colegas.
- Estás em sofrimento psicológico — a fraude, o abuso baseado em imagem e a perda de identidade podem, cada um, empurrar as pessoas para uma crise. Portugal: SNS 24 (808 24 24 24). Brasil: CVV 188.
Fontes e leitura adicional
- Stanford Internet Observatory — investigação pública contínua sobre conteúdos sintéticos
- Witness.org — organização global da sociedade civil sobre resposta a deepfakes e formação no terreno
- Cyber Civil Rights Initiative — investigação sobre abuso baseado em imagem e apoio a sobreviventes
- StopNCII.org / NCMEC Take It Down — infraestrutura pública de remoção
- EU AI Act — disposições sobre a divulgação de conteúdos sintéticos
- US Federal Trade Commission — regulamentação em curso sobre fraude com deepfakes