Em janeiro de 2024, um funcionário do setor financeiro da Arup, uma empresa multinacional de engenharia, participou de uma videochamada com vários colegas, incluindo o CFO da empresa. A chamada parecia normal. Os rostos eram familiares. A conversa fazia sentido. Ao final, ele autorizou transferências de US$ 25,6 milhões em 15 transações.
Todas as pessoas naquela chamada eram sintéticas. Os rostos foram gerados a partir de filmagens disponíveis publicamente. As vozes foram clonadas de gravações que qualquer pessoa poderia encontrar online. Os atacantes não precisaram de um único link malicioso ou de um domínio de e-mail falsificado. Eles precisaram de filmagens, tempo e da suposição razoável de que ninguém do outro lado tinha visto algo assim antes.
Essa foi a suposição de US$ 25 milhões.
A exploração não foi técnica. Foi a falta de familiaridade.
O que fez o ataque à Arup funcionar não foram ferramentas sofisticadas. A tecnologia subjacente era, e ainda é, amplamente acessível. O que o tornou eficaz foi o fato de o alvo não ter nenhuma referência sobre como seria um conteúdo sintético convincente em tempo real.
Essa é a verdadeira vulnerabilidade. Não é uma falha na segurança de perímetro. Não é uma atualização ausente. É uma lacuna de experiência.
E isso não é exclusivo da Arup. Em maio de 2024, o CEO da WPP, Mark Read, foi alvo de uma falsificação em uma chamada do Microsoft Teams que combinou um clone de voz por IA com filmagens dele no YouTube. O alvo foi um líder de agência que recebeu a solicitação de criar um novo negócio e transferir dinheiro e dados pessoais. O golpe falhou, mas Read enviou um aviso para toda a empresa logo depois: "Todos nós precisamos estar atentos a técnicas que vão além de e-mails para tirar proveito de reuniões virtuais, IA e deepfakes." Uma onda de fraudes de voz geradas por IA, chamadas falsas de CFOs autorizando transferências bancárias e falsificação de fornecedores por telefone tem sido documentada em diversos setores, desde serviços financeiros até saúde.
O padrão é consistente: o alvo era inteligente, a organização possuía bons recursos e o ataque funcionou (ou quase funcionou) mesmo assim. Porque os funcionários nunca tinham passado por isso antes.
A maioria das organizações está tentando resolver isso apenas com explicações.
A resposta comum ao risco de fraude por deepfake tem sido a educação: e-mails de conscientização, um slide em treinamentos anuais, um link para uma notícia. E esses não são impulsos ruins; de fato, a conscientização é importante.
Mas descrever a aparência de um deepfake não é o mesmo que mostrar um a alguém. Você pode explicar com detalhes precisos a sensação de escorregar no gelo, mas isso ainda não preparará ninguém para a sensação real na primeira vez que acontecer. O reconhecimento de padrões — aquilo que protege as pessoas sob pressão — só se desenvolve através da exposição prévia.
O funcionário da Arup não estava desinformado. Ele provavelmente sabia que deepfakes existiam. Ele apenas nunca tinha visto um com aquela aparência e não estava esperando por isso.
A lacuna no treinamento não é de conhecimento. É de experiência.
Para a maioria das equipes de segurança, construir essa experiência não era algo realmente possível.
Esta é a parte que não tem sido discutida o suficiente. As equipes de segurança que queriam realizar uma simulação de deepfake após todos esses incidentes descobriram que o caminho prático para fazer isso era quase impossível.
Fornecedores que alegavam ter capacidade de simulação de deepfake encaminhavam as solicitações para equipes de produção manual. Você abria um chamado, fornecia uma foto e algum contexto, e esperava. Três semanas. Às vezes seis. O material final chegava, estático e imutável. Não podia ser localizado para um escritório diferente. Não podia ser atualizado quando o cenário evoluía. Quando ficava pronto, a urgência que motivou o pedido geralmente já tinha passado.
O resultado: a maioria das organizações nunca realizou uma simulação de deepfake. Não porque não queiram. Mas porque a infraestrutura para fazê-lo simplesmente não estava disponível para elas.
É isso que o Frame Deepfake Studio muda.
O Deepfake Studio da Frame é uma ferramenta totalmente self-service para criar deepfakes gerados por IA — vídeo e áudio — sem equipe de produção, sem chamado de fornecedor e sem espera.
Envie uma foto e um pequeno clipe de voz: uma gravação de conferência, um trecho de uma reunião geral, qualquer coisa com alguns segundos de áudio. O Frame gera um deepfake de cena completa: expressões faciais realistas, movimento natural, um fundo que você define com um comando de texto (escritório, saguão de aeroporto, sala de conferências, onde quer que o cenário exija). A geração leva minutos. O resultado é multilíngue. Um personagem pode falar em qualquer idioma que o Frame suporte (atualmente mais de 70 e aumentando).
Tudo é gerado dentro da própria infraestrutura do Frame, usando Anthropic, OpenAI e AWS. Sem laboratórios de geração de vídeo de terceiros. Sem dados indo para processadores desconhecidos. A plataforma solicita consentimento antes que qualquer imagem seja criada.
O deepfake pode ser incorporado diretamente no Content Studio do Frame como uma isca de simulação, uma introdução de treinamento, uma mensagem executiva de conscientização de segurança ou qualquer outra coisa que seu programa precise. Você está no controle.
Prepare sua força de trabalho para os ataques de deepfake que os atingem hoje.
Uma empresa do seu setor sofre uma fraude bancária via deepfake em uma terça-feira. Na tarde de quarta-feira, sua equipe de segurança já pode estar executando uma simulação com seus próprios funcionários, estruturada com sua liderança real, com seus cenários reais e nos idiomas em que suas equipes trabalham.
Essa é a mudança. A vantagem do atacante sempre foi a novidade: a suposição de que seus colaboradores nunca se depararam com isso antes. O Deepfake Studio torna essa suposição muito menos confiável.
A exposição prévia é a única defesa confiável contra ataques de engenharia social baseados no desconhecido. Agora, criar essa exposição é algo que sua equipe pode fazer em uma tarde.
