Um em 100: os deepfakes quebram a verificação de identidade

Em 14 de julho de 2026, a LexisNexis Risk Solutions publicou uma descoberta que deveria reconfigurar o debate da indústria sobre fraude com deepfakes: uma em cada 100 verificações de identidade com falha envolve agora um documento, imagem ou vídeo de detecção de vivacidade gerado por inteligência artificial.

Essa estatística é alarmante por si só. Torna-se catastrófica quando se acrescenta o denominador.

O Juniper Research estima que em 2026 serão realizadas 100,4 bilhões de verificações de identidade em todo o mundo, um aumento de 16 por cento em relação a 2025. Se a taxa geral de rejeição atingir apenas 2 por cento, o setor absorve aproximadamente 2 bilhões de verificações com falha por ano. Um por cento delas envolve deepfakes. Nessa escala, dezenas de milhões de tentativas de fraude assistidas por deepfake emergem anualmente apenas pela camada de detecção. E o volume cresce a uma taxa de 180 por cento ao ano.

Este já não é um problema de KYC. É um problema de infraestrutura.

O que "1 em 100" realmente significa nessa escala

Estatísticas geram melhores manchetes do que cálculos úteis para a diretoria. Vamos fazer as contas corretamente.

100,4 bilhões de verificações por ano equivalem a aproximadamente 275 milhões de controles por dia, ou 3.200 controles por segundo globalmente. A maioria é aprovada. Mas qualquer sistema que aplique controles antifraude genuínos rejeitará uma proporção de tentativas. O universo total de verificações com falha é enorme.

Se 1 por cento dos 100 bilhões de controles anuais falharem, isso representa 1 bilhão de verificações rejeitadas. Um por cento delas envolve deepfakes: 10 milhões de tentativas de fraude deepfake capturadas apenas pela camada de detecção, antes de contabilizar as que passam despercebidas.

O aumento de 180 por cento ao ano nos ataques deepfake registrado pela LexisNexis não reflete um crescimento linear em uma ameaça conhecida. Reflete a expansão comercial das ferramentas de fraude de identidade por IA, com kits de ataque disponíveis por apenas 60 dólares por mês, implantáveis contra múltiplas plataformas sem qualquer conhecimento técnico.

As três forças que tornam o problema estrutural

A indústria já enfrentou acelerações de fraude anteriormente. O que torna o problema deepfake de 2026 estruturalmente diferente das ondas anteriores é a convergência simultânea de três forças.

Acessibilidade. Até 2024, criar um deepfake convincente exigia habilidades técnicas significativas, capacidade computacional e tempo. A democratização das ferramentas de IA generativa mudou isso completamente. Um deepfake de documento convincente pode agora ser criado em minutos por um operador sem formação técnica. O Identity Fraud Index da Shufti projeta um crescimento de 3.892 por cento nos deepfakes documentais em 2026, um aumento 40 vezes superior ao de 2025, impulsionado inteiramente pela acessibilidade, não por nova tecnologia.

Distribuição. A estrutura de mercado da fraude de identidade assistida por IA passou de ataques personalizados por atores especializados para operações de fraude como serviço empacotadas. Como documentado em nossa análise das operações de bypass KYC como serviço, esses serviços são ativamente mantidos, pré-configurados para plataformas de verificação específicas e precificados para implantação em alto volume.

Diversificação de vetores. A superfície de ataque não se limita mais à detecção de vivacidade facial. Os ataques de injeção sobre a detecção de vivacidade representam agora o vetor dominante, contornando inteiramente a detecção em nível de sensor ao injetar vídeo sintético diretamente nos pipelines de aplicação. Os deepfakes documentais crescem mais rápido do que os deepfakes biométricos. E dados biométricos genuínos roubados permitem ataques de personificação que nenhum algoritmo de vivacidade pode detectar.

A convergência de ferramentas acessíveis, distribuição comercial e diversificação de vetores significa que abordar uma única camada do problema não resolve o sistema.

A previsão da Gartner chegou

Em fevereiro de 2024, a Gartner publicou uma previsão: até 2026, 30 por cento das empresas não considerariam mais as soluções de verificação e autenticação de identidade confiáveis de forma isolada, devido aos deepfakes gerados por IA.

Estamos em agosto de 2026. Os dados da LexisNexis confirmam que a previsão não é teórica — é operacional. Uma verificação com falha em 100 envolve um deepfake. Os deepfakes geram 1 em cada 5 tentativas de fraude biométrica globalmente. Mais da metade das organizações não consegue verificar plenamente se seus dados biométricos foram capturados ao vivo.

O que a Gartner apontava em 2024 não era que a verificação biométrica devia ser abandonada. Era que ela não podia ser o único sinal. Uma única verificação biométrica no onboarding, por mais sofisticada que seja, não consegue manter a garantia de identidade ao longo de um relacionamento cujo perfil de risco pode mudar e cujas credenciais podem ser comprometidas.

Esta é a lacuna arquitetural que o KYC perpétuo e o monitoramento contínuo abordam — a lacuna que a Gartner identificou dois anos antes de os dados chegarem para confirmá-la.

Por que "melhores biométricos" não é a resposta

O instinto quando a fraude acelera é melhorar o controle: melhor detecção de vivacidade, reconhecimento facial mais sofisticado, biometria comportamental adicionada.

Essas melhorias importam. A abordagem de verificação biométrica multicamada para a qual a Regula e a AU10TIX migraram em julho de 2026 é uma evolução necessária. Mas a biometria multicamada na porta de entrada do onboarding ainda representa uma verificação pontual no tempo. É um controle mais defensável, mas responde à mesma pergunta: "Quem é essa pessoa neste momento?"

A 100 bilhões de controles anuais e 180 por cento de crescimento anual nos ataques deepfake, o problema não reside apenas na qualidade do controle pontual. Reside no que acontece no intervalo entre esse controle e tudo o que vem depois.

Um cliente que passa por uma verificação biométrica de cinco camadas no onboarding em janeiro pode ter suas credenciais comprometidas em abril. Sua impressão digital de dispositivo muda. Sua velocidade de transações aumenta. Sua geolocalização de acesso varia. Nenhum desses sinais aciona uma re-verificação sob um modelo pontual. Sob um modelo de inteligência contínua, cada anomalia é um sinal, e a resposta é calibrada.

O Grupo Wolfsberg, cujas diretrizes de banco correspondente determinam como as principais instituições financeiras avaliam o risco de contraparte, começou a atualizar suas orientações para refletir as falhas na garantia de identidade como fonte de pressão sistêmica de desrrisco. A preocupação não é que instituições individuais estejam falhando em seus controles KYC — é que a taxa de falha agregada em todo o ecossistema de verificação cria um déficit de confiança que afeta as relações de banco correspondente no nível macro.

A arquitetura que escala

A revisão manual não consegue escalar para enfrentar a ameaça. Um revisor humano trabalhando com eficiência pode avaliar aproximadamente 40 casos de verificação de identidade por hora. Diante de apenas 100 milhões de tentativas deepfake por ano, lidar com a ameaça por revisão manual exigiria aproximadamente 68.000 revisores em tempo integral trabalhando o ano todo apenas em casos deepfake, sem contar outros vetores de fraude.

Este não é um problema de pessoal com solução em contratação. É um problema de arquitetura com solução em arquitetura.

Os agentes de IA da Joinble operam continuamente ao longo do ciclo de vida do cliente, avaliando sinais comportamentais que emergem após um onboarding limpo: mudanças na impressão digital de dispositivo, variações na velocidade de transações, anomalias geográficas, divergências no comportamento de sessão e correlação de sinais de risco entre sistemas. O agente não espera um ciclo de revisão periódica — ele monitora em tempo real e age em tempo real.

Na escala de 100 bilhões de controles anuais e 180 por cento de crescimento anual nos ataques deepfake, o modelo operacional que falha é o construído em torno de revisores humanos e re-verificações periódicas. O modelo que escala é aquele onde agentes autônomos gerenciam o monitoramento contínuo e os humanos gerenciam as exceções.

O que as equipes de conformidade devem fazer agora

Os dados da LexisNexis não alertam sobre um problema futuro. Medem um problema presente. Equipes de conformidade que ainda dependem de um único controle biométrico no onboarding, sem camada de monitoramento contínuo, já estão atrás da curva de ameaças.

As ações prioritárias:

Auditar a arquitetura de controles. Quantos sinais independentes o processo de verificação avalia no onboarding? Se a resposta é um (selfie contra documento) ou dois (selfie mais vivacidade), a superfície de ataque é muito estreita.

Implementar monitoramento comportamental contínuo. O onboarding é o início de um relacionamento, não o fim da avaliação de risco. A arquitetura de verificação deve incluir sinais comportamentais que persistam ao longo de todo o ciclo de vida do cliente.

Quantificar a exposição a deepfakes. Quantas falhas de verificação sua plataforma registrou nos últimos 12 meses? Qual porcentagem envolveu anomalias documentais, rejeição biométrica ou falha de vivacidade?

Avaliar as capacidades de detecção de ataques de injeção. Perguntar especificamente sobre detecção de ataques de injeção, não apenas sobre detecção de vivacidade. Os ataques de injeção de câmera contornam os algoritmos de vivacidade ao alimentar dados sintéticos no nível do pipeline.

O dado de 1 em 100 da LexisNexis é uma medição de referência obtida em meados de 2026. Com uma taxa de crescimento anual de 180 por cento, o dado em meados de 2027 será materialmente maior. A pergunta para as equipes de conformidade não é se o problema piorará — ele vai piorar. A pergunta é se a arquitetura de verificação atual foi projetada para esse volume.

---

Perguntas frequentes

O que o relatório da LexisNexis de julho de 2026 revelou? A LexisNexis Risk Solutions relatou que uma em cada 100 verificações de identidade com falha envolve agora um documento deepfake, imagem ou vídeo de vivacidade. A empresa também registrou um aumento de 180 por cento ao ano nos ataques deepfake. O relatório foi publicado em 14 de julho de 2026.

Por que "1 em 100" é um problema sistêmico e não uma taxa de fraude gerenciável? Porque o denominador é 100 bilhões. Nessa escala, mesmo uma pequena taxa de falhas envolvendo deepfakes se traduz em dezenas de milhões de tentativas de fraude anuais. O volume absoluto, não o percentual, é o que coloca a infraestrutura de verificação sob pressão e torna a revisão humana economicamente inviável.

Qual é a diferença entre a fraude por deepfake e a fraude documental tradicional? A fraude documental tradicional envolve materiais fisicamente alterados ou falsificados. Os ataques deepfake utilizam IA generativa para produzir imagens, vídeos ou documentos sintéticos que enganam os sistemas de verificação automatizados. Em 2026, a superfície de ataque se expandiu com os ataques de injeção, onde vídeo sintético é injetado diretamente nas APIs de verificação, contornando os sensores de câmera.

Por que a verificação biométrica isolada não é mais confiável? Porque responde a uma pergunta pontual: "Esta pessoa é quem ela afirma ser neste momento?" Não consegue lidar com o comprometimento de credenciais após o onboarding, anomalias comportamentais que emergem com o tempo ou ataques de injeção que contornam a camada biométrica. A previsão da Gartner de 2024 é agora confirmada pelos dados operacionais de fraude.

Qual é o papel dos agentes de IA diante da fraude deepfake nessa escala? Os agentes de IA fornecem monitoramento contínuo ao longo de todo o ciclo de vida do cliente, identificando anomalias comportamentais que emergem após o onboarding e agindo em tempo real antes da intervenção dos revisores humanos. Na escala de dezenas de milhões de tentativas deepfake anuais, a revisão exclusivamente humana não consegue acompanhar o ritmo.

O que as equipes de conformidade devem fazer primeiro? Auditar quantos sinais independentes o processo de verificação atual avalia. Adicionar monitoramento comportamental que persista após o onboarding, avaliar especificamente as capacidades de detecção de ataques de injeção do fornecedor e estabelecer uma métrica de referência sobre qual proporção das falhas de verificação atuais envolve conteúdo sintético.

Quando se aplicam as novas normas técnicas de due diligence da AMLA? A AMLA apresentou os Projetos de Normas Técnicas Regulatórias sobre Due Diligence do Cliente à Comissão Europeia em julho de 2026. Essas normas serão aplicadas diretamente nos 27 estados membros da UE a partir de 10 de julho de 2027.