5 Ataques Deepfake ao Onboarding Bancário em 2026

O ano de 2026 marcou um ponto de viragem na cibersegurança financeira. O que antes eram experiências em laboratórios de IA, hoje são ferramentas de ataque massivo. O onboarding bancário, tradicionalmente o primeiro escudo contra a fraude, enfrenta o seu maior desafio histórico: a identidade sintética perfeita.

Na Joinble, monitorizamos diariamente como os atacantes evoluem os seus métodos. Aqui apresentamos as 5 formas mais críticas em que os deepfakes estão a atacar os processos de adesão de clientes na banca atual.

1. Injeção de Deepfakes em Videochamadas "Live"

Já não basta pedir ao utilizador que "vire a cabeça" ou "pisque os olhos" em frente à câmara. Os atacantes utilizam software avançado de injeção de vídeo que sobrepõe uma camada digital (deepfake) sobre o rosto de uma pessoa real em tempo real durante a videochamada de verificação.

Estes modelos são capazes de replicar a iluminação ambiental e os movimentos oculares com uma precisão que engana o olho humano e os sistemas de KYC tradicionais baseados em regras estáticas. Os ataques de injeção mais sofisticados contornam completamente o sensor de câmara físico, inserindo dados sintéticos diretamente na API biométrica da aplicação — tornando a deteção de vivacidade padrão arquiteturalmente irrelevante. Para uma análise técnica detalhada, consulte o nosso artigo sobre por que a deteção de vivacidade falha nos ataques de injeção.

Em abril de 2026, esta ameaça tornou-se um produto de massa: uma ferramenta darknet chamada JINKUSU CAM colocou o bypass KYC ao alcance de todos por cerca de $15, com perfis pré-configurados para atacar Binance, Coinbase, Kraken e OKX.

2. Documentos de Identidade com Metadados Sintéticos

A fraude documental passou das impressoras físicas para a geração puramente digital. Os criminosos criam imagens de IDs ou Passaportes que nunca existiram fisicamente, mas que contêm metadados e vestígios digitais "perfeitos".

Estes documentos falsos são desenhados para passar os testes de OCR e validação de MRZ (Machine Readable Zone), incluindo micro-texturas que apenas a IA forense da Joinble é capaz de identificar como artificiais. A escala deste problema explodiu com plataformas como o OnlyFake e até ferramentas de IA de consumo a gerar IDs falsos em minutos.

3. Clonagem de Voz para Ignorar o MFA

Muitos processos de onboarding incluem uma fase de verificação telefónica ou de áudio. Em 2026, bastam alguns segundos de áudio de uma pessoa (extraídos de redes sociais, por exemplo) para clonar a sua voz com uma fidelidade de 99%.

Os atacantes utilizam estas vozes clonadas para interagir com agentes humanos ou sistemas automáticos, autorizando aberturas de contas e contornando sistemas de autenticação de dois fatores (MFA) baseados em voz.

4. Automatização Massiva de Contas "Fantasma"

Através do uso de agentes de IA especializados, os atacantes já não precisam de realizar os ataques de forma manual. Criaram infraestruturas que lançam milhares de tentativas de onboarding simultâneas em diferentes bancos.

Cada tentativa utiliza um deepfake distinto e um conjunto de dados roubados ou sintéticos, procurando saturar os sistemas de revisão manual dos bancos e encontrar brechas de segurança onde a filtragem automática é menos rigorosa.

5. Engenharia Social 2.0 com Avatares Personalizados

O ataque nem sempre começa no formulário de registo. Os criminosos utilizam deepfakes para criar perfis de "assessores financeiros" ou "gestores de conta" em plataformas de vídeo.

Através de uma falsa confiança gerada por um rosto e voz familiares, convencem utilizadores legítimos a ceder os seus próprios dados de onboarding ou a realizar o processo sob a supervisão do atacante, que depois assume o controlo total da conta recém-criada.

---

🛡️ Como se protege a banca moderna?

A resposta não é voltar aos balcões físicos, mas armar-se com IA Forense. Na Joinble, o nosso AI KYC Dashboard não analisa apenas o que se vê no ecrã, mas a integridade atómica do sinal digital:

• Deteção de artefactos de renderização: Identificamos micro-erros de píxeis que os deepfakes deixam ao serem injetados.
• Análise de Liveness Forense: Verificamos que o fluxo de dados de vídeo provém diretamente de um sensor físico de câmara e não de um buffer de memória virtual.
• Biometria de Comportamento: Analisamos padrões de interação que uma máquina não consegue simular com naturalidade.

O onboarding bancário de 2026 já não é uma questão de "ver para crer", mas de validar para confiar.

A mudança para a análise combinada de rosto, voz e comportamento reflete uma evolução mais ampla nos padrões do setor. Para uma análise detalhada do que exige o liveness multimodal e por que cada camada de sinal é indispensável, consulte o nosso artigo sobre o novo padrão de liveness biométrico multimodal no KYC.

Ao abrigo do Regulamento de Serviços de Pagamento (PSR) da PSD3, a incapacidade de detetar fraude gerada por IA no onboarding implica agora responsabilidade direta — partilhada entre o PSP do ordenante e o do beneficiário quando os controlos se revelam inadequados. Para os detalhes regulatórios, consulte o que PSD3 e o PSR implicam para as obrigações KYC das empresas de pagamento.

---

O seu sistema de KYC está preparado para detetar um deepfake de última geração? Experimente o Dashboard da Joinble hoje mesmo e assegure a identidade dos seus clientes.